Politique de confidentialité

1Introduction

AppSuiteHQ Ltd (« AppSuiteHQ », « nous », « notre » ou « nos ») exploite AppSuiteHQ, un système d'exploitation IA pour les petites entreprises, sur appsuitehq.com et ses sous-domaines (le « Service »). La présente politique de confidentialité explique comment nous collectons, utilisons, partageons et protégeons les données personnelles lorsque vous consultez notre site web, créez un compte, utilisez le Service ou nous contactez.

Lorsque nous agissons en tant que responsable du traitement, le responsable du traitement de vos données personnelles est AppSuiteHQ Ltd, Rue de Lyon, 75012 Paris, France. Vous pouvez nous contacter au sujet de tout point de la présente politique à l'adresse business@appsuitehq.com.

La présente politique décrit la manière dont nous traitons les données personnelles ; elle ne vous demande pas votre consentement. Lorsque nous nous fondons sur le consentement, nous le demandons séparément. Veuillez la lire conjointement avec nos Conditions d'utilisation.

2Notre rôle : responsable du traitement et sous-traitant

Nous traitons les données personnelles en deux qualités distinctes, selon de qui relèvent ces données.

Lorsque nous sommes responsable du traitement: Pour les données dont nous avons besoin pour gérer notre propre activité : votre compte et votre profil, la facturation, les demandes d'assistance et de contact, les journaux de sécurité, l'utilisation du produit et notre site web. Nous décidons pourquoi et comment ces données sont utilisées, et la présente politique s'y applique intégralement.
Lorsque nous sommes sous-traitant: Pour les données professionnelles que vous et votre équipe saisissez dans le Service, comme les coordonnées de vos clients et contacts, les propositions, contrats, factures, projets, saisies de temps, documents et messages. Votre organisation est responsable du traitement de ces données et décide de ce qui y est saisi et pourquoi. Nous ne les traitons que sur instruction de votre organisation, pour fournir le Service, conformément à nos Conditions d'utilisation et à notre accord de traitement des données.

Notre accord de traitement des données (DPA) est disponible sur demande à l'adresse business@appsuitehq.com.

Si vous êtes un client ou un contact de l'un de nos clients et que vos coordonnées figurent dans le compte AppSuiteHQ de ce client, c'est la politique de confidentialité de ce client qui s'applique. Veuillez adresser vos demandes concernant ces données à ce client. Si vous nous contactez à la place, nous transmettrons votre demande au client lorsque nous pourrons l'identifier.

3Données que nous collectons

3.1Données que vous nous fournissez

Nous collectons les informations que vous nous fournissez lorsque vous vous inscrivez, utilisez le Service ou nous contactez :

Données de compte: Votre nom, votre adresse e-mail et votre mot de passe. Si vous vous inscrivez ou vous connectez avec Google ou GitHub, nous recevons de ce fournisseur votre nom, votre adresse e-mail et, le cas échéant, votre photo de profil.
Profil et organisation: Le nom et les coordonnées de votre organisation, votre rôle et vos droits d'accès, votre fonction, votre photo de profil, votre langue, votre fuseau horaire et vos autres préférences, ainsi que les noms et adresses e-mail des personnes que vous invitez.
Données professionnelles: Tout ce que vous et votre équipe saisissez ou téléversez : clients et contacts, propositions, contrats, projets, saisies de temps, factures, dépenses, documents, articles de la base de connaissances, messages, publications sur les réseaux sociaux et autres enregistrements similaires. Ces données comprennent souvent des données personnelles concernant d'autres personnes, que nous traitons en tant que sous-traitant (voir « Notre rôle : responsable du traitement et sous-traitant »).
Interactions avec l'IA: Les questions que vous posez et les instructions que vous donnez, les briefings, brouillons, recommandations et réponses que l'IA prépare, ce que vous approuvez, modifiez ou rejetez, et les faits que le Service mémorise pour votre organisation (sa mémoire organisationnelle).
Données de facturation: Votre nom et votre adresse de facturation, votre offre et l'historique de votre abonnement. Les données de carte sont saisies sur la page de paiement de Stripe et traitées par Stripe ; nous ne recevons ni ne conservons les numéros de carte complets.
Communications: Ce que vous nous envoyez via le formulaire de contact, par e-mail ou dans le cadre de l'assistance, comme votre nom, votre adresse e-mail, l'objet et votre message.

3.2Données collectées automatiquement

Lorsque vous consultez le site web ou utilisez le Service, certaines informations sont collectées automatiquement :

Données de journalisation et d'appareil: Votre adresse IP, votre navigateur, votre appareil et votre système d'exploitation, les pages que vous demandez, la date et l'heure, ainsi que la page de provenance. Notre hébergeur enregistre ces données, et nous utilisons les adresses IP et les données de compte pour limiter les abus (limitation du débit).
Utilisation du produit: Des événements qui décrivent la manière dont le Service est utilisé, comme les fonctionnalités ouvertes et les actions préparées ou approuvées, associés aux identifiants de votre compte et de votre organisation. Nous les enregistrons sur nos serveurs, et non au moyen de cookies de suivi, afin de comprendre l'utilisation et d'améliorer le Service.
Rapports d'erreur: Lorsqu'une défaillance survient sur nos serveurs, des informations techniques sur l'erreur et la requête, qui peuvent inclure l'identifiant de votre compte.
Traces d'IA: Les enregistrements des requêtes adressées à l'IA et de ses réponses, c'est-à-dire les prompts (y compris les données professionnelles nécessaires pour y répondre) et les résultats, conservés à des fins de suivi de la qualité et de débogage.
Cookies et stockage du navigateur: Un petit nombre de cookies essentiels et d'entrées de stockage du navigateur, décrits ci-dessous dans la section « Cookies et technologies similaires ».

3.3Données provenant d'autres sources

Nous recevons également des informations de :

Votre organisation: Si un collègue vous invite, nous recevons de sa part votre nom et votre adresse e-mail.
Fournisseurs de connexion: Google ou GitHub, si vous les utilisez pour vous connecter, comme indiqué ci-dessus.
Stripe: Les confirmations de paiement et le statut de votre abonnement.
Services que vous connectez: Si vous associez un compte externe lorsque le Service le propose, par exemple un compte de réseau social pour programmer des publications, nous recevons les informations nécessaires à cette fonctionnalité.

4Utilisation des données

Nous utilisons les données personnelles pour :

Fournir le Service : créer et sécuriser votre compte, faire fonctionner l'espace de travail et les outils de votre organisation, et stocker et afficher vos données
Faire fonctionner les fonctionnalités du système d'exploitation : préparer des briefings, signaux, brouillons, réponses et prévisions à partir des données de votre organisation, et tenir sa mémoire organisationnelle (voir « Fonctionnalités d'intelligence artificielle »)
Encaisser les paiements, gérer les abonnements et les enveloppes IA, et conserver les documents de facturation et fiscaux
Envoyer des e-mails de service, comme les messages de connexion et de sécurité, les invitations, les reçus, les avis concernant votre offre ou votre enveloppe IA, et les modifications de nos conditions
Répondre à vos questions, demandes d'assistance et demandes de contact
Assurer la sécurité du Service : détecter, examiner et prévenir la fraude, les abus et les incidents de sécurité, et limiter l'utilisation excessive
Comprendre la manière dont le Service est utilisé, corriger les erreurs et améliorer les fonctionnalités, y compris la qualité des résultats de l'IA
Respecter nos obligations légales et constater, exercer ou défendre des droits en justice

Nous ne vendons pas de données personnelles et ne les utilisons pas à des fins publicitaires.

Lorsque nous agissons en tant que responsable du traitement, le RGPD et le RGPD britannique exigent une base juridique pour chaque utilisation de données personnelles. Nous nous fondons sur :

Exécution d'un contrat: Pour fournir le Service auquel vous avez souscrit, gérer votre compte et votre abonnement, encaisser les paiements et fournir l'assistance (article 6.1.b du RGPD).
Intérêts légitimes: Pour assurer la sécurité du Service et prévenir les abus, comprendre son utilisation, améliorer le Service et ses fonctionnalités d'IA, répondre aux demandes de personnes qui ne sont pas encore clientes, et constater ou défendre des droits en justice. Nous mettons en balance ces intérêts avec vos droits, et vous pouvez vous y opposer (article 6.1.f du RGPD).
Obligation légale: Pour conserver nos documents comptables et fiscaux, répondre aux demandes légalement fondées des autorités publiques et remplir nos autres obligations légales (article 6.1.c du RGPD).
Consentement: Lorsque nous vous demandons votre consentement pour une finalité précise. Vous pouvez le retirer à tout moment ; ce retrait n'affecte pas le traitement effectué auparavant (article 6.1.a du RGPD).

Pour les données professionnelles que nous traitons en tant que sous-traitant, il incombe à votre organisation de disposer d'une base juridique pour saisir ces données dans le Service et les utiliser.

6Fonctionnalités d'intelligence artificielle

6.1Ce que fait l'IA

AppSuiteHQ utilise des modèles d'IA pour préparer les briefings du matin, les signaux, les brouillons de messages et de documents, les recommandations, les réponses à vos questions (« Ask », avec les sources utilisées), la mémoire organisationnelle et les prévisions de trésorerie, ainsi que pour faire fonctionner les fonctionnalités d'IA intégrées aux différents outils. Pour ce faire, les parties pertinentes des données de votre organisation, comme les fiches clients, les factures, les projets et les messages, sont envoyées avec vos instructions aux fournisseurs d'IA énumérés ci-dessous, et leurs résultats sont stockés dans votre espace de travail.

6.2Fournisseurs d'IA

Anthropic (Claude): Alimente les fonctionnalités du système d'exploitation : briefings, Ask, brouillons, recommandations et mémoire. Nous utilisons l'API commerciale d'Anthropic. En vertu des conditions commerciales d'Anthropic, les données des clients ne sont pas utilisées pour entraîner ses modèles.
OpenAI: Crée des embeddings (représentations numériques de texte) pour la mémoire organisationnelle et la recherche, et alimente certaines fonctionnalités d'IA intégrées aux différents outils.
OpenRouter: Donne à certaines fonctionnalités d'IA intégrées aux différents outils un accès à des modèles d'autres fournisseurs d'IA.
Google Cloud Vision: Lit le texte des justificatifs et factures fournisseurs que vous téléversez pour les numériser, lorsque cette fonctionnalité est utilisée.
Langfuse: Stocke les traces des requêtes adressées à l'IA et de ses réponses (prompts et résultats) afin que nous puissions surveiller la qualité et analyser les problèmes.

6.3Approbation humaine et décisions automatisées

Rien de ce que prépare l'IA n'est envoyé, publié ou exécuté sans l'approbation d'une personne de votre organisation. Chaque action est associée à un niveau de risque, et les mouvements d'argent, la suppression d'enregistrements et la modification des droits d'accès ne peuvent être effectués que par une personne, jamais par l'IA. Un journal d'audit enregistre qui a préparé et qui a approuvé chaque action. Un message envoyé peut être marqué « envoyé par erreur » pendant les 30 minutes qui suivent ; cela corrige le registre dans AppSuiteHQ, mais ne rappelle pas un e-mail déjà remis.

Les résultats de l'IA peuvent être erronés ou incomplets : vérifiez-les avant de vous y fier ou de les approuver. Aucune décision produisant des effets juridiques à l'égard d'une personne ou l'affectant de manière significative de façon similaire n'est prise sur le seul fondement d'un traitement automatisé (article 22 du RGPD).

6.4Désactiver l'IA

Votre organisation peut désactiver les fonctionnalités d'IA dans ses paramètres. Tant que l'IA est désactivée, les fonctionnalités d'IA ne s'exécutent pas pour cette organisation. Les contenus préparés auparavant par l'IA restent dans votre espace de travail jusqu'à ce que vous les supprimiez ou que l'organisation soit supprimée.

Nous ne vendons pas de données personnelles et ne les partageons pas à des fins publicitaires. Nous ne les partageons que dans les cas suivants :

Prestataires de services: Les entreprises qui hébergent et exploitent pour notre compte certaines parties du Service, énumérées ci-dessous. Elles ne peuvent utiliser les données personnelles que pour nous fournir leurs services, en vertu de contrats qui les obligent à les protéger.
Au sein de votre organisation: Ce que vous ajoutez à l'espace de travail de votre organisation est visible par ses autres membres selon leurs rôles et leurs droits d'accès.
Sur vos instructions: Lorsque vous ou votre organisation nous le demandez, par exemple lorsqu'une personne approuve l'envoi d'un message à un client, ou lorsque vous associez un compte externe.
Opérations sur l'entreprise: Si nous sommes impliqués dans une fusion, une acquisition, un financement ou une cession d'actifs, les données personnelles peuvent être transférées dans le cadre de cette opération, et la présente politique continuera de s'y appliquer.
Obligations légales: Lorsque la loi ou une demande valable d'une autorité publique l'exige, ou lorsque cela est nécessaire pour protéger nos droits, nos utilisateurs ou des tiers.

7.1Nos prestataires de services

Nous faisons actuellement appel aux prestataires suivants pour faire fonctionner le Service :

Vercel: Hébergement du site web et de l'application.
Supabase: Base de données, authentification et stockage de fichiers.
Stripe: Traitement des paiements et facturation des abonnements.
Resend: Acheminement des e-mails envoyés par le Service.
Anthropic: Modèles d'IA pour les fonctionnalités du système d'exploitation.
OpenAI: Embeddings pour la mémoire et la recherche, et certaines fonctionnalités d'IA intégrées aux différents outils.
OpenRouter: Accès aux modèles d'IA utilisés par certaines fonctionnalités intégrées aux différents outils.
Google Cloud: Reconnaissance de texte pour les justificatifs et factures fournisseurs que vous téléversez pour les numériser.
Langfuse: Stockage des traces des requêtes d'IA pour le suivi de la qualité et le débogage.
Sentry: Surveillance des erreurs serveur.
PostHog: Analyse de l'utilisation du produit, enregistrée depuis nos serveurs et stockée dans la région UE de PostHog.
Inngest: Planification et exécution des tâches en arrière-plan.
Upstash: Limitation du débit pour protéger le Service contre les abus.

Nous mettons cette liste à jour lorsque nous ajoutons ou remplaçons un prestataire.

8Transferts internationaux

Certains de nos prestataires traitent des données personnelles en dehors du Royaume-Uni et de l'Espace économique européen, par exemple aux États-Unis. Dans ce cas, nous nous appuyons sur des garanties reconnues par la législation sur la protection des données : les clauses contractuelles types de la Commission européenne, accompagnées de l'avenant britannique (UK Addendum) ou de l'accord britannique de transfert international de données (IDTA) pour les données du Royaume-Uni, ou le cadre de protection des données UE–États-Unis (Data Privacy Framework) et son extension britannique, lorsque le prestataire est certifié à ce titre.

Vous pouvez obtenir plus d'informations sur ces garanties en écrivant à business@appsuitehq.com.

9Durée de conservation

Nous conservons les données personnelles tant que votre compte ou votre organisation est actif, puis uniquement aussi longtemps que nécessaire aux finalités décrites dans la présente politique ou que la loi nous impose de les conserver.

Organisations archivées: Un propriétaire peut archiver une organisation. Ses membres perdent l'accès, mais ses données sont conservées.
Suppression programmée: Un propriétaire peut programmer la suppression d'une organisation. L'accès cesse, et ses données sont définitivement supprimées après la date de suppression prévue.
Après la suppression: Lorsqu'un compte ou une organisation est supprimé, nous supprimons ou anonymisons ses données personnelles, à l'exception de ce que la loi nous impose de conserver, comme les factures et les justificatifs de paiement, que nous conservons pendant la durée fixée par le droit comptable et fiscal.
Sauvegardes: Les copies figurant dans les sauvegardes de nos prestataires sont effacées à mesure que ces sauvegardes expirent, selon le calendrier propre à chaque prestataire.
Journaux, rapports d'erreur et traces d'IA: Conservés pendant une durée limitée à des fins de sécurité, de débogage et de suivi de la qualité, puis supprimés conformément aux paramètres de conservation de nos prestataires.
Demandes: Les messages de contact et d'assistance sont conservés aussi longtemps que nécessaire pour traiter votre demande et son éventuel suivi.
Données anonymisées: Nous pouvons conserver des informations anonymisées de sorte qu'elles ne permettent plus d'identifier qui que ce soit.

Au sein du Service, votre organisation décide de la durée de conservation de ses données professionnelles et peut supprimer des enregistrements à tout moment.

10Sécurité

Nous protégeons les données personnelles au moyen de mesures techniques et organisationnelles, notamment :

Le chiffrement en transit (TLS) et au repos, assuré par nos fournisseurs d'infrastructure
La sécurité au niveau des lignes (row-level security) et des contrôles d'accès qui cloisonnent les données de chaque organisation
Des droits d'accès fondés sur les rôles au sein de chaque organisation
Un journal d'audit indiquant qui a préparé et qui a approuvé chaque action
Un accès restreint aux systèmes de production

Aucun système n'est totalement sûr. Si nous avons connaissance d'une violation de données personnelles affectant vos données, nous en informerons les clients concernés et, lorsque la loi l'exige, l'autorité de contrôle et les personnes concernées.

Veuillez protéger votre mot de passe et n'accorder aux membres de votre organisation que les droits d'accès dont ils ont besoin.

11Vos droits

En vertu du RGPD, du RGPD britannique et de lois similaires, vous avez le droit de :

Accès: Demander une copie des données personnelles que nous détenons à votre sujet.
Rectification: Nous demander de corriger des données inexactes ou incomplètes. Vous pouvez aussi mettre à jour vous-même la plupart des informations de votre compte dans vos paramètres.
Effacement: Nous demander de supprimer vos données personnelles, à l'exception de ce que la loi nous impose de conserver.
Portabilité: Recevoir les données personnelles que vous nous avez fournies dans un format structuré et couramment utilisé. Vous pouvez aussi exporter vous-même les données des outils dans des formats courants comme CSV et PDF.
Limitation: Nous demander de limiter l'utilisation de vos données, par exemple pendant que nous vérifions une rectification.
Opposition: Vous opposer au traitement fondé sur nos intérêts légitimes, et à tout moment à la prospection commerciale.
Retrait du consentement: Retirer votre consentement à tout moment lorsque nous nous fondons sur celui-ci, sans que cela affecte le traitement effectué auparavant.
Réclamation: Introduire une réclamation auprès d'une autorité de contrôle de la protection des données (voir « Réclamations »).

Pour exercer l'un de ces droits, écrivez à business@appsuitehq.com. Nous n'avons pas désigné de délégué à la protection des données ; veuillez donc adresser toutes vos demandes relatives à la protection des données à cette adresse.

Nous répondons dans un délai d'un mois. Pour les demandes complexes ou nombreuses, ce délai peut être prolongé de deux mois au maximum, et nous vous en informerons le cas échéant. Nous pouvons vous demander de confirmer votre identité avant de donner suite à une demande.

Si vos données figurent dans le compte AppSuiteHQ d'une entreprise avec laquelle vous êtes en relation, veuillez contacter directement cette entreprise : elle est responsable du traitement de ces données, et nous l'aiderons à vous répondre.

12Cookies et technologies similaires

Nous n'utilisons que des cookies et un stockage du navigateur strictement nécessaires au fonctionnement du site web et du Service, ou qui mémorisent un choix que vous avez fait. Nous n'utilisons pas de cookies d'analyse ou de publicité. L'utilisation du produit est enregistrée sur nos serveurs (voir « Données collectées automatiquement »), et non au moyen de cookies.

Session de connexion: Des cookies dont le nom commence par « sb- », déposés par notre fournisseur d'authentification, Supabase. Ils vous maintiennent connecté et protègent votre session, et sont supprimés lorsque vous vous déconnectez ou lorsqu'ils expirent.
NEXT_LOCALE: Mémorise la version linguistique du site que vous avez utilisée en dernier, afin que vous la retrouviez la prochaine fois. Il expire au bout d'un an.
appsuitehq_consent: Mémorise que vous avez vu notre bandeau cookies, afin qu'il ne s'affiche plus. Il expire au bout de 150 jours.
Stockage du navigateur: Le stockage local de votre navigateur conserve vos préférences d'interface, comme le thème clair ou sombre et vos choix de mise en page. Il reste dans votre navigateur jusqu'à ce que vous l'effaciez.

Ces cookies étant nécessaires au fonctionnement du site ou à la mémorisation de vos choix, nous ne demandons pas votre consentement pour les utiliser. Vous pouvez bloquer ou supprimer les cookies dans les paramètres de votre navigateur, mais si vous bloquez les cookies de connexion, vous ne pourrez pas vous connecter.

Lorsque vous payez ou gérez votre facturation, vous utilisez des pages hébergées par Stripe, qui dépose ses propres cookies conformément à la politique de confidentialité de Stripe.

13Condition d'âge

Le Service s'adresse aux entreprises. Vous devez être âgé d'au moins 18 ans, et habilité à agir pour le compte de votre entreprise, pour créer un compte ou utiliser le Service. Nous ne collectons pas sciemment de données personnelles auprès d'enfants. Si vous pensez qu'un enfant nous a communiqué des données personnelles, contactez-nous à l'adresse business@appsuitehq.com et nous les supprimerons.

14Modifications de la présente politique

Nous pouvons mettre à jour la présente politique en cas d'évolution du Service ou de la loi. Nous publierons la nouvelle version sur cette page et modifierons la date de « Dernière mise à jour » indiquée en haut. Si une modification est importante, nous vous en informerons également par e-mail ou dans le Service avant son entrée en vigueur.

La présente version, datée du 27 septembre 2026, remplace la version du 15 janvier 2025. Elle ajoute nos fonctionnalités d'IA et les fournisseurs qui les font fonctionner, précise quand nous agissons en tant que responsable du traitement et quand en tant que sous-traitant, énumère l'ensemble de nos prestataires de services, corrige les informations relatives aux cookies (cookies essentiels uniquement) et met à jour les informations relatives à la conservation, à la sécurité, à l'âge et aux coordonnées.

La présente politique est rédigée en anglais. En cas de contradiction entre une traduction et la version anglaise, la version anglaise prévaut.

15Nous contacter

Pour toute question sur la présente politique ou pour exercer vos droits, contactez-nous :

E-mail: business@appsuitehq.com
Courrier: AppSuiteHQ Ltd, Rue de Lyon, 75012 Paris, France
Délégué à la protection des données: Non désigné. Veuillez adresser vos demandes relatives à la protection des données à business@appsuitehq.com.

16Réclamations

Si vous n'êtes pas satisfait de la manière dont nous avons traité vos données personnelles, veuillez d'abord nous contacter afin que nous puissions tenter d'y remédier.

Vous avez également le droit d'introduire une réclamation auprès d'une autorité de contrôle de la protection des données, en particulier dans le pays où vous résidez ou travaillez, ou dans celui où le problème est survenu. En France, il s'agit de la Commission nationale de l'informatique et des libertés (CNIL, https://www.cnil.fr). Au Royaume-Uni, il s'agit de l'Information Commissioner's Office (ICO, https://ico.org.uk).