Privacybeleid

En bref

Chez Obraa, nous construisons un outil pour vous faire gagner du temps sur votre administratif : Devis, avenant et facture. Cette politique explique quelles données nous traitons, pourquoi, et comment vous gardez le contrôle.

• Vos données sont stockées dans l'Union européenne, sur un serveur situé à Paris (France).
• Certains traitements ponctuels (intelligence artificielle, transcription vocale, protection anti-robot) sont réalisés par des prestataires établis aux États-Unis, avec des garanties appropriées (voir sections 5 et 6).
• Nous ne vendons jamais vos données.
• Vous pouvez vous opposer à l'usage de vos conversations pour améliorer notre IA en un clic.
• Vous gardez la maîtrise complète de vos données et de votre compte.

Une question ? Écrivez-nous à privacy@obraa.io.

1. Qui est responsable de vos données

Obraa est exploité par Déna Solimani Jahangiri, indépendant établi en Belgique.

Pour les coordonnées légales complètes (siège, numéro d'entreprise, TVA), consultez nos mentions légales.

Pour toute question sur vos données : privacy@obraa.io.

Nous n'avons pas désigné de Délégué à la protection des données (DPO) car notre activité ne relève pas des cas où cette désignation est obligatoire au sens de l'article 37 du RGPD. Nous restons directement joignables sur les questions de protection des données.

2. Quand cette politique s'applique

Cette politique concerne :

• Les professionnels du bâtiment qui utilisent Obraa pour gérer leurs devis et factures (ci-après "pros").
• Les clients finaux mentionnés dans les devis et factures émis via Obraa, de manière indirecte.
• Les visiteurs de notre site obraa.io et les personnes qui nous contactent.

Lorsqu'un pro utilise Obraa pour gérer les coordonnées de ses propres clients, il est le responsable de traitement de ces données. Obraa agit alors comme sous-traitant au sens de l'article 28 du RGPD. Les conditions de cette sous-traitance figurent dans nos Conditions générales d'utilisation et dans l'accord de traitement des données qui leur est annexé.

3. Quelles données nous traitons et pourquoi

Nous avons organisé cette section par situation, pour que vous compreniez ce qui se passe à chaque étape.

3.1 Quand vous créez votre compte

Données : email, mot de passe (stocké sous forme hachée, jamais en clair), prénom, nom. La connexion via un fournisseur d'identité tiers (par exemple Google) n'est pas proposée à ce jour.

Les inscriptions sont actuellement fermées pendant la phase de pré-lancement : les comptes sont ouverts sur invitation (voir section 3.10 pour la liste d'attente).

Finalité : créer et sécuriser votre compte, vous permettre de vous connecter.

Base légale : exécution du contrat (article 6.1.b RGPD).

Durée : pendant la durée de votre compte. En cas de suppression, les données sont marquées comme supprimées et conservées pour des raisons de sécurité et d'audit pendant une durée alignée sur nos obligations légales.

3.2 Quand vous complétez votre profil professionnel

Données : nom d'entreprise, numéro de TVA, adresse de facturation, IBAN, téléphone, métier, spécialisations, langue préférée, logo, conditions générales que vous appliquez à vos clients, identité du signataire de vos devis.

Finalité : produire des devis et factures conformes à votre identité et aux exigences légales applicables.

Base légale : exécution du contrat.

Durée : pendant la durée de votre compte. Après suppression, conservation selon les obligations fiscales applicables aux documents émis.

3.3 Quand vous souscrivez à un abonnement

Données : identifiants techniques liés à votre paiement (nous ne stockons jamais votre numéro de carte), plan souscrit, statut d'abonnement, dates de renouvellement, éventuel motif de résiliation.

Finalité : gérer votre abonnement, vos paiements et votre facturation.

Base légale : exécution du contrat et obligation légale (obligations fiscales belges).

Durée : 10 ans à compter de la clôture de l'exercice concerné, conformément aux obligations comptables et fiscales belges.

3.4 Quand vous gérez votre catalogue et vos clients

Données : postes de travaux (descriptions, unités, prix), informations de vos clients finaux (noms, adresses, emails, téléphones, numéros de TVA si entreprises).

Finalité : vous permettre de créer des devis rapidement en pré-remplissant des informations récurrentes.

Base légale : exécution du contrat. Pour les données de vos clients finaux, Obraa agit comme sous-traitant : vous restez responsable de l'usage que vous en faites.

Durée : pendant la durée de votre compte. Les devis et factures émis sont conservés 10 ans (obligation comptable et fiscale belge pour les factures ; même durée pour les devis qui s'y rattachent).

3.5 Quand vous utilisez l'assistant IA par WhatsApp

Cette section est développée au chapitre 4.

3.6 Quand nous générons et envoyons vos devis et factures

Données : contenu des devis et factures (lignes, quantités, prix, totaux, TVA), horodatage d'envoi, statut, email du destinataire.

Finalité : générer des PDF professionnels, les envoyer à vos clients en votre nom, assurer le suivi.

Base légale : exécution du contrat et obligation légale.

Durée : 10 ans à compter de l'émission, conformément aux obligations comptables et fiscales belges.

3.7 Quand vous contactez le support

Données : objet, catégorie, description de votre demande, éventuelles pièces jointes, commentaires, statut de résolution.

Finalité : répondre à votre demande et améliorer le produit.

Base légale : exécution du contrat.

Durée : 3 ans après résolution. Au-delà, anonymisation à des fins d'amélioration produit.

3.8 Quand vous remplissez le formulaire de contact public

Données : nom, email, entreprise, message.

Finalité : répondre à votre demande commerciale ou d'information.

Base légale : intérêt légitime (article 6.1.f RGPD).

Durée : 24 mois si votre demande ne donne pas lieu à une relation commerciale.

3.9 Pour des raisons de sécurité et d'audit

Données : journaux techniques des actions sensibles sur votre compte (création, modification, envoi de documents), horodatage, adresse IP, agent utilisateur. Ces journaux sont en ajout seul (ils ne peuvent pas être modifiés ou supprimés par l'application) et chaînés par empreintes cryptographiques pour détecter toute altération.

Finalité : prévenir la fraude, garantir la traçabilité, répondre aux obligations légales.

Base légale : intérêt légitime et obligation légale.

Durée : 10 ans, alignée sur la conservation des pièces comptables.

3.10 Quand vous rejoignez la liste d'attente

Données : adresse email, langue, page du site où vous vous êtes inscrit, version du texte de consentement affiché, date d'inscription et, le cas échéant, de désinscription. Pour mesurer l'efficacité de nos canaux d'acquisition, le formulaire transmet aussi, au moment de l'envoi, la source de la visite (paramètres de campagne « utm » présents dans l'adresse de la page, nom de domaine du site d'où vous venez, page d'arrivée). Aucun cookie ni stockage dans votre navigateur n'est utilisé pour cela.

Finalité : vous confirmer votre inscription puis vous prévenir de l'ouverture d'Obraa, rien d'autre.

Base légale : consentement (article 6.1.a RGPD), retirable à tout moment via le lien de désinscription présent dans chaque email.

Durée : jusqu'au lancement d'Obraa puis 12 mois. Après une désinscription, seule votre adresse est conservée dans une liste d'opposition, pour garantir que nous ne vous écrirons plus.

4. L'assistant IA Obraa

L'assistant IA WhatsApp est une des fonctionnalités d'Obraa. Nous vous devons la transparence sur son fonctionnement.

4.1 Ce qui se passe quand vous dictez un devis

1. Vous envoyez un message WhatsApp à Obraa (vocal ou texte).
2. Notre orchestrateur reçoit le message via le canal WhatsApp Business.
3. Si c'est un message vocal, il est transcrit en texte par un service de transcription vocale automatique (prestataire établi aux États-Unis). Le fichier audio n'est pas enregistré dans la base de données d'Obraa : seule la transcription est conservée.
4. Le texte est analysé par un modèle d'IA générative (prestataire établi aux États-Unis) pour extraire les informations pertinentes (postes, quantités, client mentionné).
5. Les informations structurées sont enregistrées dans notre base de données.
6. Un brouillon de devis est créé. Rien n'est envoyé à votre client à ce stade.
7. Vous recevez une confirmation avec un récapitulatif.
8. Vous validez, modifiez ou rejetez le devis avant tout envoi au client final.

Point crucial : aucun devis n'est jamais envoyé à votre client final sans votre validation explicite. L'IA propose, vous décidez.

4.2 Pourquoi nous conservons vos conversations et vos devis

Au-delà de leur usage immédiat (créer et archiver votre devis), nous conservons de manière structurée le contenu des devis (postes, prix, quantités), les conversations entre vous et l'assistant, et les métadonnées de l'IA (niveau de confiance, corrections que vous avez apportées).

Finalité : améliorer l'assistant Obraa. Plus l'IA voit de cas réels, meilleure elle devient pour vous aider.

Base légale : intérêt légitime (article 6.1.f RGPD). Nous avons documenté cette analyse dans un test d'intérêt légitime, disponible sur demande à privacy@obraa.io.

Nos engagements :

• Le corpus est stocké dans l'Union européenne, sur notre serveur situé à Paris (France).
• Nous ne les vendons jamais et ne les communiquons jamais à des tiers à des fins commerciales.
• Les mentions de vos clients finaux sont pseudonymisées avant toute utilisation pour amélioration de nos modèles.
• Vous pouvez vous y opposer à tout moment, sans justification, en un clic dans vos paramètres.

4.3 Comment vous opposer à cette utilisation (opt-out)

Depuis votre espace Obraa, rendez-vous dans Paramètres puis Contribution à l'amélioration de l'IA et désactivez l'option.

Vous pouvez aussi nous écrire à privacy@obraa.io.

Après votre opt-out, vos nouvelles données ne sont pas utilisées pour entraîner notre IA. Sur demande explicite, vos données antérieures sont également exclues des prochains cycles d'amélioration. Vous continuez à bénéficier pleinement d'Obraa : l'opt-out ne dégrade en rien votre service.

Limite technique que nous assumons en toute transparence : une fois qu'un modèle a été entraîné avec des données, il n'est pas techniquement possible de "désapprendre" ce qui a été appris. Aucune information individuelle identifiable ne sort toutefois du modèle.

4.4 Quand l'IA se trompe

L'IA peut se tromper. C'est pour cela que :

• Chaque ligne extraite par l'IA est affichée avec un niveau de confiance.
• Si la confiance est faible, l'assistant vous demande une confirmation explicite.
• Vous pouvez tout corriger ou rejeter avant envoi à votre client.
• En cas d'erreur détectée après envoi, vous pouvez créer un avenant qui remplace le devis initial tout en conservant la traçabilité.

Aucun devis n'étant envoyé à votre client sans votre validation humaine, l'article 22 du RGPD relatif aux décisions individuelles automatisées ne s'applique pas à notre traitement. Vous restez maître des décisions contractuelles envers vos clients.

5. À qui nous transmettons vos données

Nous faisons appel à des prestataires techniques pour faire fonctionner Obraa. Nous les sélectionnons sur leur sérieux, leurs certifications (SOC 2, ISO 27001, PCI-DSS selon les rôles) et leur conformité au RGPD. Nous nous appuyons sur les accords de traitement des données (article 28 du RGPD) proposés par chacun d'eux.

Notre application, notre base de données, l'authentification et le stockage de vos fichiers sont hébergés sur un serveur dédié à Obraa chez notre hébergeur, dans un centre de données situé à Paris (France). Nous n'utilisons pas de service de base de données en nuage tiers.

Catégories de sous-traitants utilisées :

Nous ne vendons pas vos données à des tiers à des fins publicitaires ou commerciales.

La liste nominative à jour de nos sous-traitants vous est communiquée sur simple demande à privacy@obraa.io.

6. Transferts internationaux de données

Certains de nos sous-traitants ou de leurs infrastructures sont situés en dehors de l'Union européenne, principalement aux États-Unis. Pour chaque transfert, nous nous appuyons sur l'un des mécanismes prévus par le RGPD :

• Le cadre Data Privacy Framework lorsque le sous-traitant américain y est certifié (décision d'adéquation de la Commission européenne du 10 juillet 2023).
• Les Clauses contractuelles types adoptées par la Commission européenne (décision 2021/914) lorsque le DPF ne s'applique pas.
• Des mesures complémentaires : chiffrement en transit (TLS), choix de la région européenne chez les prestataires qui le permettent (envoi d'emails), minimisation des données transmises (seul le contenu nécessaire à la tâche est envoyé aux services d'IA et de transcription).

Ces garanties appropriées sont les clauses contractuelles types de la Commission européenne et/ou l'EU-US Data Privacy Framework, selon le prestataire. Aucune donnée n'est transférée vers un pays sans décision d'adéquation ni garantie appropriée.

7. Combien de temps nous conservons vos données

Au terme de ces durées, les données sont supprimées ou anonymisées de manière irréversible. Les purges des données techniques sont automatisées. Pour les autres données personnelles, les durées ci-dessus sont des durées cibles : leur purge automatique est en préparation et, en attendant, elles sont appliquées manuellement. Une donnée supprimée de la base peut subsister dans les sauvegardes jusqu'à l'expiration de celles-ci (13 mois au plus), sans être réutilisée.

8. Vos droits sur vos données

Le RGPD vous donne des droits. Voici comment les exercer chez Obraa.

8.1 Droit d'accès (article 15)

Vous pouvez à tout moment consulter l'ensemble de vos données dans votre espace Obraa. Pour un export complet, écrivez à privacy@obraa.io. Délai de réponse : 30 jours maximum.

8.2 Droit de rectification (article 16)

Vous pouvez modifier votre profil, vos clients et votre catalogue à tout moment depuis votre espace. Les devis déjà envoyés à un client sont verrouillés : vous pouvez créer un avenant qui les modifie tout en conservant la traçabilité.

8.3 Droit à l'effacement (article 17)

Vous pouvez supprimer votre compte depuis vos paramètres. Après suppression, votre compte est désactivé immédiatement, votre abonnement est résilié, et les données personnelles de votre profil et de vos clients (noms, coordonnées, adresses, IBAN, numéros de TVA, logo) sont anonymisées. Les devis et factures déjà émis ne sont pas supprimés, car la loi belge impose la conservation des pièces comptables pendant 10 ans ; ils restent inaccessibles et ne sont plus exploités.

Pour aller plus loin (exclusion explicite de nos corpus d'amélioration IA, par exemple), écrivez à privacy@obraa.io.

8.4 Droit à la limitation (article 18)

Si vous contestez l'exactitude d'une donnée, vous pouvez demander à ce que son traitement soit temporairement suspendu. Écrivez à privacy@obraa.io.

8.5 Droit à la portabilité (article 20)

Vous pouvez demander un export de vos données dans un format structuré pour les transférer à un autre service. Délai : 30 jours.

8.6 Droit d'opposition (article 21)

Lorsque nous nous appuyons sur l'intérêt légitime, vous pouvez vous opposer sans justification. Pour le corpus d'amélioration IA, l'opt-out est directement disponible dans vos paramètres.

8.7 Droit de réclamation

Si vous estimez que nous n'avons pas correctement respecté vos droits, vous pouvez déposer une plainte auprès de l'Autorité de protection des données belge :

APD, Rue de la Presse 35, 1000 Bruxelles Téléphone : +32 2 274 48 00 Email : contact@apd-gba.be Site : autoriteprotectiondonnees.be

Nous préférerions que vous nous en parliez d'abord. Écrivez à privacy@obraa.io.

8.8 Comment exercer vos droits

Un seul email suffit : privacy@obraa.io. Précisez le droit que vous souhaitez exercer et confirmez votre identité (nous pouvons demander un email lié à votre compte). Nous répondrons dans les 30 jours, délai prolongeable à 60 jours pour les demandes complexes, auquel cas nous vous préviendrons. L'exercice de vos droits est gratuit, sauf demandes manifestement abusives ou répétitives.

9. Comment nous protégeons vos données

La sécurité n'est pas une option chez Obraa. Nous appliquons des mesures techniques et organisationnelles proportionnées aux risques, conformément à l'article 32 du RGPD.

Mesures techniques :

• Chiffrement de toutes les communications en transit (HTTPS/TLS).
• Chiffrement au niveau applicatif des données les plus sensibles stockées dans notre base : emails, téléphones et numéros de TVA de vos clients ; IBAN, BIC, téléphone, email de contact, numéro de TVA et conditions générales de votre profil. Les autres données (dont les adresses) sont stockées sans chiffrement supplémentaire sur un serveur à l'accès restreint.
• Isolation stricte des données entre comptes, appliquée au niveau de la base de données elle-même.
• Traçabilité des actions sensibles dans un registre inaltérable.
• Mots de passe stockés sous forme hachée, jamais en clair.
• Secrets et clés d'API conservés dans un environnement sécurisé, jamais exposés côté navigateur.
• Sauvegardes quotidiennes chiffrées de la base de données, conservées sur notre serveur et copiées chaque jour hors site, avec un exercice de restauration mensuel. Les sauvegardes étant quotidiennes, une perte de données de moins de 24 heures reste possible en cas d'incident majeur.

Mesures organisationnelles :

• Accès à l'infrastructure restreint au strict nécessaire.
• Engagements de confidentialité signés par les collaborateurs et prestataires.
• Tests automatisés exécutés hors de l'environnement de production, sur des données fictives.
• Procédure de notification de violation : nous informons l'APD dans les 72 heures et les personnes concernées si leurs droits sont menacés.

De votre côté : utilisez un mot de passe fort et unique, ne partagez jamais vos identifiants, et signalez toute activité suspecte à security@obraa.io.

10. Cookies et analytics

Nous n'utilisons aucun cookie publicitaire ni de tracking individualisé.

Les statistiques d'usage de notre site sont mesurées de manière agrégée, par un service de statistiques sans cookie ni identifiant (prestataire établi aux États-Unis), ce qui nous dispense de bandeau de consentement.

Les seuls cookies présents sont strictement nécessaires au fonctionnement du service (session de connexion, préférence de langue). Le service anti-robot de nos formulaires peut déposer ses propres cookies techniques sur son domaine (et non sur obraa.io). Ils ne nécessitent pas votre consentement (article 5.3 directive ePrivacy, exception des cookies strictement nécessaires).

Pour le détail complet, consultez notre Politique cookies.

11. Les enfants

Obraa est un service strictement réservé aux professionnels majeurs. Nous ne collectons pas sciemment de données relatives à des mineurs. Si vous pensez qu'un mineur nous a transmis des données, écrivez à privacy@obraa.io pour que nous prenions les mesures appropriées.

12. Modifications de cette politique

Cette politique peut évoluer. Nous vous informerons de toute modification significative :

• Par email à l'adresse liée à votre compte.
• Via une bannière visible dans votre espace Obraa pendant au moins 14 jours.
• En indiquant la date de dernière mise à jour en haut de cette page.

Les versions précédentes sont archivées et peuvent être consultées sur demande à privacy@obraa.io.

13. Nous contacter

Pour toute question sur vos données : privacy@obraa.io.

Pour un incident de sécurité : security@obraa.io.

Pour une réclamation formelle, l'Autorité de protection des données belge reste votre interlocuteur de dernier recours (coordonnées en section 8.7).

Obraa est fait en Belgique pour les pros du bâtiment, avec respect de leurs données.