Politique de confidentialité

Préambule

Plenly accorde une importance primordiale à la protection des données personnelles de ses utilisateurs. La présente Politique de confidentialité est rédigée conformément au Règlement Général sur la Protection des Données (RGPD — Règlement UE 2016/679), à la loi française Informatique et Libertés (loi n°78-17 du 6 janvier 1978 modifiée) et aux recommandations de la CNIL.

Elle vous informe de la manière dont Plenly collecte, traite, conserve et protège vos données à caractère personnel, ainsi que des droits dont vous disposez.

Article 1 — Identité du responsable de traitement

• Dénomination : Plenly
• Exploitant : Marius Moreau
• Forme juridique : Entreprise Individuelle (micro-entrepreneur)
• SIRET : 103 114 410 95 21
• Adresse : Nantes (44000), France
• Email : contact@plenly.io

En l'absence d'obligation légale de désignation d'un Délégué à la Protection des Données (DPO) pour une structure de cette taille, Marius Moreau assure personnellement le rôle de point de contact RGPD. Toute demande relative à vos données peut être adressée à contact@plenly.io.

Article 2 — Catégories de données collectées

2.1 Données d'identification

• Nom, prénom, adresse email
• Numéro de téléphone (WhatsApp Business)
• Adresse postale et SIRET (pour la facturation)
• Photo de profil (si connexion Google OAuth)

2.2 Données professionnelles

• Informations sur l'activité commerciale (secteur, marques représentées)
• Données clients du commercial (noms, coordonnées, historique commandes)
• Catalogues produits et tarifs des marques représentées
• Commandes, devis, factures et commissions

2.3 Données de connexion et logs

• Adresse IP et données de session
• Type de navigateur et système d'exploitation
• Pages visitées, actions effectuées dans l'application
• Logs techniques (Sentry)

2.4 Données de communication

• Notes vocales envoyées via WhatsApp (fichiers audio)
• Transcriptions textuelles des notes vocales (via Whisper/OpenAI)
• Emails et drafts préparés via Gmail/Outlook (uniquement avec autorisation OAuth explicite)
• Contenus générés par l'Assistant IA (résumés, suggestions, devis)

2.5 Données clients du commercial (Plenly en qualité de sous-traitant)

Lorsque l'Utilisateur saisit dans Plenly des données relatives à ses propres clients (personnes physiques), Plenly agit en qualité de sous-traitant au sens de l'article 28 du RGPD. L'Utilisateur est alors responsable de traitement de ces données et garantit disposer d'une base légale valide pour leur traitement dans Plenly.

2.6 Données de facturation

• Coordonnées de facturation
• Historique des transactions (géré par Stripe — Plenly n'a jamais accès aux données de carte bancaire)

2.7 Cookies et traceurs

Voir Politique de cookies.

Article 3 — Finalités du traitement

S'agissant de l'intérêt légitime (3.3 et 3.8), une analyse de mise en balance a été réalisée : les traitements concernés sont proportionnés, limités au strict nécessaire et ne préjudicient pas aux droits fondamentaux des personnes concernées.

Article 4 — Bases légales du traitement

Chaque traitement repose sur l'une des bases légales suivantes prévues par l'article 6 du RGPD :

• Exécution du contrat : traitements nécessaires à la fourniture du Service souscrit
• Consentement : communications marketing, cookies non essentiels (recueillis via le bandeau cookies)
• Intérêt légitime : amélioration du Service, prévention de la fraude, sécurité
• Obligation légale : conservation des données comptables et fiscales, réponse aux injonctions judiciaires

Article 5 — Destinataires des données

5.1 Personnel autorisé de Plenly

Marius Moreau, en sa qualité d'exploitant, accède aux données dans le strict cadre de la fourniture et de l'amélioration du Service, du support client et des obligations légales.

5.2 Sous-traitants (liste exhaustive)

Voir Article 6 ci-dessous.

Article 6 — Sous-traitants et transferts internationaux

Les transferts hors Union Européenne sont encadrés par les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne (décision 2021/914), conformément à l'article 46 du RGPD. Plenly ne vend jamais les données de ses utilisateurs à des tiers.

Engagement sur l'entraînement des modèles IA :

Plenly s'engage à ce que les données de l'Utilisateur ne soient pas utilisées pour entraîner des modèles d'intelligence artificielle sans son consentement explicite. Les sous-traitants IA (Anthropic, OpenAI, Mistral AI) appliquent les mêmes garanties contractuelles via leurs DPA respectifs.

Article 7 — Durée de conservation des données

Article 7 bis — Ce qui subsiste après la suppression d'un compte

L'essai gratuit de Plenly est de quatorze (14) jours, une seule fois par adresse e-mail. Pour que cette règle tienne, une donnée subsiste après la suppression d'un compte, et une seule :

• Ce qui est conservé : une empreinte cryptographique de l'adresse e-mail (SHA-256 salé). Il s'agit d'un calcul à sens unique : l'adresse ne peut pas en être déduite. Aucun nom, aucune donnée métier, aucun historique n'est conservé.
• Finalité, et elle seule : répondre à la question « cette adresse a-t-elle déjà bénéficié de l'essai gratuit ? ». Cette empreinte n'est utilisée à aucune autre fin — ni prospection, ni statistiques, ni recoupement.
• Base légale : intérêt légitime (art. 6.1.f RGPD), à savoir la prévention de l'abus d'une offre d'essai. L'article 17.3 du RGPD prévoit que le droit à l'effacement ne fait pas obstacle à la conservation nécessaire à la constatation et à la défense de droits.
• Durée : douze (12) mois, puis suppression automatique.
• Conséquence concrète : vous pouvez recréer un compte à tout moment avec la même adresse. Un second essai gratuit ne vous sera simplement pas accordé.

Toutes vos autres données sont effacées selon les durées de l'article 7, sans exception.

Article 8 — Droits des personnes concernées

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• 8.1 Droit d'accès (art. 15) : obtenir une copie de toutes vos données personnelles traitées par Plenly.
• 8.2 Droit de rectification (art. 16) : corriger des données inexactes ou incomplètes.
• 8.3 Droit à l'effacement (art. 17) : demander la suppression de vos données (« droit à l'oubli »), sous réserve des obligations légales de conservation et de l'empreinte décrite à l'article 7 bis.
• 8.4 Droit à la limitation (art. 18) : demander la suspension temporaire d'un traitement contesté.
• 8.5 Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
• 8.6 Droit d'opposition (art. 21) : vous opposer à un traitement fondé sur l'intérêt légitime, pour des motifs tenant à votre situation particulière.
• 8.7 Droit de retrait du consentement : retirer à tout moment votre consentement sans affecter la licéité des traitements antérieurs.
• 8.8 Droit de définir des directives post-mortem : définir des instructions sur le sort de vos données après votre décès (art. 85 loi Informatique et Libertés).

8.9 Modalités d'exercice : Par email à contact@plenly.io, en précisant votre identité et la nature de votre demande. Une pièce d'identité pourra être demandée en cas de doute raisonnable sur l'identité du demandeur.

8.10 Délai de réponse : Plenly répond dans un délai maximum d'un (1) mois, prolongeable de deux mois supplémentaires pour les demandes complexes (avec notification dans le premier mois).

8.11 Recours auprès de la CNIL : Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) : www.cnil.fr.

Article 9 — Sécurité des données

Plenly met en œuvre les mesures techniques et organisationnelles suivantes :

• 9.1 Chiffrement des données en transit (TLS 1.2+)
• 9.2 Chiffrement des données au repos (AES-256 via Supabase)
• 9.3 Authentification forte via Supabase Auth (tokens JWT, OTP email)
• 9.4 Logs d'accès et journalisation des actions sensibles
• 9.5 Sauvegardes régulières des données (Supabase)
• 9.6 Accès aux données restreint au strict nécessaire (principe du moindre privilège)

9.6 Procédure en cas de violation de données : En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, Plenly notifiera la CNIL dans un délai de 72 heures conformément à l'article 33 du RGPD, et informera les personnes concernées si le risque est élevé (art. 34 RGPD).

Article 10 — Cookies et traceurs

Voir notre Politique de cookies complète.

• 10.1 Cookies strictement nécessaires : session, authentification — pas de consentement requis.
• 10.2 Cookies analytics : mesure d'audience anonymisée — consentement requis.
• 10.3 Cookies marketing : le cas échéant — consentement requis.
• 10.4 Gestion via le bandeau cookies affiché à la première visite.

Article 10bis — Utilisation des données Google (Gmail et Agenda)

Lorsque vous connectez votre compte Google à Plenly via OAuth 2.0, Plenly accède aux données suivantes :

• Lecture et classement de vos e-mails (scope gmail.modify) : affichage de votre boîte de réception dans l'interface Plenly, et actions que vous déclenchez vous-même — marquer comme lu ou non lu, archiver, mettre à la corbeille. Ce scope n'est jamais utilisé pour supprimer définitivement un message.
• Envoi d'e-mails (scope gmail.send) : envoi d'e-mails en votre nom depuis l'interface Plenly (réponses clients, devis, etc.), après votre validation.
• Lecture de votre agenda (scope calendar.readonly) : affichage de vos rendez-vous dans Plenly, briefing du matin et rappels avant vos rendez-vous.
• Gestion de vos événements (scope calendar.events) : création, modification et suppression des rendez-vous que vous demandez à Plenly de planifier.

Engagements stricts sur l'utilisation des données Google :

• Les données Gmail et Agenda sont utilisées uniquement pour fournir les fonctionnalités de Plenly décrites ci-dessus.
• Elles ne sont jamais utilisées à des fins publicitaires, ni partagées avec des tiers à des fins commerciales.
• Elles ne sont pas utilisées pour entraîner des modèles d'intelligence artificielle, ni les nôtres ni ceux de tiers.
• Aucun humain ne les consulte, sauf accord explicite de votre part, pour résoudre un incident que vous nous signalez, ou si la loi l'exige.
• Les jetons d'accès Google sont stockés chiffrés et utilisés uniquement pour exécuter les actions que vous demandez.
• Vous pouvez révoquer l'accès à tout moment depuis myaccount.google.com/permissions ou depuis les paramètres de votre compte Plenly. La révocation entraîne la suppression des jetons stockés.

L'utilisation des données obtenues via les API Google est conforme à la Politique de données utilisateur des services API Google, y compris les exigences relatives aux utilisations limitées.

Article 11 — Données des mineurs

Le Service Plenly est exclusivement destiné aux professionnels majeurs (18 ans ou plus). Plenly ne collecte pas sciemment de données personnelles concernant des mineurs. Si nous apprenions qu'un mineur nous a communiqué des données sans autorisation parentale, nous procéderions à leur suppression dans les meilleurs délais.

Article 12 — Modifications de la politique

Plenly se réserve le droit de modifier la présente Politique à tout moment. En cas de modification substantielle, les utilisateurs sont informés par email au moins 30 jours avant l'entrée en vigueur. La version en vigueur est celle publiée sur cette page, datée et versionnée.

Article 13 — Contact RGPD

Pour toute question relative à la présente Politique ou à l'exercice de vos droits :

• Email : contact@plenly.io
• Objet recommandé : « Demande RGPD — [nature de la demande] »