Politique de Confidentialité

1. Qui sommes-nous ?

Responsable du traitement : Sylvain Chastang, entrepreneur individuel (régime micro-entreprise), exploitant le nom commercial LUCAS AI — SIREN 518 676 663, SIRET 518 676 663 00033, APE 62.01Z, 6 Impasse des Magnolias 26250 Livron-sur-Drôme, France. Email : contact@vision-btp.fr. TVA non applicable, art. 293 B du CGI.

Contact RGPD : Sylvain Chastang — contact@vision-btp.fr (DPO externe à venir lors de la bascule SAS).

Vision BTP traite des données personnelles dans le cadre de la fourniture du Service LUCAS AI, assistant IA de gestion administrative et financière pour les artisans du BTP.

2. Données collectées

2.1 Données fournies lors de l'inscription

Nom, prénom du dirigeant ou de l'artisan ;
Dénomination sociale et SIRET de l'entreprise ;
Adresse email professionnelle ;
Identifiant utilisateur (identifiant technique) ;
Adresse de facturation ;
Informations de paiement (gérées exclusivement par Stripe — aucune donnée bancaire stockée chez LUCAS AI).

2.2 Données métier créées via le service

Devis, factures et informations clients de l'artisan ;
Planning chantiers, affectation salariés et véhicules ;
Données RH (noms des salariés, dates de congés, habilitations) ;
Informations financières (trésorerie, marges, compte de résultat) ;
Photos et descriptions de chantiers ;
Catalogue de prestations et tarifs.

2.3 Données collectées automatiquement

Logs de connexion (adresse IP, horodatage, navigateur) ;
Données d'utilisation du Service (fonctionnalités utilisées, fréquence) ;
Cookies techniques et analytiques (voir Politique cookies).

2.4 Données non collectées

LUCAS AI ne collecte pas et ne demande jamais : numéros de sécurité sociale, données de santé, données biométriques, informations bancaires directes (IBAN/numéro de carte — ces données transitent exclusivement chez Stripe).

3. Finalités et bases légales des traitements

Finalité	Base légale (RGPD art. 6)	Données concernées
Fourniture du Service LUCAS AI (devis, factures, gestion, IA)	Exécution du contrat (art. 6.1.b)	Toutes données métier + identité + identifiant utilisateur
Facturation et gestion des abonnements	Exécution du contrat (art. 6.1.b)	Identité, SIRET, email, données de paiement
Envoi de notifications et d'alertes via l'application Lucas	Exécution du contrat (art. 6.1.b)	Identifiant utilisateur, contenu des alertes
Gestion du programme de parrainage	Exécution du contrat (art. 6.1.b)	Identité Parrain/Filleul, montants commissions
Mesure d'audience du site (anonymisée)	Intérêt légitime (art. 6.1.f)	Données de navigation anonymisées
Amélioration du Service (analyse d'usage agrégée)	Intérêt légitime (art. 6.1.f)	Données d'usage agrégées et anonymisées
Communication commerciale (newsletter, nouveautés)	Consentement (art. 6.1.a)	Email, opt-in explicite
Respect des obligations légales (comptabilité, fiscalité)	Obligation légale (art. 6.1.c)	Données de facturation

4. Destinataires des données

4.1 Sous-traitants autorisés

Sous-traitant	Rôle	Lieu	Garanties
Supabase	Base de données et authentification	UE (Frankfurt)	DPA signé, SOC2
Netlify	Hébergement site web	CDN EU	DPA signé, SCCs
Stripe	Paiement en ligne	UE / USA	PCI-DSS Level 1, DPA
Anthropic	Traitement IA des requêtes	USA	ZDR (pas d'entraînement), DPA
Google (Analytics/Calendar)	Analytics (opt-in) + Sync agenda	USA / UE	SCCs, DPA

4.2 Partage interdit

LUCAS AI ne vend pas, ne loue pas, ne prête pas et ne cède pas vos données personnelles ou métier à des tiers à des fins commerciales. Tout partage est limité aux sous-traitants listés ci-dessus et aux obligations légales.

5. Traitement IA et application Lucas

5.1 Traitement par intelligence artificielle

Les messages envoyés à LUCAS via l'application sont transmis à l'API d'Anthropic (Claude) pour traitement et génération de réponses. Conformément aux Commercial Terms publics d'Anthropic, les données API client ne sont pas utilisées par Anthropic pour entraîner ses modèles. Elles peuvent être conservées par Anthropic pendant 30 jours maximum à des fins de sécurité (détection d'abus), puis sont supprimées. Un Data Processing Addendum (DPA) avec Anthropic est en cours de mise en place pour formaliser contractuellement ces obligations.

Seul le texte nécessaire au traitement de votre demande est transmis. Les données d'identification directes (SIRET, adresse complète) ne sont pas incluses dans les requêtes envoyées à l'API IA.

5.2 Application Lucas

L'application Lucas est l'interface principale d'interaction avec le service LUCAS AI. Vos données sont traitées conformément à la présente politique.

Nous vous recommandons de ne pas envoyer de données hautement sensibles (mots de passe, données bancaires) via le canal vocal ou textuel de l'application.

5.3 Mémoire artisan (personnalisation)

Pour personnaliser ses réponses et éviter de vous reposer les mêmes questions, Lucas mémorise — strictement dans votre compte (isolation multi-tenant) — vos préférences d'usage et des faits déclarés sur votre entreprise (votre comptable, vos fournisseurs habituels, vos méthodes de travail, l'historique de vos conversations sur 12 mois glissants). Cette mémoire est indissociable du service et traitée sur la base contractuelle (Art. 6§1 b RGPD). Depuis Paramètres → Mes données, vous pouvez à tout moment consulter, corriger ou effacer ce que Lucas a mémorisé.

5.4 Entraînement de l'IA propriétaire Lucas (opt-in)

Avec votre consentement explicite et révocable, vos interactions avec Lucas peuvent contribuer à entraîner une future IA propriétaire Vision BTP spécialisée dans le métier d'artisan BTP. Ce traitement est distinct du service et conditionné aux garanties suivantes :

Opt-in explicite : case à cocher dédiée et non pré-cochée à l'inscription. Modifiable à tout moment dans Paramètres → Mes données → Contribution à l'IA Lucas.
Anonymisation systématique avant tout stockage dans le dataset : suppression des noms de clients, adresses chantier, téléphones, emails, IBAN, montants individualisables. Hachage cryptographique de votre identifiant artisan.
Pas de réidentification possible depuis le modèle entraîné (vérifié par AIPD/DPIA interne).
Pas de cession commerciale : le dataset reste la propriété exclusive de Vision BTP et n'est jamais cédé, vendu ou loué.

Base légale : consentement (Art. 6§1 a RGPD). Retrait : à tout moment dans les paramètres ; vos interactions futures cessent immédiatement de contribuer au dataset. Conservation des contributions passées : les données déjà anonymisées (avant la révocation ou la suppression de votre compte) sont conservées indéfiniment dans le dataset. Conformément à l'article 11 du RGPD, les données anonymes ne constituent plus des données personnelles dès lors que la réidentification est impossible.

5.5 Amélioration du service

LUCAS AI peut analyser des métriques d'usage agrégées et anonymisées (nombre de devis générés, taux de relance, temps moyen de réponse) pour améliorer le Service. Ces analyses ne permettent pas d'identifier un Client individuel.

6. Durées de conservation

Catégorie de données	Durée de conservation	Justification
Données d'identification (compte)	Durée de l'abonnement + 3 ans	Prescription légale commerciale
Données métier (devis, factures)	Durée de l'abonnement + 30 jours après résiliation	Export possible pendant 30 jours
Données de facturation	10 ans	Obligation légale comptable (art. L123-22 Code de commerce)
Logs de connexion	12 mois	Sécurité et conformité légale
Données analytiques (anonymisées)	26 mois	Conformité CNIL guidelines
Données de parrainage	Durée de la relation + 5 ans	Prescription commerciale
Contenu des requêtes IA (Anthropic)	30 jours max	Trust & Safety Anthropic (détection d'abus), puis suppression. Non utilisé pour entraîner les modèles Anthropic (Commercial Terms).
Contributions au dataset Vision BTP (si opt-in)	Indéfinie (anonymisée)	Art. 11 RGPD : données anonymes non-personnelles. Le retrait du consentement stoppe les contributions futures.

7. Sécurité des données

LUCAS AI met en œuvre les mesures de sécurité techniques et organisationnelles suivantes :

Chiffrement en transit : HTTPS/TLS 1.3 sur toutes les communications web et API ;
Chiffrement au repos : Données chiffrées en base (AES-256 via Supabase) ;
Isolation des données : Row Level Security (RLS) — chaque Client ne peut accéder qu'à ses propres données ;
Accès restreint : Accès aux données de production limité au personnel autorisé avec authentification forte ;
Sauvegardes : Sauvegardes automatiques quotidiennes avec rétention 30 jours ;
Surveillance : Monitoring et alertes en temps réel sur les anomalies d'accès.

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour vos droits et libertés, nous nous engageons à vous notifier dans les 72 heures conformément à l'article 33 du RGPD.

8. Transferts hors Union Européenne

Certains de nos sous-traitants (Anthropic, Stripe, Netlify) sont établis hors de l'UE, principalement aux États-Unis. Ces transferts sont encadrés par :

Des Clauses Contractuelles Types (CCT) approuvées par la Commission européenne ;
L'adhésion au Data Privacy Framework EU-USA pour les opérateurs concernés ;
Des accords de traitement des données (DPA) spécifiques avec chaque sous-traitant.

Pour toute demande d'information sur ces garanties, contactez : contact@vision-btp.fr

9. Vos droits

Conformément au RGPD (articles 15 à 21), vous disposez des droits suivants sur vos données personnelles :

Droit d'accès (art. 15)

Obtenir une copie de toutes vos données traitées par LUCAS AI.

Droit de rectification (art. 16)

Faire corriger toute donnée inexacte ou incomplète vous concernant.

Droit à l'effacement (art. 17)

Demander la suppression de vos données, sous réserve des obligations légales de conservation.

Droit à la portabilité (art. 20)

Recevoir vos données dans un format structuré et lisible par machine (CSV/JSON).

Droit d'opposition (art. 21)

Vous opposer au traitement de vos données pour des finalités basées sur l'intérêt légitime.

Droit de limitation (art. 18)

Demander la suspension temporaire du traitement de vos données dans certains cas.

Retrait du consentement

Retirer votre consentement à tout moment (newsletters, cookies analytiques).

Droit de réclamation

Introduire une réclamation auprès de la CNIL : cnil.fr

Comment exercer vos droits ?

Envoyez votre demande à : contact@vision-btp.fr — Objet : « Exercice de droits RGPD — [Votre SIRET] »

Délai de réponse : 30 jours maximum (extensible à 3 mois pour les demandes complexes, avec notification dans le premier mois).

Une pièce justificative d'identité pourra être demandée pour protéger vos données contre tout accès non autorisé.

10. Cookies

Le site lucas-ai.fr utilise des cookies. Pour le détail complet de notre gestion des cookies, consultez notre Politique de gestion des cookies.

11. Modifications de la politique de confidentialité

La présente politique peut être mise à jour pour refléter les évolutions légales, réglementaires ou liées au Service. Toute modification substantielle est notifiée au Client par email avec un préavis de 30 jours. La version en vigueur est toujours accessible sur lucas-ai.fr/pdc.html avec sa date de mise à jour.

12. Contact — Délégué à la Protection des Données

Sylvain Chastang — Délégué à la Protection des Données
Email : contact@vision-btp.fr
Objet : « DPO LUCAS AI »
Adresse postale : Vision BTP — Livron-sur-Drôme (26250), France

Autorité de contrôle : CNIL — Commission Nationale de l'Informatique et des Libertés
3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr