Politique de confidentialité (RGPD)

Dernière mise à jour : 23 septembre 2026

1. Responsable du traitement

Le responsable du traitement des données à caractère personnel collectées via Ouvria est :

• Éditeur : COMPTOIR DE L'HABITAT ET DU COMMERCE (CHC), SAS au capital de 10 000 euros
• Nom commercial du service : Ouvria
• Siège social : 15 rue de la République, 38000 Grenoble
• SIRET : 839 144 359 00016
• Représentant légal : Jean-Philippe Richard, président
• E-mail contact privacy : hector.richard@ouvria.com

Pas de Délégué à la Protection des Données (DPO) désigné : la désignation n'est pas obligatoire au sens de l'article 37 du RGPD (effectif inférieur à 250 employés et absence de traitement à grande échelle de données sensibles). Contact privacy : hector.richard@ouvria.com.

2. Données collectées

Dans le cadre de la fourniture du service Ouvria, nous collectons les catégories de données suivantes :

• Données d'identification : nom, prénom, adresse e-mail, nom de l'entreprise
• Données professionnelles : numéro SIRET (optionnel), numéro de TVA, adresse professionnelle
• Données métier : devis, factures, données de chantiers, informations clients (noms, coordonnées), catalogues de produits et de services
• Données de connexion : adresse IP (lors de l'authentification), logs de session, date et heure de connexion
• Données de facturation : historique des abonnements et des paiements (les données de carte bancaire sont gérées directement par Stripe et ne transitent pas par nos serveurs)

Nous ne collectons pas de données sensibles au sens de l'article 9 du RGPD (origine ethnique, opinions politiques, données de santé, etc.).

3. Finalités et base légale

Vos données sont traitées pour les finalités suivantes :

• Fourniture du service SaaS Ouvria, base légale : exécution du contrat (art. 6.1.b RGPD)
• Gestion de votre compte et de votre abonnement, base légale : exécution du contrat (art. 6.1.b RGPD)
• Envoi de communications liées au service (confirmations, alertes, mises à jour importantes), base légale : exécution du contrat (art. 6.1.b RGPD)
• Respect des obligations légales (conservation des factures, obligations fiscales), base légale : obligation légale (art. 6.1.c RGPD)
• Amélioration du service et analyse d'usage agrégée, base légale : intérêt légitime (art. 6.1.f RGPD), sur la base de données anonymisées

Nous n'utilisons pas vos données à des fins de marketing tiers, de revente ou de profilage publicitaire.

4. Durée de conservation

Vos données sont conservées pendant la durée de votre abonnement actif. Après la fin du contrat, vous pouvez exporter vos données pendant 90 jours depuis l'écran Réglages, Mes données, et demander à tout moment leur suppression depuis ce même écran (voir l'article 9 des CGV).

Font exception les documents soumis à une obligation légale de conservation :

• Factures et pièces comptables : conservées 10 ans conformément à l'article L.123-22 du Code de commerce
• Logs de connexion et données de mesure d'audience : conservés 13 mois, puis supprimés

5. Hébergement et sous-traitants

Vos données sont hébergées dans l'Union européenne. Une copie de sauvegarde chiffrée est conservée hors UE, voir « Sauvegardes » plus bas :

• Supabase EU, Base de données et stockage de fichiers, serveurs situés en Irlande, Union européenne (AWS eu-west-1). Supabase opère en conformité avec le RGPD pour ses instances européennes. Politique de confidentialité Supabase
• Vercel, Hébergement du front-end, réseau CDN mondial. Les données de navigation (requêtes HTTP) transitent via leur réseau, mais aucune donnée personnelle n'y est stockée de façon permanente. Politique de confidentialité Vercel
• Stripe, Traitement sécurisé des paiements. Stripe est certifié PCI-DSS. Les données de carte bancaire ne transitent jamais par nos serveurs. Politique de confidentialité Stripe
• Resend, Envoi des emails transactionnels (confirmations, relances, notifications). Aucune donnée métier n'est stockée de façon permanente par Resend. États-Unis, transfert encadré par les clauses contractuelles types. Politique de confidentialité Resend
• Google LLC, Fonctions de dictée vocale et d'assistant de rédaction : transcription d'enregistrements audio et aide à la rédaction de documents. Données traitées : enregistrements audio dictés, textes soumis à l'assistant (pouvant contenir des noms et coordonnées de clients). Pays : États-Unis. Base du transfert : Data Privacy Framework. Les données ne sont pas utilisées pour l'entraînement des modèles dans le cadre de l'offre souscrite. Politique de confidentialité Google
• ipapi.co et ipinfo.io, Enrichissement professionnel B2B, uniquement si vous y avez consenti via le bandeau. Données traitées : adresse IP (jamais stockée en clair par Ouvria). Pays : États-Unis. Base du transfert : clauses contractuelles types.
• OpenStreetMap / Nominatim, Géocodage des adresses de chantier saisies. Données traitées : adresse postale saisie, adresse IP lors de l'appel. Pays : Union européenne / Royaume-Uni. Politique OpenStreetMap
• Tuiles de carte OpenStreetMap et Carto, Affichage des fonds de carte sur les pages comportant une carte. Données traitées : adresse IP transmise lors du chargement des tuiles, aucun cookie. Pays : Union européenne (OpenStreetMap) et États-Unis (Carto, Data Privacy Framework).
• GitHub (GitHub Inc., groupe Microsoft), Conservation des sauvegardes quotidiennes de la base et des fichiers. Données traitées : l'ensemble des données de la base, dans une archive chiffrée. Pays : États-Unis. Base du transfert : clauses contractuelles types et Data Privacy Framework UE, États-Unis. Politique de confidentialité GitHub

Sauvegardes. Les sauvegardes de la base et des fichiers sont chiffrées (AES-256) avant de quitter nos serveurs, puis conservées au plus 45 jours dans un dépôt privé chez GitHub, aux États-Unis. GitHub ne détient que des archives chiffrées : la clé de déchiffrement est détenue uniquement par l'éditeur et n'est communiquée à aucun sous-traitant.

Transferts hors Union européenne. Vos données métier (devis, factures, données clients) sont hébergées sur des serveurs situés dans l'Union européenne (Irlande), et leur copie de sauvegarde chiffrée est conservée aux États-Unis (GitHub). Certains sous-traitants techniques ayant leur siège hors UE (Vercel Inc. aux États-Unis, Supabase Inc. à Singapour, Stripe Inc. aux États-Unis) peuvent traiter certaines métadonnées (logs techniques, données de facturation, journaux d'accès) depuis leur siège. Ces transferts sont encadrés par les Clauses Contractuelles Types adoptées par la Commission européenne le 4 juin 2021 (décision d'exécution UE 2021/914), garantissant un niveau de protection équivalent à celui exigé par le RGPD. Stripe, Vercel et Google sont par ailleurs certifiés au Data Privacy Framework UE-US.

6. Partage des données

Ouvria ne vend, ne loue et ne communique jamais vos données personnelles à des tiers à des fins commerciales ou publicitaires. Vos données métier (devis, factures, informations clients) vous appartiennent exclusivement.

Vos données ne sont partagées qu'avec les sous-traitants techniques listés à l'article 5, dans la stricte mesure nécessaire à la fourniture du service, et liés par des engagements de confidentialité.

6 bis. Ouvria Direct, mise en relation des particuliers

Le service « Ouvria Direct » permet à un particulier (sans compte) de décrire un besoin de travaux et d'être mis en relation avec des artisans inscrits, situés dans sa zone géographique. Ce traitement concerne le particulier en tant que personne concernée.

• Données collectées auprès du particulier : prénom, numéro de téléphone, adresse e-mail, adresse postale de l'intervention et sa géolocalisation (latitude/longitude), type de travaux, description libre du besoin.
• Finalité : mettre le particulier en relation avec des artisans disponibles et compétents à proximité, puis permettre à l'artisan retenu de le recontacter.
• Base légale : mesures précontractuelles et exécution du contrat de mise en relation à la demande du particulier (art. 6.1.b RGPD).
• Destinataires : avant toute acceptation, les artisans de la zone ne voient que la ville, la distance et le type de besoin. Le nom, le téléphone, l'e-mail et l'adresse complète ne sont communiqués qu'à l'artisan qui accepte la demande. Cet artisan devient alors responsable de traitement autonome pour le suivi de l'intervention et s'engage à respecter le RGPD.
• Sous-traitants spécifiques : Resend (e-mails au particulier : accusé d'acceptation, demande d'avis) ; OpenStreetMap / Nominatim (l'adresse saisie est envoyée à ce service tiers pour la géolocaliser sur la carte). Politique OpenStreetMap
• Durée de conservation : une demande sans artisan ou non aboutie est supprimée au bout de 30 jours. Une demande aboutie est conservée 12 mois, puis ses données personnelles sont anonymisées (seul l'avis éventuel, sous prénom, est conservé).
• Vos droits : pour accéder à vos données ou demander leur suppression, écrivez à rgpd@ouvria.com en indiquant le téléphone ou l'e-mail utilisé lors de votre demande. Vos données seront supprimées sous 30 jours.

7. Vos droits

Conformément au RGPD (articles 15 à 22), vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès : obtenir une copie des données que nous détenons sur vous
• Droit de rectification : corriger des données inexactes ou incomplètes
• Droit à l'effacement : demander la suppression de vos données (sous réserve des obligations légales de conservation)
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine
• Droit d'opposition : vous opposer à certains traitements fondés sur notre intérêt légitime
• Droit à la limitation : demander la suspension temporaire du traitement de vos données

Pour exercer l'un de ces droits, adressez votre demande par e-mail à rgpd@ouvria.com, avec copie possible à hector.richard@ouvria.com. Nous nous engageons à répondre dans un délai d'un mois (délai extensible à 3 mois pour les demandes complexes, avec information préalable).

Vous pouvez vous désinscrire de nos e-mails non indispensables (relances, digest, alertes) à tout moment via le lien de désinscription présent dans chaque e-mail concerné, ou en écrivant à rgpd@ouvria.com. Les e-mails indispensables au fonctionnement de votre compte (factures, sécurité, confirmations) continueront de vous être envoyés.

En cas de réponse insatisfaisante, vous pouvez adresser une réclamation à la CNIL (Commission Nationale de l'Informatique et des Libertés) : cnil.fr, 3 Place de Fontenoy, 75007 Paris.

8. Sécurité des données

Ouvria met en oeuvre des mesures techniques et organisationnelles adaptées pour protéger vos données contre tout accès non autorisé, perte, altération ou divulgation :

• Chiffrement des communications en transit (HTTPS/TLS)
• Chiffrement des données au repos sur l'infrastructure Supabase
• Authentification sécurisée avec hachage des mots de passe (bcrypt)
• Accès aux données de production strictement limité et journalisé
• Export de vos données à tout moment depuis l'écran Réglages, Mes données

8 bis. Mesure du temps d'utilisation

Depuis le 23 septembre 2026, Ouvria mesure le temps que vous passez réellement dans l'application, afin de savoir quand un artisan bloque et de lui proposer de l'aide au bon moment.

• Ce qui est mesuré : le temps d'utilisation actif par jour, c'est-à-dire les secondes pendant lesquelles l'onglet de l'application est affiché et vous venez d'interagir avec lui ; sa répartition par heure de la journée et par rubrique de l'application (devis, factures, clients, planning) ; le nombre de sessions ; le type d'appareil (mobile, tablette ou ordinateur).
• Ce qui ne l'est jamais : le contenu que vous saisissez, le détail de vos clics, les adresses des pages que vous ouvrez, les identifiants de vos documents et de vos clients, et votre adresse IP. Aucun enregistrement de votre écran, aucun rejeu de session.
• Sous quelle forme : seuls des totaux par jour sont enregistrés, rattachés à votre compte. Aucun événement individuel n'est conservé.
• Pourquoi : accompagner les artisans dans la prise en main du service, repérer ceux qui décrochent pour leur proposer de l'aide, et améliorer les écrans les plus utilisés.
• Base légale : exécution du contrat (art. 6.1.b RGPD) pour l'accompagnement lié à votre abonnement, et intérêt légitime (art. 6.1.f RGPD) pour l'amélioration du service.
• Hébergement : Supabase EU, en Irlande, comme le reste de vos données (voir l'article 5). Aucun outil de mesure tiers n'est utilisé.
• Durée de conservation : 13 mois, puis suppression automatique.
• Cookies : cette mesure n'utilise aucun cookie et n'écrit rien sur votre appareil. Le décompte vit uniquement en mémoire pendant que l'application est ouverte.
• Vos droits : comme pour les autres traitements, vous pouvez demander l'accès à ces données, leur suppression, ou vous opposer à leur usage d'amélioration du service, en écrivant à rgpd@ouvria.com.

9. Cookies

L'utilisation de cookies sur le site et l'application Ouvria est encadrée par une politique dédiée. Pour le détail des cookies déposés, leur finalité, leur durée et les modalités de gestion du consentement, veuillez consulter notre Politique de cookies.

10. Modifications de la politique

Ouvria peut mettre à jour la présente politique de confidentialité pour refléter les évolutions du service ou les exigences légales. En cas de modification substantielle, vous serez notifié par e-mail au moins 30 jours avant l'entrée en vigueur. La date de mise à jour figure en haut de ce document.