Politique de confidentialité

Dernière mise à jour : 10 octobre 2026

1. Qui est responsable de vos données ?

Le responsable de traitement est la SAS edifio (SIREN 105 534 515, RCS de Marseille, siège social 5 avenue Verlaque, 13009 Marseille), éditeur du service et vendeur de l'application mobile. Ses coordonnées complètes figurent dans les mentions légales. Jusqu'au 31 mai 2026, le service était édité par AlyoS Ingénierie ; depuis le 1ᵉʳ juin 2026, l'édition — et la responsabilité des traitements décrits ici — est assurée par la SAS edifio.

Pour toute question relative à vos données personnelles ou à l'exercice de vos droits, vous pouvez écrire à : contact@edifio.fr, ou à rgpd@edifio.fr pour les demandes relatives au RGPD.

2. Quelles données nous collectons et pourquoi

2.1 Compte utilisateur

• Données collectées : adresse e-mail, mot de passe (haché bcrypt, jamais stocké en clair), nom complet, identifiant d'organisation.
• Finalité : vous identifier et vous donner accès à votre espace de suivi de chantier.
• Base légale : exécution du contrat (article 6.1.b du RGPD).
• Durée de conservation : jusqu'à la résiliation du contrat. Suppression dans un délai d'1 mois maximum après la demande.

2.2 Données métier (suivi de chantier)

• Données collectées : coordonnées professionnelles (nom, poste, e-mail, téléphone) des intervenants et représentants d'entreprises ; comptes-rendus rédigés ; photos de chantier ; plans techniques.
• Finalité : assurer le suivi technique du chantier, communiquer avec les intervenants, archiver les documents officiels.
• Base légale : intérêt légitime (article 6.1.f du RGPD), justifié par la nécessité de coordination technique d'un chantier.
• Durée de conservation : 10 ans après réception des travaux (responsabilité décennale, article 1792 du Code civil).

2.3 Diffusion d'e-mails (comptes-rendus)

• Données collectées : e-mail, prénom/nom, contenu du compte-rendu envoyé.
• Finalité : notifier les destinataires identifiés du déroulement du chantier.
• Base légale : intérêt légitime — les destinataires sont des intervenants professionnels participant au chantier concerné.
• Durée : les e-mails restent dans les logs Brevo 6 mois pour traçabilité de remise.

2.4 Module Annuaire (contacts B2B)

• Périmètre : 16 000+ contacts professionnels B2B (cabinets de maîtrise d'œuvre, entreprises BTP, maîtres d'ouvrage, bureaux d'études, partenaires institutionnels). Ces contacts sont partagés au sein de l'organisation utilisatrice (cabinet) afin que chaque collaborateur puisse les solliciter pour ses chantiers.
• Sources : saisie manuelle par les utilisateurs du cabinet, et intégration depuis un CRM tiers (Odoo notamment) pour les cabinets qui le souhaitent.
• Base légale : intérêt légitime (article 6.1.f du RGPD), justifié par la nature exclusivement B2B des relations commerciales et de coordination de chantier.
• Durée de conservation : tant que la relation commerciale est active, puis 3 ans à compter du dernier contact à des fins de preuve et de prospection commerciale autorisée (cf. recommandation CNIL prospection B2B).
• Droits des personnes : accès, rectification, effacement et opposition s'exercent à l'adresse rgpd@edifio.fr. L'effacement direct d'un contact reste accessible à l'utilisateur via la fonction « Supprimer ce contact » de l'interface Annuaire.
• Cloisonnement : un cabinet ne voit jamais les contacts d'un autre cabinet. Le cloisonnement est appliqué techniquement par Row Level Security (RLS) au niveau de la base PostgreSQL Supabase.
• Information des personnes — répartition des responsabilités : pour les contacts importés depuis Odoo ou ajoutés manuellement, le cabinet utilisateur est responsable du traitement et doit informer les personnes concernées conformément aux articles 13 et 14 du RGPD. edifio fournit l'infrastructure technique uniquement et intervient à ce titre comme sous-traitant au sens de l'article 28 du RGPD.

2.5 Application mobile (iOS et Android)

edifio est aussi disponible sous forme d'application mobile (iOS et Android). Il s'agit d'une coque qui affiche le même service que le site : les traitements décrits plus haut s'y appliquent à l'identique. L'application ajoute trois traitements propres aux fonctions de l'appareil :

Notifications push

• Données collectées : un jeton de notification (jeton Firebase Cloud Messaging) propre à l'appareil, la plateforme de l'appareil (iOS, Android ou web) et la date de dernière activité. Le jeton est rattaché à votre compte et à votre organisation.
• Finalité : vous avertir sur votre appareil lorsqu'un événement vous concerne (mention dans un compte-rendu, tâche qui vous est confiée, etc.). Toucher la notification ouvre l'écran concerné.
• Base légale : exécution du contrat et intérêt légitime (vous tenir informé du déroulement de vos chantiers). La notification n'est envoyée qu'après votre autorisation explicite, demandée par le système au premier lancement.
• Durée de conservation : le jeton est conservé tant que l'appareil reste enregistré. Il est supprimé à la déconnexion et dès qu'il devient invalide (désinstallation, jeton périmé). Au plus, les dix appareils les plus récents par utilisateur sont conservés.
• Comment révoquer les notifications : coupez-les à tout moment dans les réglages de votre appareil (sur iOS : Réglages → edifio → Notifications ; sur Android : Paramètres → Applications → edifio → Notifications). Vous déconnecter de l'application supprime également le jeton de cet appareil.

Dictée vocale

• Données collectées : l'enregistrement audio de votre voix quand vous utilisez le bouton de dictée pour saisir une remarque ou une note.
• Finalité et traitement : transcrire votre voix en texte. L'audio est transmis à Microsoft Azure Speech (région Europe de l'Ouest) pour la transcription, puis la seule transcription texte est conservée dans votre saisie. Dans le module Diag, la dictée peut aussi s'appuyer sur la reconnaissance vocale intégrée à votre appareil. L'enregistrement audio n'est jamais conservé sur nos serveurs : il ne vit qu'en mémoire le temps de la transcription.
• Base légale : exécution du contrat. La dictée ne se déclenche qu'à votre demande, après l'autorisation d'accès au micro demandée par le système.

Appareil photo et photothèque

• Données collectées : les photos que vous prenez avec l'appareil photo ou que vous choisissez dans la photothèque pour les joindre à un chantier.
• Finalité : documenter le chantier (photos de défauts, d'avancement, de tâches). Les photos sont stockées chez notre hébergeur Supabase (France), comme les autres données métier.
• Base légale et durée : identiques aux données métier (section 2.2). L'accès à l'appareil photo et à la photothèque est demandé par le système à la première utilisation et peut être retiré dans les réglages de l'appareil.

Position de l'appareil

• Données collectées : la position (latitude et longitude) de l'appareil, uniquement lorsque vous appuyez sur « Utiliser ma position » en créant une visite de diagnostic (module Diag). Aucun suivi en arrière-plan.
• Finalité : situer le lieu de la visite. Les coordonnées sont enregistrées avec la visite, chez notre hébergeur Supabase (France).
• Base légale et durée : identiques aux données métier (section 2.2). L'accès à la position est demandé par le système et peut être retiré dans les réglages de l'appareil ; le lieu peut toujours être saisi à la main.

2.6 Paiement des abonnements

• Données collectées : données de facturation et de paiement nécessaires à l'abonnement (coordonnées de facturation, moyen de paiement traité directement par le prestataire — nous ne stockons jamais le numéro de carte).
• Finalité : gérer les abonnements et encaisser les paiements, via notre prestataire Stripe.
• Base légale : exécution du contrat et obligations comptables et fiscales.
• Précision : le paiement s'effectue depuis le site web ou l'application Android. Aucun paiement n'est proposé dans l'application iOS.

3. Cookies & traceurs

Ce site n'utilise aucun cookie publicitaire ni outil de tracking marketing. Seuls des cookies strictement nécessaires au fonctionnement de l'authentification sont déposés :

• sb-*-auth-token — jeton de session Supabase, durée 1 heure (renouvelé automatiquement). Indispensable pour rester connecté.

Conformément à la directive ePrivacy, ces cookies ne nécessitent pas de consentement préalable car ils sont strictement nécessaires au service demandé. Vous pouvez les bloquer dans les paramètres de votre navigateur, mais l'app ne pourra alors plus vous reconnecter.

4. Sous-traitants

Pour fournir le service, nous faisons appel aux sous-traitants suivants. Tous respectent le RGPD et sont liés à la SAS edifio par un accord de traitement de données (DPA) :

Transferts hors Union européenne. Vos données métier (comptes-rendus, photos, contacts) sont hébergées en France (Supabase, Paris) et la transcription de la dictée est traitée dans l'Union européenne (Azure Speech, Europe de l'Ouest). Certains sous-traitants (Vercel, Google/Firebase, Stripe, Upstash, Anthropic) sont des sociétés susceptibles de traiter une partie des données en dehors de l'Union européenne, notamment aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par le Data Privacy Framework UE—États-Unis.

5. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie des données que nous détenons sur vous.
• Droit de rectification : corriger toute donnée inexacte vous concernant.
• Droit à l'effacement : demander la suppression de vos données (sauf obligation légale de conservation).
• Droit à la limitation : demander la suspension d'un traitement.
• Droit d'opposition : vous opposer à un traitement basé sur l'intérêt légitime.
• Droit à la portabilité : récupérer vos données dans un format structuré.

Vous pouvez exercer ces droits directement depuis votre compte : page Mon compte → Vos droits RGPD (export JSON immédiat de vos données et suppression définitive de votre compte), ou par e-mail à dpo@edifio.fr pour toute demande complexe ou impossible à satisfaire directement (rectification d'une donnée saisie par un tiers, opposition à un traitement…). Pour les autres demandes, vous pouvez aussi écrire à contact@edifio.fr. Nous vous répondrons dans un délai d'un mois maximum (extensible à 3 mois pour les demandes complexes).

En cas de désaccord avec notre réponse, vous pouvez introduire une réclamation auprès de la CNIL : cnil.fr/fr/plaintes.

6. Sécurité

• HTTPS imposé sur tout le site (certificat Let's Encrypt).
• Base de données chiffrée au repos (AES-256, Supabase).
• Mots de passe hachés (bcrypt).
• Cloisonnement multi-locataires : vos données ne sont jamais visibles par une autre organisation (Row Level Security PostgreSQL).
• Sauvegardes quotidiennes automatiques.

7. Photos sur chantier — précaution particulière

Les photos prises sur les sites peuvent capter des personnes (ouvriers, visiteurs). Un panneau d'information est affiché en base-vie pour informer les personnes présentes. Toute personne concernée peut demander le retrait de son image en écrivant à contact@edifio.fr.

8. Modifications

Cette politique peut être mise à jour à tout moment pour refléter des évolutions légales ou techniques. La date de dernière mise à jour figure en haut de cette page.