La présente politique décrit comment BTP Box collecte, utilise et protège les données à caractère personnel dans le cadre de l'utilisation de ses applications « BTP Box » — le site web (btpbox.fr) et l'application mobile « BTP Box Pointage » (Google Play et App Store) — et de son site public. Elle complète les Conditions générales d'utilisation, les Conditions générales de vente et les mentions légales.

1. Responsable de traitement

Le responsable de traitement est la société BTP Box, SAS au capital de 2 000 €, dont le siège social est situé 200 rue de la Croix Nivert, 75015 Paris, France, immatriculée au RCS de Paris sous le numéro 941 007 320.

Pour toute question relative à cette politique ou pour exercer vos droits : formulaire de contact.

2. Rôles

• Pour les données relatives à la gestion de son propre service (comptes, facturation, relation client, sécurité, statistiques d'usage), BTP Box agit en qualité de responsable de traitement.
• Pour les données saisies par le Client dans l'outil (feuilles de pointage, salariés, chantiers, clients, appels…), BTP Box agit en qualité de sous-traitant, pour le compte et sur instruction du Client, qui en est le responsable de traitement.

3. Données collectées

• Données de compte : nom, prénom, adresse e-mail, numéro de téléphone, fonction, rôles et droits, entreprise de rattachement, mot de passe (stocké de manière chiffrée par le service d'authentification).
• Données de l'entreprise cliente : raison sociale, SIRET, adresse, coordonnées, coordonnées du responsable.
• Données saisies dans l'outil : feuilles de pointage et heures, chantiers, personnel (salariés, intérimaires, sous-traitants…), matériel et matériaux, clients et fournisseurs, appels entrants, planning. Ces données peuvent concerner des tiers (vos salariés, vos clients).
• Données de facturation et de paiement : historique d'abonnement et factures. Les données de paiement (coordonnées bancaires) sont saisies et traitées directement par Stripe ; BTP Box n'y a pas accès.
• Messages de contact : nom, prénom, entreprise, e-mail, téléphone et contenu du message envoyés via le formulaire de contact.
• Données techniques : données strictement nécessaires au fonctionnement (jeton de session, préférences) et données générées par le mécanisme anti-abus Google reCAPTCHA, si vous l'avez accepté.
• Questions posées à l'assistant : le texte des questions saisies dans l'assistant du tableau de bord et les derniers échanges de la conversation, transmis à un service d'intelligence artificielle pour produire la réponse. L'adresse IP ou l'identifiant du compte sert uniquement à limiter le nombre de questions par heure.
• Notifications de l'application mobile : si vous les autorisez, un identifiant de notification de votre téléphone est associé à votre compte. Il est retiré à la déconnexion.
• Suivi des e-mails : pour les e-mails que BTP Box vous envoie (invitations, notifications, informations commerciales), la remise, l'ouverture et les clics sur les liens sont enregistrés avec votre adresse e-mail.
• Données de géolocalisation (application mobile) : lorsque le suivi GPS est activé par l'entreprise cliente, l'application mobile capture la position précise de l'utilisateur au moment de la saisie de certains horaires (arrivée, départ, début et fin de tâche) sur les feuilles de pointage individuelle et chauffeur, afin d'horodater et de géolocaliser ces saisies. Cette collecte n'a lieu qu'au moment de chaque saisie, lorsque l'application est utilisée au premier plan ; elle n'est jamais réalisée en arrière-plan.
• Dictée des notes (application mobile) : le microphone n'est utilisé que lorsque l'utilisateur appuie sur le bouton « Dicter » pour écrire une note de feuille de pointage à la voix, et jusqu'à ce qu'il arrête la dictée. La reconnaissance vocale est assurée par le service vocal du téléphone (selon l'appareil, par exemple Google) : BTP Box ne reçoit ni n'enregistre aucun son, seulement le texte obtenu, ajouté à la note.

4. Finalités et bases légales

• Fournir le service et permettre l'accès aux comptes — exécution du contrat.
• Gérer la relation client, le support et les demandes de contact — exécution du contrat et intérêt légitime.
• Établir la facturation et tenir la comptabilité — obligation légale.
• Assurer la sécurité du service et prévenir les abus — intérêt légitime ; pour Google reCAPTCHA, consentement.
• Répondre aux questions posées à l'assistant — exécution du contrat.
• Mesurer la remise et la lecture des e-mails envoyés — intérêt légitime.
• Établir des statistiques d'usage agrégées et améliorer le service — intérêt légitime.
• Vous informer d'autres produits ou services BTP Box — intérêt légitime, avec possibilité de vous y opposer à tout moment.
• Horodater et géolocaliser les feuilles de pointage saisies depuis l'application mobile, lorsque cette fonctionnalité est activée par l'entreprise cliente — exécution du contrat.

5. Destinataires et sous-traitants

Les données sont accessibles au personnel autorisé de BTP Box, dans la limite de ses besoins, et aux sous-traitants suivants :

• Google Cloud / Firebase (Google Cloud EMEA Limited, Irlande) — hébergement, base de données et authentification. Les données sont stockées dans des centres de données situés au sein de l'Union européenne (région Google Cloud « europe-west »).
• Stripe (Stripe Payments Europe Ltd, Irlande) — traitement des paiements et facturation, y compris la gestion en libre-service des abonnements aux modules depuis l'espace « Mes modules ». Les coordonnées bancaires sont saisies directement dans les champs fournis par Stripe (aucune redirection hors de btpbox.fr) et ne transitent jamais par les serveurs de BTP Box.
• Twilio SendGrid (Twilio Inc., États-Unis) — envoi des e-mails (invitations, notifications de feuilles de pointage, informations commerciales) et suivi de leur remise. Ce prestataire reçoit l'adresse e-mail du destinataire et le contenu du message.
• Google Cloud Vertex AI (Google Cloud EMEA Limited, Irlande) — modèle d'intelligence artificielle (Gemini) qui répond aux questions posées à l'assistant. Les questions sont traitées dans l'Union européenne.

Certaines fonctionnalités font appel à des services tiers, contactés directement par votre navigateur ou par l'application mobile. Ils reçoivent alors votre adresse IP et les informations techniques de la requête, mais aucune donnée de votre compte :

• Cartes et localisation des chantiers : OpenStreetMap (fonds de carte), Géoplateforme de l'IGN et Photon / komoot (recherche des coordonnées d'une adresse de chantier, calcul de la distance par la route). L'adresse du chantier leur est transmise.
• Météo des chantiers : WeatherAPI.com, interrogé par les serveurs de BTP Box avec les seules coordonnées du chantier.
• Jours fériés : calendrier.api.gouv.fr.
• Bibliothèques logicielles : certains composants du site sont chargés depuis les réseaux de diffusion cdnjs (Cloudflare), jsDelivr et unpkg, et depuis les serveurs de Google pour Firebase.
• Vidéo de présentation : lecteur YouTube en mode « confidentialité avancée » sur la page d'accueil.

BTP Box ne vend, ne loue et ne cède vos données à aucun tiers à des fins commerciales ou publicitaires.

6. Transferts hors Union européenne

Les données de l'application sont hébergées dans l'Union européenne. Certains sous-traitants (notamment Stripe et Twilio SendGrid, établi aux États-Unis) peuvent être amenés à traiter des données en dehors de l'UE ; ces transferts sont encadrés par les garanties appropriées prévues par le RGPD (clauses contractuelles types de la Commission européenne).

7. Durées de conservation

• Données de compte et données saisies dans l'outil : pendant toute la durée de l'abonnement, puis supprimées dans les meilleurs délais après la résiliation (sauf sauvegardes purgées selon un cycle court).
• Factures et pièces comptables : 10 ans, conformément aux obligations légales.
• Messages envoyés via le formulaire de contact : jusqu'à 3 ans après le dernier échange.
• Prospects et échanges commerciaux : jusqu'à 3 ans après le dernier contact.

8. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.

Vous pouvez exercer ces droits via le formulaire de contact. Si vos données ont été saisies dans l'outil par une entreprise cliente (votre employeur par exemple), adressez votre demande à cette entreprise, qui en est responsable ; BTP Box l'assistera si nécessaire.

Vous disposez également du droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr).

9. Sécurité

BTP Box met en œuvre des mesures techniques et organisationnelles appropriées : hébergement sur une infrastructure sécurisée dans l'UE, chiffrement des échanges (HTTPS), authentification des utilisateurs, cloisonnement des données par entreprise, restriction des accès au personnel autorisé, sauvegardes régulières. En cas de violation de données susceptible d'engendrer un risque pour vos droits, BTP Box notifie la CNIL et, le cas échéant, les personnes concernées, dans les délais prévus par le RGPD.

10. Cookies et stockage local

BTP Box n'utilise aucun cookie publicitaire ni de mesure d'audience. Sont uniquement utilisés :

• un stockage local dans votre navigateur (stockage local, IndexedDB), strictement nécessaire au fonctionnement du service (session de connexion, préférences) ;
• Google reCAPTCHA, pour protéger le service contre les abus automatisés ; ce service peut déposer des cookies de sécurité (Google) et n'est chargé qu'avec votre accord, demandé à la création de votre compte ou à votre connexion. Vous pouvez revenir sur ce choix à tout moment : modifier mon choix ;
• Stripe sur les pages de paiement, pour la sécurisation des transactions.

11. Modifications

BTP Box peut faire évoluer la présente politique. Toute modification est publiée sur cette page, avec mise à jour de la date figurant en tête de document.