Politique de confidentialité
Dernière mise à jour : 5 avril 2026
1. Introduction
[À COMPLÉTER - NOM SOCIÉTÉ] (ci-après « InovCrea », « nous ») s'engage à protéger la vie privée des utilisateurs de son site inovcrea.com (ci-après « le Site ») et de ses services.
La présente politique de confidentialité décrit les données personnelles que nous collectons, les finalités de leur traitement, les bases légales sur lesquelles nous nous appuyons, ainsi que les droits dont vous disposez conformément au Règlement Général sur la Protection des Données (RGPD — Règlement UE 2016/679) et à la loi Informatique et Libertés du 6 janvier 1978 modifiée.
En utilisant le Site, vous reconnaissez avoir pris connaissance de la présente politique.
2. Responsable du traitement
Le responsable du traitement des données personnelles est :
[À COMPLÉTER - NOM SOCIÉTÉ], [À COMPLÉTER - FORME JURIDIQUE] au capital de [À COMPLÉTER - CAPITAL] euros.
Siège social : [À COMPLÉTER - ADRESSE SIÈGE SOCIAL].
Contact : dpo@inovcrea.fr
3. Données personnelles collectées
Nous collectons les catégories de données suivantes :
Données d'identification et de compte
• Adresse email, mot de passe (haché).
• Nom et prénom (si renseignés dans le profil ou le business plan).
• Photo de profil (si importée).
• Identifiants OAuth (Google) en cas de connexion via un compte tiers.
Données de business plan
Les informations saisies dans les 4 phases du business plan :
• Identité : nom du projet, description d'activité, code NAF, fondateurs, localisation.
• Étude de marché : données de marché, concurrents, positionnement, analyse SWOT.
• Étude juridique : forme juridique sélectionnée, régime fiscal, paramètres de rémunération.
• Étude financière : chiffre d'affaires prévisionnel, charges, investissements, emprunts.
Ces données sont nécessaires à la fourniture du service et constituent le cœur de la prestation.
Données de conversation (Copilot)
• Messages échangés avec l'assistant conversationnel.
• Historique de conversation, stocké dans la base de données et associé au projet.
Important : avant tout envoi à l'intelligence artificielle, les données personnelles (noms, emails, téléphones, SIREN/SIRET, adresses) sont systématiquement masquées. L'IA ne reçoit jamais de données personnelles identifiantes.
Données du Pitch Room
• Scripts de pitch générés par l'IA.
• Enregistrements vidéo (stockés sur Cloudflare R2, région UE).
• Messages de contact reçus via la page publique.
• Événements d'audience anonymisés (vues de page, lectures vidéo).
Données techniques et de navigation
• Adresse IP (pour la limitation de débit et la sécurité).
• Type de navigateur, système d'exploitation, résolution d'écran.
• Pages consultées, horodatage des visites.
Ces données sont collectées de manière anonymisée via Plausible Analytics (sans cookies, sans données personnelles) et PostHog (côté serveur uniquement, données masquées).
4. Finalités et bases légales du traitement
Chaque traitement de données repose sur une base légale définie à l'article 6 du RGPD :
Exécution du contrat (Art. 6.1.b)
• Création et gestion de votre compte utilisateur.
• Fourniture du service de création de business plan (saisie, calcul, export).
• Fonctionnement de l'assistant conversationnel (Copilot).
• Génération de scripts de pitch et hébergement des pages publiques.
• Envoi d'emails transactionnels (vérification, réinitialisation de mot de passe).
Consentement (Art. 6.1.a)
• Utilisation de cookies non essentiels.
• Inscription à la newsletter (lorsque disponible).
Intérêt légitime (Art. 6.1.f)
• Amélioration du service et mesure d'audience anonymisée.
• Sécurité du Site, prévention de la fraude et des abus.
• Suivi des erreurs et surveillance applicative (Sentry).
Obligation légale (Art. 6.1.c)
• Conservation des données comptables et fiscales selon la législation en vigueur.
5. Destinataires et sous-traitants
Vos données personnelles peuvent être transmises aux sous-traitants suivants, strictement dans la limite des finalités décrites ci-dessus :
Hébergement et infrastructure
• Vercel Inc. — hébergement applicatif et CDN.
• Neon Inc. — base de données PostgreSQL (région UE : eu-central-1).
• Upstash Inc. — cache Redis et limitation de débit (région UE).
• Cloudflare Inc. (R2) — stockage objet pour exports et vidéos.
Intelligence artificielle
• Google LLC (Gemini) — génération de texte et assistance conversationnelle. Les données personnelles sont masquées avant envoi.
• Perplexity AI Inc. — recherche documentée de marché avec citations. Les données personnelles sont masquées avant envoi.
Communication et email
• Resend Inc. — envoi d'emails transactionnels (vérification, réinitialisation).
Observabilité et analyse
• Sentry (Functional Software Inc.) — suivi des erreurs applicatives. Les données personnelles sont purgées automatiquement.
• PostHog Inc. — analyse produit côté serveur, hébergé dans l'UE. Masquage des données personnelles avant envoi.
• Plausible Analytics (Plausible Insights OÜ) — mesure d'audience sans cookies ni données personnelles, hébergé dans l'UE.
Autres services
• Inngest Inc. — orchestration de tâches asynchrones (exports, calculs).
• Tally (Tally BV) — formulaires d'enquête de marché.
Aucune donnée personnelle n'est vendue ou cédée à des tiers à des fins commerciales.
6. Transferts de données hors de l'Union européenne
La base de données principale est hébergée dans l'Union européenne (AWS eu-central-1 via Neon).
Certains sous-traitants opèrent depuis les États-Unis (Vercel, Google, Perplexity, Resend, Sentry, Inngest). Ces transferts sont encadrés par :
• Le Data Privacy Framework UE-États-Unis (décision d'adéquation de la Commission européenne du 10 juillet 2023).
• Les clauses contractuelles types (CCT) approuvées par la Commission européenne.
De plus, les données transmises aux services d'intelligence artificielle font l'objet d'un masquage préalable des informations personnelles identifiantes (noms, emails, téléphones, numéros SIREN/SIRET, adresses).
7. Durée de conservation
Les données personnelles sont conservées pour les durées suivantes :
• Données de compte utilisateur : pendant la durée de vie du compte, puis 3 ans après sa suppression à des fins de gestion des litiges.
• Données de business plan : pendant la durée de vie du projet, supprimées en cascade lors de la suppression du compte.
• Conversations Copilot : pendant la durée de vie du projet, supprimées en cascade.
• Vidéos du Pitch Room : pendant la durée de vie du projet, nettoyées automatiquement lors du remplacement.
• Sessions anonymes (invités) : 7 jours.
• Données de mesure d'audience : 26 mois maximum.
• Journaux de sécurité et logs d'erreur : 90 jours.
À l'expiration de ces délais, les données sont supprimées ou anonymisées de manière irréversible.
8. Sécurité des données
Nous mettons en œuvre les mesures techniques et organisationnelles suivantes pour protéger vos données :
• Chiffrement des communications (HTTPS/TLS) sur l'ensemble du Site.
• Hachage des mots de passe (algorithme bcrypt).
• Authentification à deux facteurs disponible (passkeys/WebAuthn).
• Masquage automatique des données personnelles avant tout envoi à des services d'IA tiers.
• Limitation de débit (rate limiting) par utilisateur et par adresse IP.
• Purge automatique des données personnelles dans les rapports d'erreur (Sentry).
• Contrôle d'accès par projet : chaque utilisateur n'accède qu'à ses propres projets.
• Suppression en cascade : la suppression d'un projet entraîne la suppression de toutes les données associées.
9. Vos droits
Conformément au RGPD, vous disposez des droits suivants :
• Droit d'accès (Art. 15) : obtenir la confirmation que des données vous concernant sont traitées et en recevoir une copie.
• Droit de rectification (Art. 16) : demander la correction de données inexactes ou incomplètes.
• Droit à l'effacement (Art. 17) : demander la suppression de vos données dans les conditions prévues par le règlement.
• Droit à la limitation du traitement (Art. 18) : obtenir la limitation du traitement dans certains cas.
• Droit à la portabilité (Art. 20) : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
• Droit d'opposition (Art. 21) : vous opposer au traitement de vos données fondé sur l'intérêt légitime.
• Droit de retirer votre consentement à tout moment, sans affecter la licéité du traitement fondé sur le consentement avant son retrait.
Pour exercer l'un de ces droits, adressez votre demande à : dpo@inovcrea.fr. Nous nous engageons à répondre dans un délai d'un mois.
En cas de difficulté dans l'exercice de vos droits, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :
CNIL — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
Site web : https://www.cnil.fr
11. Modifications de la présente politique
Nous nous réservons le droit de modifier la présente politique de confidentialité à tout moment. En cas de modification substantielle, les utilisateurs seront informés par email ou par une notification visible sur le Site.
La date de dernière mise à jour figurant en haut de cette page fait foi.
Nous vous invitons à consulter régulièrement cette page pour prendre connaissance des éventuelles modifications.
12. Contact
Pour toute question relative à la présente politique de confidentialité ou à l'exercice de vos droits, vous pouvez nous contacter :
• Par email : dpo@inovcrea.fr
• Par courrier : [À COMPLÉTER - NOM SOCIÉTÉ], [À COMPLÉTER - ADRESSE SIÈGE SOCIAL].