Responsable & champ d’application
RG CRM 2 est le nom du service concerné par la présente politique. Les demandes relatives à la vie privée, aux données personnelles et à l’assistance peuvent être adressées à [email protected].
RG CRM 2 est une plateforme SaaS multi-société destinée au secteur du bâtiment. Selon le traitement concerné, RG CRM 2 peut agir comme responsable de traitement pour les données nécessaires au fonctionnement de la plateforme, à la sécurité, à l’administration des comptes et au support, ou comme sous-traitant lorsqu’une entreprise cliente utilise RG CRM 2 pour traiter les données de ses propres clients, salariés, prestataires et chantiers.
Données que nous pouvons traiter
Les catégories de données dépendent des fonctions effectivement utilisées. Elles peuvent notamment comprendre :
- Identité et contact : nom, prénom, adresse e-mail, téléphone, fonction, société et informations professionnelles.
- Compte et authentification : identifiant utilisateur, rôles, permissions, appartenances à une société, historique de connexion et informations nécessaires à la sécurité du compte.
- Données métier : prospects, clients, contacts, chantiers, lots, tâches, relevés de cote, métrés, devis, avenants, factures, réserves, heures, achats, coûts, documents, plans, photos, commentaires et informations de suivi.
- Collaboration : invitations, messages, journaux, notifications, demandes de support et pièces jointes.
- Données techniques : adresse IP, informations de navigateur ou d’appareil, journaux techniques, événements de sécurité, erreurs et traces nécessaires au diagnostic.
- Abonnement et facturation : offre souscrite, quotas, statut d’abonnement et informations nécessaires au suivi de la relation commerciale. Les données complètes de carte bancaire n’ont pas vocation à être stockées directement par RG CRM 2 lorsqu’un prestataire de paiement est utilisé.
- Données issues d’intégrations : uniquement lorsque l’utilisateur active volontairement une intégration, par exemple Google Drive.
Pourquoi ces données sont utilisées
Les données sont utilisées uniquement pour des finalités liées au service RG CRM 2, notamment :
- créer et sécuriser les comptes, sociétés, rôles et accès ;
- fournir les fonctions demandées : CRM, chantier, métrés, devis, documents, facturation, collaboration, suivi et support ;
- permettre le partage contrôlé entre Direction, Équipe, Client et Intervenant selon les permissions ;
- assurer la sécurité, prévenir les abus, diagnostiquer les incidents et conserver une traçabilité des opérations sensibles ;
- gérer les demandes d’assistance, les obligations contractuelles et, lorsque nécessaire, les obligations légales ;
- améliorer la fiabilité et l’ergonomie du produit à partir de données techniques et de retours utilisateurs, sans vendre les données personnelles.
Selon le contexte, les bases légales peuvent être l’exécution d’un contrat ou de mesures précontractuelles, le respect d’une obligation légale, l’intérêt légitime lié à la sécurité et au bon fonctionnement du service, ou le consentement lorsque celui-ci est requis pour une fonction optionnelle.
Utilisation des données Google Drive
L’intégration Google Drive est optionnelle. Elle n’est activée qu’après une action volontaire d’un utilisateur autorisé de la société et après son consentement dans l’écran Google.
Accès demandé
RG CRM 2 demande le niveau d’accès Google Drive drive.file. Ce niveau est utilisé pour travailler avec les fichiers et dossiers créés par RG CRM 2 ou explicitement sélectionnés/utilisés avec l’application. RG CRM 2 n’a pas pour finalité de parcourir ou d’indexer l’intégralité du Drive de l’utilisateur.
Dans le cadre de cette intégration, RG CRM 2 peut traiter :
- l’adresse e-mail du compte Google connecté et un identifiant technique Google du compte ;
- les jetons OAuth nécessaires à la connexion et au renouvellement de l’accès ;
- les identifiants, noms et métadonnées nécessaires des fichiers ou dossiers sélectionnés ;
- le contenu d’un fichier lorsque l’utilisateur demande explicitement son import ou son utilisation dans RG CRM 2.
Lorsque l’utilisateur importe volontairement un document depuis Google Drive, une copie peut être stockée dans l’espace privé RG CRM 2 afin de fournir la fonction demandée. Si une fonction d’analyse documentaire est activée par l’utilisateur, le document peut être traité pour produire le résultat attendu dans RG CRM 2.
Le jeton de renouvellement Google est stocké sous forme chiffrée côté serveur et n’est pas exposé aux applications clientes. La déconnexion Google Drive depuis RG CRM 2 supprime la connexion OAuth enregistrée par la plateforme. Les documents déjà importés dans un dossier métier RG CRM 2 peuvent rester soumis aux règles de conservation du dossier concerné et aux obligations légales applicables.
Partage, destinataires & prestataires techniques
RG CRM 2 ne vend pas les données personnelles. L’accès est limité aux personnes autorisées et aux prestataires techniques nécessaires au fonctionnement du service.
Selon les fonctions utilisées, des données peuvent être traitées par des catégories de prestataires telles que l’hébergement et la base de données, la distribution et la sécurité web, l’envoi d’e-mails transactionnels, le paiement, le support ou les services d’intégration choisis par l’utilisateur. Google reçoit les informations nécessaires au fonctionnement de Google OAuth et Google Drive lorsque cette intégration est utilisée.
Lorsqu’un traitement implique un transfert de données en dehors de l’Espace économique européen, RG CRM 2 veille à ce qu’un mécanisme de transfert reconnu par la réglementation applicable soit utilisé lorsque celui-ci est requis.
Conservation & suppression
Les données sont conservées pendant une durée proportionnée à la finalité pour laquelle elles ont été collectées et aux obligations légales applicables. Les critères suivants sont notamment utilisés :
- les données de compte et de société sont conservées pendant la relation active, puis pendant le temps nécessaire à la clôture, à la sécurité et aux obligations légales ;
- les données de chantier, devis, facturation et pièces justificatives peuvent être conservées pendant les durées nécessaires à la gestion du dossier et aux obligations comptables, fiscales ou probatoires ;
- les journaux techniques et de sécurité sont conservés pendant une durée limitée, adaptée à la détection des incidents et à leur investigation ;
- les états temporaires d’autorisation Google expirent rapidement et ne peuvent plus être utilisés après leur expiration ;
- les identifiants de connexion Google sont conservés tant que l’intégration est active, puis supprimés lorsque la connexion est révoquée ou lorsque leur conservation n’est plus nécessaire ;
- les documents importés depuis Google Drive suivent ensuite les règles de conservation du dossier RG CRM 2 auquel ils sont rattachés.
Une demande de suppression peut être adressée à [email protected]. Certaines données peuvent devoir être conservées lorsqu’une obligation légale ou la défense d’un droit l’exige.
Sécurité des données
RG CRM 2 est conçu selon une logique de séparation entre sociétés et de moindre privilège. Les mesures techniques et organisationnelles comprennent notamment :
- séparation logique des données par société et contrôles d’accès liés aux rôles et aux chantiers ;
- communications chiffrées en transit via HTTPS ;
- stockage privé des documents métier qui ne sont pas destinés à être publics ;
- chiffrement côté serveur des jetons de renouvellement Google Drive ;
- secrets et clés sensibles conservés côté serveur, sans exposition volontaire dans les applications clientes ;
- journalisation des opérations sensibles et mécanismes de révocation des accès.
Aucun système ne peut garantir une sécurité absolue. RG CRM 2 fait évoluer ses mesures de sécurité en fonction du produit, des risques identifiés et de l’état de l’art.
Vos droits
Lorsque le RGPD s’applique et selon la base légale du traitement, vous pouvez disposer notamment des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit de retirer votre consentement lorsqu’un traitement est fondé sur celui-ci.
Pour exercer vos droits, écrivez à [email protected] en indiquant suffisamment d’éléments pour identifier votre compte et la demande. Lorsque les données sont traitées pour le compte d’une entreprise cliente de RG CRM 2, la demande peut être transmise ou orientée vers cette entreprise si elle est le responsable de traitement concerné.
Vous pouvez également introduire une réclamation auprès de la CNIL, l’autorité française de protection des données.
Mineurs
RG CRM 2 est un service professionnel destiné aux entreprises, à leurs collaborateurs, clients et partenaires dans le cadre d’une activité liée au bâtiment. Le service n’est pas conçu comme un service destiné aux enfants.
Évolution de cette politique
Cette politique peut évoluer lorsque RG CRM 2 ajoute une fonction, modifie un prestataire, fait évoluer une intégration ou lorsqu’une mise à jour réglementaire le nécessite. La date de dernière mise à jour figure en haut de cette page.
Pour toute question concernant cette politique : [email protected].