Politique de confidentialité

Cette politique explique quelles données personnelles I2A-CRISTAL utilise, pourquoi, pendant combien de temps, à qui elles sont transmises, et comment exercer vos droits. Elle s'adresse aux clients et à leurs contacts, aux prospects, aux salariés et à toute personne qui utilise l'application I2A-CRISTAL (www.i2a-cristal.app).

1. Qui est responsable de vos données

I2A-CRISTAL (SASU), SIRET 949 062 202 00021, 13 avenue Morane Saulnier, Bâtiment le Blériot, 78140 Vélizy-Villacoublay, représentée par M. Abderahmane RAHIM, Président.

Pour toute question ou pour exercer vos droits : administrateur@i2a-cristal.app — 06 41 21 00 97 — ou par courrier à l'adresse ci-dessus. La société n'est pas tenue de désigner un délégué à la protection des données.

2. Les données utilisées, et pourquoi

Les données viennent de vous, de votre employeur ou de votre mandant lorsqu'il vous désigne comme contact, ou de sources publiques pour les prospects professionnels. Les données marquées comme nécessaires au contrat ou à la loi sont obligatoires : sans elles, la prestation ou le contrat de travail ne peut pas être exécuté.

Géolocalisation. Elle ne fonctionne que pendant les créneaux inscrits au planning, lorsque l'agent l'a activée, et s'arrête pendant les pauses. Aucun historique de trajet n'est conservé. Les agents reçoivent une note d'information détaillée, annexée au règlement intérieur.

Photos. Les photos d'intervention sont cadrées sur les lieux, sans visage ni plaque d'immatriculation.

3. Combien de temps les données sont conservées

4. Qui reçoit les données

Les données ne sont jamais vendues ni louées. Elles sont accessibles, chacun pour ce qui le concerne :

• à la direction d'I2A-CRISTAL ;
• au comptable et au gestionnaire de paie ;
• aux organismes sociaux et fiscaux (URSSAF, caisses de retraite, administration fiscale), à l'organisme de complémentaire santé, à l'inspection du travail sur demande ;
• au client, pour ses propres données, et pour ses sites : les dates et horaires de passage, le prénom de l'agent, les fiches et photos d'intervention. Le client ne voit jamais la position d'un agent ;
• au donneur d'ordre et au coordonnateur de sécurité, pour les documents de sécurité des chantiers ;
• à nos prestataires informatiques, qui agissent sur nos instructions : Google (Firebase : base de données, comptes d'accès), IONOS (hébergement du site), EmailJS (envoi des e-mails de l'application), Anthropic (assistant d'intelligence artificielle), ainsi que des services techniques de cartographie et de chargement de l'application, qui reçoivent l'adresse IP de l'appareil.

Un salarié ne voit que ses propres données ; un client ne voit que les siennes.

5. Intelligence artificielle

L'application propose à la direction des fonctions d'aide fondées sur un service d'intelligence artificielle (Claude, de la société Anthropic). Elles servent à rédiger des brouillons (devis, relances, messages), à résumer l'activité, à proposer une organisation du planning, à repérer les anomalies de pointage et à lire des factures pour en reprendre les montants.

Lorsqu'une de ces fonctions est utilisée, les informations nécessaires sont envoyées au prestataire. Le nom des salariés, des clients et des sites n'est pas transmis : il est remplacé par un code avant l'envoi, puis rétabli à l'affichage. Selon la fonction, il peut s'agir du contenu d'un devis ou d'une relance, du poste, des horaires et des retards d'un agent désigné par un code, ou de la commune d'un site. Seules les factures données à lire sont transmises telles quelles, avec le nom qui y figure. Les relevés bancaires, le numéro de sécurité sociale et la position GPS des agents ne sont jamais envoyés.

Aucune décision n'est prise par l'intelligence artificielle seule. Elle fait des propositions ; la direction les relit et décide. Le prestataire agit comme sous-traitant : il traite les données uniquement pour fournir le service, ne les utilise pas pour entraîner ses modèles et les supprime dans un délai de 30 jours, sauf obligation légale.

6. Données hors de l'Union européenne

La base de données de l'application est hébergée dans l'Union européenne (Belgique). Certains prestataires sont établis aux États-Unis ou y traitent des données : le service de comptes d'accès de Google (e-mail, mot de passe chiffré, adresse IP) et le service d'intelligence artificielle d'Anthropic. Ces transferts sont encadrés par les garanties prévues par le RGPD : adhésion du prestataire au cadre de protection des données Union européenne – États-Unis, ou engagements contractuels de protection des données. Vous pouvez en demander le détail à l'adresse indiquée au point 1.

7. Sécurité

L'accès à l'application se fait par un compte personnel et un mot de passe. Chaque compte client est validé par l'administrateur avant son ouverture. Les droits dépendent du rôle : administrateur, salarié, client, comptable. Les échanges avec l'application sont chiffrés. Tout incident de sécurité présentant un risque pour vos données est déclaré à la CNIL et, si le risque est élevé, vous en êtes informé.

8. Cookies

L'application n'utilise ni cookie publicitaire ni outil de mesure d'audience. Elle enregistre sur votre appareil uniquement ce qui est nécessaire à son fonctionnement (maintien de la connexion, préférences d'affichage).

9. Vos droits

Vous pouvez à tout moment :

• consulter les données qui vous concernent et en obtenir une copie ;
• les faire corriger si elles sont inexactes ;
• demander leur effacement, lorsque la loi n'impose pas de les conserver ;
• demander que leur usage soit limité ;
• vous opposer à un traitement fondé sur l'intérêt légitime, pour un motif tenant à votre situation, et sans motif à toute prospection commerciale ;
• récupérer les données que vous avez fournies, dans un format courant ;
• donner des instructions sur le sort de vos données après votre décès.

Écrivez à administrateur@i2a-cristal.app. Une réponse vous est donnée dans un délai d'un mois. Une pièce d'identité ne vous est demandée qu'en cas de doute sur votre identité.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL : www.cnil.fr — 3 place de Fontenoy, 75007 Paris.

10. Mise à jour

Cette politique est mise à jour à chaque évolution de l'application ou de la réglementation. La version en vigueur est accessible depuis la page de connexion de l'application.

Version 1.0 — 3 octobre 2026.