Version 1.0 — En vigueur au 17 avril 2026
Politique de confidentialité
Conforme au Règlement (UE) 2016/679 (RGPD), à la Loi Informatique et Libertés modifiée, et aux recommandations de la CNIL.
1. Responsable de traitement
Le responsable du traitement des données personnelles est la société MS Distribution, SAS au capital de 10 000 €, immatriculée au RCS de Bordeaux sous le SIREN 101 189 165, dont le siège social est situé au 16 Place des Quinconces, 33000 Bordeaux — exploitant la marque ENR Connect.
Contact du Délégué à la Protection des Données (DPO) : dpo@enrconnect.fr
Adresse postale DPO : MS Distribution — Service DPO, 16 Place des Quinconces, 33000 Bordeaux.
2. Données collectées
2.1 Données fournies directement par l'utilisateur
- Données de compte : prénom, nom, email, mot de passe (haché en bcrypt/argon2), téléphone.
- Données d'entreprise : raison sociale, SIRET, SIREN, adresse, code postal, ville, téléphone.
- Documents professionnels : Kbis, RIB, RC pro, décennale, attestations RGE, URSSAF, carte BTP, pièce d'identité du représentant légal.
- Qualifications : RGE QualiPac, QualiPV, QualiBois, QualiSol CESI/SSC, Ventilation+, Qualibat ITE/ITI/Menuiserie.
- Données de mission : coordonnées du Client final, adresse chantier, équipement, montants, photos, PV.
2.2 Données collectées automatiquement
- Données de connexion : adresse IP, date et heure de connexion, User-Agent, navigateur, système d'exploitation.
- Données de navigation : pages consultées, clics, interactions avec la Plateforme.
- Géolocalisation : des photos horodatées eIDAS prises depuis l'application mobile lors de l'exécution des chantiers (avec consentement explicite de l'utilisateur).
- Logs de sécurité : tentatives d'authentification, appels API, actions sensibles (audit trail).
2.3 Données collectées via des tiers
- API recherche-entreprises.api.gouv.fr (INSEE) : vérification d'existence et d'activité des entreprises inscrites à partir du SIRET.
- Annuaire France Rénov' : vérification de la validité des qualifications RGE déclarées.
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Gestion du compte utilisateur et authentification | Exécution du contrat (art. 6.1.b RGPD) |
| Vérification d'identité (KYC) pour Mangopay | Obligation légale (art. 6.1.c — Code monétaire et financier) |
| Gestion des missions et mise en relation | Exécution du contrat |
| Prélèvement SEPA et paiement séquestre | Exécution du contrat |
| Calcul du score qualité et matching | Intérêt légitime (art. 6.1.f) |
| Horodatage eIDAS des photos de chantier | Exécution du contrat + obligation légale (preuve d'exécution) |
| Extraction IA des devis via Claude (Anthropic) | Exécution du contrat (service demandé par l'utilisateur) |
| Envoi de newsletters marketing | Consentement (art. 6.1.a) avec opt-in explicite et opt-out à tout moment |
| Mesure d'audience et amélioration du service | Intérêt légitime (mesure d'audience exemptée de consentement par la CNIL si paramétrage approprié) |
| Logs de sécurité et audit trail | Intérêt légitime (sécurité) et obligation légale (LCEN art. 6) |
| Conservation des documents de mission | Obligation légale (prescription décennale — art. 1792 Code civil) |
4. Destinataires et sous-traitants (article 28 RGPD)
Les données sont traitées par ENR Connect et par les sous-traitants suivants, chacun liés par un contrat de sous-traitance conforme à l'article 28 du RGPD :
| Sous-traitant | Finalité | Localisation |
|---|---|---|
| Supabase (EU Frankfurt) | Base de données, authentification, stockage | Union Européenne (DE) |
| Mangopay SA | Services de paiement, séquestre, wallets, KYC | France, Luxembourg |
| Yousign | Signature électronique qualifiée eIDAS | France |
| Universign | Horodatage qualifié eIDAS | France |
| Brevo (ex-Sendinblue) | Emails transactionnels et marketing, SMS | France |
| Vercel Inc. | Hébergement de la Plateforme, CDN | États-Unis (SCC + DPF) |
| Anthropic, PBC | Extraction IA des devis (ENR Connect Vision) | États-Unis (SCC + zero data retention activé) |
| API recherche-entreprises.api.gouv.fr | Vérification SIRET | France (DINUM) |
Transferts hors Union Européenne
Certains sous-traitants (Vercel, Anthropic) peuvent être amenés à traiter des données depuis les États-Unis. Ces transferts sont encadrés par les Clauses Contractuelles Types (Standard Contractual Clauses, décision CE 2021/914) et, pour Vercel et Anthropic, par leur adhésion au Data Privacy Framework (DPF) UE-US. Pour Anthropic, l'option « Zero Data Retention » est activée contractuellement afin que les contenus envoyés à l'API ne soient pas utilisés pour l'entraînement des modèles ni conservés plus de 30 jours.
5. Durées de conservation
- Données de compte actif : tant que le compte est actif + 3 ans après la dernière activité (prospect commercial).
- Données après résiliation : 3 ans à compter de la résiliation, puis archivage intermédiaire 5 ans.
- Documents de mission : 10 ans à compter de la fin du chantier (prescription décennale des constructeurs — article 1792 Code civil).
- Factures et documents comptables : 10 ans (Code de commerce art. L.123-22).
- Données KYC Mangopay : 5 ans après la fin de la relation (LCB-FT — art. L.561-12 CMF).
- Logs de sécurité et audit trail : 1 an (LCEN art. 6-II).
- Cookies et traceurs : 13 mois maximum (recommandation CNIL).
- Consentements marketing : 3 ans à compter du dernier contact actif.
- Données des prospects non-utilisateurs (formulaires de contact) : 3 ans.
6. Sécurité des données
ENR Connect met en œuvre les mesures techniques et organisationnelles suivantes :
- Chiffrement des données en transit (TLS 1.3) et au repos (AES-256) ;
- Authentification forte via Supabase Auth (hachage bcrypt/argon2 des mots de passe, tokens PKCE) ;
- Politique de contrôle d'accès stricte (RLS PostgreSQL sur toutes les tables) ;
- Journalisation des accès sensibles (audit logs append-only) ;
- Horodatage eIDAS des documents critiques ;
- Tests de sécurité réguliers et audits annuels ;
- Signature HMAC-SHA256 des webhooks sortants ;
- Protection anti-bot (Vercel BotID) sur les routes sensibles ;
- Rate limiting des endpoints API et d'authentification ;
- Sauvegardes chiffrées quotidiennes conservées 30 jours.
7. Droits des personnes concernées
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
- Droit d'accès (art. 15) : obtenir la confirmation que vos données sont traitées et en recevoir une copie.
- Droit de rectification (art. 16) : corriger les données inexactes ou incomplètes.
- Droit à l'effacement (art. 17) : demander la suppression de vos données, sous réserve des obligations légales de conservation.
- Droit à la limitation (art. 18) : demander la suspension temporaire du traitement.
- Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré (JSON) pour les transmettre à un autre responsable de traitement.
- Droit d'opposition (art. 21) : s'opposer au traitement fondé sur l'intérêt légitime ou à des fins de prospection.
- Droit de ne pas faire l'objet d'une décision entièrement automatisée (art. 22) : le matching des missions intègre une part d'automatisation ; une intervention humaine peut être demandée.
- Directives post-mortem (loi Informatique et Libertés art. 85) : définir le sort de vos données après votre décès.
Pour exercer vos droits, adressez un email à dpo@enrconnect.fr avec la copie d'une pièce d'identité. Réponse sous 1 mois (prorogeable de 2 mois si complexité).
8. Cookies et traceurs
ENR Connect utilise les catégories de cookies suivantes :
- Cookies strictement nécessaires (session, authentification, CSRF) : exemptés de consentement (art. 82 LIL).
- Cookies de mesure d'audience : paramétrés pour être exemptés de consentement selon les recommandations CNIL (anonymisation IP, pas de recoupement).
- Cookies de personnalisation et marketing : soumis à consentement préalable via le bandeau dédié.
Un bandeau de gestion des cookies permet d'accepter, refuser ou paramétrer finement chaque catégorie. Le choix est révocable à tout moment depuis la page « Paramètres > Confidentialité ».
9. Réclamation auprès de la CNIL
Si vous estimez que vos droits ne sont pas respectés, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés :
CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr
10. Mises à jour
La présente politique peut être mise à jour pour refléter les évolutions du service ou de la réglementation. Toute modification substantielle est notifiée par email et bandeau sur la Plateforme au moins 30 jours avant son entrée en vigueur.
Pour toute question : dpo@enrconnect.fr