RGPD
Vos droits, et comment les exercer
Sans formulaire à remplir, sans justificatif superflu, sans délai d'attente inventé. Un e-mail suffit.
Pour les traitements dont nous sommes responsables, le responsable du traitement est SERPENTIS, SAS, Place de la Bergère, 13190 Allauch, RCS Marseille 941 606 493, qui exploite le service sous le nom commercial +Connect — contact : contact@getplusconnect.com.
D'abord : à qui adresser votre demande
+Connect porte deux casquettes selon la situation. Ce n'est pas une subtilité juridique gratuite : elle détermine à qui vous devez écrire.
| Votre situation | Responsable | À qui écrire |
|---|---|---|
| Vous avez candidaté au programme bêta | +Connect | Directement à nous |
| Vous êtes le dirigeant, et vous avez souscrit à +Connect | +Connect, pour ce qui relève de notre relation : facturation, sécurité du service, votre compte de souscription | Directement à nous |
| Vous êtes membre de l'équipe d'une entreprise cliente (salarié, associé, prestataire invité) et elle vous a ouvert un accès | Votre entreprise — c'est elle qui crée, alimente et supprime votre compte | À elle ; nous l'assistons. Trois exceptions : le journal de sécurité que nous tenons de notre propre initiative — votre entreprise ne décide ni de son existence, ni de son contenu, ni de sa durée —, les statistiques pseudonymisées des demandes que la barre n'a pas su traiter, que nous établissons pour améliorer le service, et les journaux techniques de nos serveurs (politique, § 1). Pour ceux-là, écrivez-nous directement : c'est nous qui en répondons. |
| Vous apparaissez dans les documents d'une entreprise cliente (salarié, client, fournisseur) | Cette entreprise | À elle ; nous ne pouvons pas agir sans son instruction — sauf pour le journal de sécurité et les journaux techniques de nos serveurs (lignes précédentes) : écrivez-nous directement. |
Dans le doute, écrivez-nous : nous vous dirons qui est compétent, et nous transmettrons si nécessaire.
Pourquoi cette ligne est coupée en deux. Une même personne peut relever des deux régimes : nous sommes responsables de la relation d'abonnement que nous avons avec vous, et simples exécutants pour tout ce que votre entreprise décide de faire de ses données et de celles de ses salariés, hors les trois exceptions ci-dessus. C'est cette frontière qui détermine qui doit notifier qui en cas d'incident — nous préférons l'écrire que de la laisser floue.
Vos droits
| Droit | Ce que vous pouvez demander |
|---|---|
| Accès (art. 15) | La copie de toutes les données que nous détenons sur vous, y compris les notes internes vous concernant. |
| Rectification (art. 16) | La correction d'une donnée inexacte ou incomplète. |
| Effacement (art. 17) | La suppression de vos données, sauf ce que la loi nous impose de conserver (une facture émise, par exemple, se conserve dix ans). |
| Limitation (art. 18) | Le gel d'un traitement le temps qu'une contestation soit tranchée. |
| Opposition (art. 21) | L'arrêt d'un traitement fondé sur notre intérêt légitime — nos messages d'information, notamment. |
| Portabilité (art. 20) | Vos données dans un format lisible par une machine, pour les emporter ailleurs. |
| Retrait du consentement (art. 7.3) | Le retrait, aussi simple que l'accord initial. Retirer l'accord au rappel téléphonique efface le numéro dans la même opération. |
Ce qui est déjà en libre-service
Certains droits n'exigent aucun échange avec nous : ils sont câblés dans le produit.
- Exporter vos données depuis l'espace « Export & RGPD » de votre
compte. Voici ce que l'export contient, et ce qu'il ne contient pas — un constat, relevé dans
notre code, pas une promesse :
- L'archive complète (le dirigeant seul) : vos factures émises, avoirs compris, avec leur index et le PDF scellé de chacune qui en a un ; vos paiements ; vos clients — y compris leurs allergies et leur consentement, des données de santé — et vos chantiers ; et, pour un cabinet de syndic, vos copropriétés (archivées comprises, avec l'adresse de connexion de leur gestionnaire et de leur assistant(e)), leurs personnes (notes comprises), vos demandes (notes d'appel et relances comprises, avec la personne assignée) et leur fil, vos dossiers de vente et leurs pièces cochées, vos assemblées générales, vos suppléances en cours et à venir et le journal des documents joints aux e-mails envoyés depuis +Connect (le jour, la voie, le nom — s'il est encore dans vos documents — et le poids du document, pas le document lui-même). Toutes les lignes, sans le plafond de 1 000 lignes : au-delà de 50 000 factures, de 2 000 000 de lignes dans un fichier, ou si l'archive dépasse 4 294 967 295 octets (environ 4,3 Go, la limite du format ZIP), l'archive est refusée, jamais coupée ; écrivez-nous alors à support@getplusconnect.com. Elle se télécharge pendant 24 heures au plus (un redéploiement l'efface plus tôt ; l'écran propose alors d'en préparer une autre), et se prépare pendant la vie de votre entreprise et les quatre-vingt-dix jours de lecture qui suivent une fermeture ou une résiliation.
- Les exports par catégorie (le dirigeant seul), plafonnés à 1 000 lignes : vos avis, vos ventes, vos factures d'achat, l'inventaire de vos documents — leur nom, leur dossier, leur type, leur date, mais pas les fichiers eux-mêmes — et les extraits de votre cerveau, coupés à 200 caractères ; au-delà de 1 000 lignes, l'export est refusé. Les catégories proposées dépendent de votre métier.
- L'export complet de l'entreprise (le dirigeant seul) : les mêmes sources, plus vos devis, vos demandes de prospects et vos réponses à la question « Nouveau contact » (une adresse ou un domaine dit client, fournisseur ou à ignorer), en un seul fichier, plafonné à 1 000 lignes au total : au-delà, l'export est refusé.
- Vos données personnelles (chaque utilisateur, sur lui-même) : votre compte, vos conversations avec le cerveau, votre mémoire de barre, vos actions reportées, vos appareils, vos boîtes mail connectées et les envois que vous en avez faits (le journal, sans le message), vos Google Drive connectés et les imports que vous en avez demandés (sans le nom des fichiers), vos demandes d'export, votre journal, votre lien à une fiche du personnel et, dans un cabinet de syndic, votre abonnement au brief du matin par mail et vos suppléances (votre rôle, les dates, l'instant de l'enregistrement et, le cas échéant, celui de la fin anticipée ; si vous étiez remplacé(e), l'adresse de qui vous remplaçait).
- Supprimer votre compte utilisateur depuis le même espace. La suppression prend effet immédiatement sur la base qui fait tourner le produit : votre session est révoquée et l'attestation de suppression s'affiche à l'écran — enregistrez-la avant de fermer la page, elle n'est pas renvoyée ensuite. Une exception : si vous êtes le dernier propriétaire de l'entreprise, la suppression est refusée tant qu'un autre propriétaire n'a pas été désigné — sans quoi le compte de l'entreprise resterait sans personne pour en répondre.
- Vous désinscrire de nos messages en un clic, depuis n'importe lequel d'entre eux.
Une réserve, et nous préférons l'écrire ici plutôt qu'en petits caractères. « Immédiatement » vaut de la base qui répond au produit. Nos copies de sauvegarde, elles, ne sont pas rouvertes pour y faire du tri : une donnée effacée peut y subsister jusqu'à douze mois, sans jamais servir au fonctionnement du produit, puis elle disparaît d'elle-même. Si l'une d'elles était remontée après un incident, votre demande y serait réappliquée. Le détail — ce qui est conservé, combien de temps, et dans quels cas ces copies sont ouvertes — est dans la politique de confidentialité, section « Les sauvegardes ».
L'export de vos données personnelles et la suppression de votre compte sont ouverts à tous les utilisateurs, pas seulement au propriétaire du compte : un droit réservé au patron n'est pas un droit.
Comment exercer un droit
Écrivez à contact@getplusconnect.com en indiquant ce que vous demandez. C'est tout.
- Délai : un mois, prolongeable de deux mois pour une demande complexe — auquel cas nous vous prévenons avant l'échéance, avec la raison.
- Coût : gratuit.
- Justificatif d'identité : demandé seulement en cas de doute sérieux sur votre identité, et jamais « par principe ».
- Réponse : écrite, même quand elle est négative — auquel cas elle est motivée et vous rappelle vos voies de recours.
Réclamation
Si notre réponse ne vous satisfait pas, vous pouvez saisir la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07. Vous n'avez pas à nous en informer au préalable, et nous ne vous en tiendrons pas rigueur.
Nos engagements, côté technique
- Minimisation. Nous ne collectons pas une donnée « au cas où » : chaque champ du formulaire de candidature correspond à une finalité déclarée. Deux colonnes ont été remises en cause en interne pour ce seul motif avant la mise en ligne.
- Cloisonnement. Les données d'une entreprise ne sont jamais mélangées à celles d'une autre dans l'application, et ce cloisonnement est retesté automatiquement à chaque livraison. Des accès techniques font exception, et notre politique de confidentialité les décrit un par un. Ces tests couvrent les surfaces les plus sensibles, et cette couverture n'est pas encore complète : nous l'étendons, et nous préférons le dire que de laisser croire à un contrôle exhaustif.
- Journalisation. Les opérations sensibles s'inscrivent dans un journal que l'application elle-même ne peut pas réécrire.
- Photos. Les coordonnées GPS sont retirées avant l'enregistrement. Si le retrait échoue, l'image n'est pas conservée — le texte qui en a été extrait, lui, reste, et la lecture du fichier a déjà eu lieu à ce stade.
- Journaux techniques. Ils contiennent l'adresse IP, le navigateur et l'adresse complète des requêtes — y compris ce que vous tapez dans une recherche —, des identifiants et des compteurs ; notre hébergeur les stocke aux États-Unis (voir la politique de confidentialité). Un filtre automatique censure à l'écriture les champs porteurs de données personnelles — le texte des documents déposés, les coordonnées bancaires, les données de santé, les coordonnées de contact — et un contrôle refuse toute donnée nouvelle qui ne serait pas classée, sur les tables recensées au registre des traitements. Quelques champs techniques restent lisibles pour le diagnostic : ils sont recensés un par un, avec leur motif.
Registre, contrat de sous-traitance, transferts
- Registre des activités de traitement (art. 30) : tenu à jour, et communiqué à l'autorité de contrôle sur demande.
- Contrat de sous-traitance : annexé à nos conditions d'utilisation et accepté avec elles par chaque entreprise cliente (le lire).
- Transferts hors Union européenne : certains de nos moteurs d'IA sont américains, et les journaux techniques de notre hébergeur sont stockés aux États-Unis. Le détail de ce qui sort — pour lire un document comme pour construire une réponse — et de ce qui ne sort pas est écrit dans la politique de confidentialité, avec le régime d'entraînement et de rétention de chaque fournisseur. Nous n'avons pas voulu l'enfouir dans une annexe.
- Délégué à la protection des données : nous n'en avons pas désigné : ce n'est pas obligatoire dans notre situation (article 37 du RGPD). Pour toute question sur vos données : contact@getplusconnect.com.
En cas de violation de données
Si une violation touche les données que nous traitons pour notre propre compte — votre candidature, votre compte de souscripteur, le journal de sécurité, les journaux techniques de nos serveurs, les statistiques des demandes non traitées —, nous notifions la CNIL dans les 72 heures et informons directement les personnes concernées lorsque le risque est élevé. Si elle touche les données qu'une entreprise cliente nous confie, nous l'en informons dans les meilleurs délais, avec les éléments nécessaires à sa propre notification (contrat de sous-traitance, clause 9.2) : c'est elle qui notifie la CNIL et vous informe. Dans les deux cas, nous décrirons ce qui s'est passé, ce qui est touché, et ce que nous faisons — pas une formule.