Politique de confidentialité

Le responsable du traitement des données collectées sur hubbat.fr est :

• 👤 Noah Cardoso, micro-entrepreneur
• ✉️ contact@hubbat.fr

Données relatives aux artisans (clients HUBBAT)

• • Nom, prénom, adresse email, numéro de téléphone
• • Informations sur l'entreprise (nom, SIRET, adresse, forme juridique)
• • Données de facturation et de paiement (traitées par Stripe — nous ne stockons pas les numéros de carte)
• • Données d'utilisation (appels reçus, devis créés, factures émises)
• • Numéro de téléphone professionnel associé au compte

Données relatives aux clients finaux des artisans

HUBBAT agit en qualité de sous-traitant pour les données suivantes :

• • Nom, prénom et coordonnées des clients des artisans
• • Transcriptions des appels téléphoniques
• • Informations contenues dans les devis et factures

Données relatives aux salariés des artisans

Lorsqu'un artisan dépose les bulletins de paie de ses salariés, HUBBAT agit en qualité de sous-traitant de cet employeur pour les données suivantes :

• • Nom, prénom et adresse email du salarié
• • Bulletins de paie, avec tout ce qu'ils contiennent : rémunération, numéro de sécurité sociale, cotisations
• • Date à laquelle le salarié a été informé de la remise électronique, et son éventuelle demande de papier
• • Dates de dépôt et de première consultation de chaque bulletin

Après le départ du salarié ou la résiliation de l'artisan, HUBBAT conserve ces bulletins pour que le salarié puisse continuer d'y accéder, conformément à l'engagement prévu par l'article D3243-8 du code du travail.

Données des personnes qui nous appellent

Lorsque vous appelez le standard téléphonique de HUBBAT, nous sommes responsable du traitement — et non sous-traitant. Notre assistant vocal note ce que vous lui dites afin que nous puissions vous rappeler :

• • Nom, entreprise, métier et nombre de salariés, tels que vous les donnez
• • Numéro de rappel, adresse email et moment de rappel souhaité
• • Transcription de l'appel et résumé de votre demande

L'appel n'est pas enregistré : seule sa transcription est conservée. Rien n'est déduit ni complété : une information que vous n'avez pas donnée reste vide.

Données de navigation

• • Adresse IP (anonymisée), type de navigateur, pages visitées

• 📁 Données de compte : durée de l'abonnement + 3 ans après résiliation
• 🧾 Données de facturation : 10 ans (obligation comptable)
• 📞 Transcriptions d'appels : 12 mois glissants
• 🎧 Messages vocaux laissés sur le standard : 12 mois glissants
• 🤖 Données d'appel chez notre prestataire d'agents vocaux (Vapi) : 30 jours, sans enregistrement audio
• 📑 Bulletins de paie : 50 ans à compter du dépôt (article D3243-8 du code du travail), y compris après le départ du salarié ou la résiliation de l'artisan
• 🗂️ PDF regroupant les bulletins du mois (avant répartition par salarié) : supprimé dès que la répartition est validée, et au plus tard 48 heures après son dépôt
• ☎️ Demandes reçues sur notre standard téléphonique (transcription et coordonnées) : 3 ans à compter du dernier contact, conformément à la recommandation de la CNIL en prospection commerciale, puis suppression automatique
• 🌐 Données de navigation : 13 mois maximum
• 👥 Données clients des artisans : durée fixée par l'artisan

Vos données peuvent être transmises aux sous-traitants suivants dans le strict cadre de la fourniture du service :

• 💳 Stripe (paiements) — stripe.com/fr/privacy
• 🗄️ Supabase (base de données, serveurs UE) — supabase.com/privacy
• 🖥️ Vercel (hébergement) — vercel.com/legal/privacy-policy
• 📞 Twilio (téléphonie et SMS) — twilio.com/legal/privacy
• 🤖 Vapi (agents vocaux IA) — vapi.ai/privacy
• 🗣️ ElevenLabs (voix de l'agent téléphonique, via Vapi) — elevenlabs.io/privacy-policy
• 🎙️ Soniox (transcription des appels, via Vapi) — soniox.com/policies/privacy-policy
• ✉️ Resend (emails) — resend.com/legal/privacy-policy
• 🧠 Anthropic (assistant et lecture automatique de vos justificatifs) — anthropic.com/legal/privacy
• 🧠 OpenAI (dictée et transcription de vos demandes à l'assistant, recherche dans votre mémoire d'entreprise) — openai.com/policies/privacy-policy
• 🔊 ElevenLabs (lecture à voix haute des réponses de l'assistant) — elevenlabs.io/privacy-policy
• 🏦 Bridge (rapprochement bancaire, prestataire agréé DSP2, lecture seule de vos opérations) — bridgeapi.io
• 🛡️ Cloudflare (Turnstile, contrôle anti-robots des formulaires de connexion et d'inscription) — cloudflare.com/privacypolicy
• 🐞 Sentry (suivi des erreurs techniques du site et des applications, serveurs UE) — sentry.io/privacy

Les trois fournisseurs d'intelligence artificielle (Anthropic, OpenAI, ElevenLabs) sont sollicités par les fonctions décrites au paragraphe « Intelligence artificielle » ci-dessous, qui précise lesquelles supposent votre accord préalable et lesquelles relèvent de l'exécution du contrat. Le standard téléphonique, lui, fonctionne avec Vapi, ElevenLabs et Soniox dès son activation : il est au cœur du service.

Nous ne vendons, ne louons ni ne cédons vos données à des tiers à des fins commerciales.

Certains sous-traitants sont établis hors de l'Union européenne — aux États-Unis, et à Singapour pour l'entité contractante de notre hébergeur de bases de données (Supabase Pte. Ltd.), dont les serveurs restent situés dans l'Union européenne. Ces transferts sont encadrés par des Clauses Contractuelles Types approuvées par la Commission européenne, conformément à l'article 46 du RGPD.

• 🔒 Chiffrement des communications (HTTPS/TLS)
• 🔐 Chiffrement des données sensibles au repos
• 🛡️ Contrôle d'accès par rôle (Row Level Security Supabase)
• 🔑 Authentification sécurisée
• 🔑 Clés API isolées par environnement
• 📑 Bulletins de paie dans un espace de stockage privé, accessibles seulement par un lien temporaire émis après contrôle d'accès, jamais envoyés en pièce jointe, et scellés par une empreinte numérique au dépôt
• 🧱 Journal des requêtes refusées par nos protections (limitation de débit, contrôle anti-robots, pare-feu), avec l'adresse IP, conservé 90 jours

Plusieurs fonctions de HUBBAT envoient vos données à un fournisseur d'intelligence artificielle. Trois d'entre elles ne s'activent qu'après votre accord explicite : l'assistant, la dictée, et la lecture automatique de vos justificatifs de dépense.

• 🧠 Anthropic — vos questions à l'assistant, les données de votre entreprise qu'il consulte pour y répondre, et le contenu de vos justificatifs
• 🎙️ OpenAI — l'audio que vous dictez, et le texte de vos recherches dans la mémoire de votre entreprise
• 🔊 ElevenLabs — le texte des réponses lues à voix haute

Ces fonctions ne s'activent qu'après votre accord explicite, demandé avant le premier usage. Nous enregistrons la version du texte que vous avez accepté et la date. Refuser ne ferme que ces trois fonctions : tout le reste de HUBBAT continue de fonctionner. Vous pouvez retirer votre accord à tout moment dans vos paramètres. Aucune de vos données n'est utilisée pour entraîner les modèles de ces fournisseurs.

Chaque réponse de l'assistant peut être signalée. Les signalements sont relus par l'éditeur, puis conservés un an après leur traitement.

Trois autres fonctions ne relèvent pas de cet accord, parce qu'elles exécutent le contrat plutôt qu'elles ne s'y ajoutent. Nous les nommons pour que le périmètre soit complet :

• 📝 Génération d'un devis à partir d'un appel, à votre demande — la transcription de l'appel est envoyée à Anthropic
• 🌐 Génération de votre page vitrine, à votre demande — le nom, le métier et la ville de votre entreprise sont envoyés à OpenAI
• 🗂️ Indexation automatique de vos transcriptions d'appels, pour que l'assistant puisse y retrouver ce qui s'est dit — elle s'exécute périodiquement, sans action de votre part, et envoie ces transcriptions à OpenAI

Le standard téléphonique ne relève pas davantage de cet accord : il est la fonction même du service, activé par vous, et décrit plus haut (Vapi, ElevenLabs, Soniox).

HUBBAT existe aussi en application pour iPhone, iPad, Android, Windows et macOS. Elle lit et écrit les mêmes données que le site, et cette politique s'y applique intégralement.

• 📷 Appareil photo — demandé au moment où vous photographiez un chantier ou un justificatif
• 🎤 Micro — demandé au moment où vous dictez une demande à l'assistant
• 🔔 Notifications — demandées lorsque vous les activez. Aucun nom de client n'apparaît sur un écran verrouillé
• 🖼️ Photos — aucune autorisation d'accès à votre photothèque n'est demandée : le sélecteur du système ne nous transmet que les images que vous désignez

L'application ne demande jamais votre position, vos contacts ni l'autorisation de vous suivre à des fins publicitaires. Elle ne contient aucune publicité et aucun traceur publicitaire. Les erreurs techniques sont remontées à Sentry sans rejeu de session, sans capture d'écran et sans le contenu de vos écrans.

Vous pouvez demander la suppression de votre compte depuis l'application, depuis le site, ou depuis la page hubbat.fr/suppression-compte, accessible sans être connecté. Selon votre situation, la suppression aboutit immédiatement ; lorsqu'elle ne peut pas encore être menée en ligne, la page vous l'indique et nous la traitons nous-mêmes, dans le délai d'un mois prévu par le RGPD. Dans tous les cas, aucune donnée n'est modifiée tant que la suppression n'est pas certaine d'aboutir.

Le site hubbat.fr utilise uniquement des cookies strictement nécessaires au fonctionnement du service (session d'authentification Supabase). Aucun cookie publicitaire ou de tracking tiers n'est déposé. La fréquentation du site est mesurée par HUBBAT lui-même, sans cookie et sans conserver votre adresse IP : chaque visite est comptée sous une empreinte anonyme qui change chaque jour et ne permet pas de vous identifier. Ces statistiques ne sont transmises à personne et sont supprimées au bout de 13 mois.

• 👁️ Droit d'accès — obtenir une copie de vos données personnelles
• ✏️ Droit de rectification — corriger des données inexactes
• 🗑️ Droit à l'effacement — demander la suppression de vos données
• 📤 Droit à la portabilité — recevoir vos données dans un format structuré
• 🚫 Droit d'opposition — vous opposer à certains traitements
• ⏸️ Droit à la limitation — suspendre temporairement un traitement

Pour exercer vos droits : contact@hubbat.fr. Réponse sous 1 mois.

Salariés : vous consultez vos bulletins dans votre espace et pouvez tous les télécharger en une fois (archive ZIP). Pour les autres demandes concernant vos bulletins, adressez-vous à votre employeur, responsable de ce traitement.

Vous pouvez également introduire une réclamation auprès de la CNIL — cnil.fr.