Données personnelles
Politique de confidentialité
1. Qui traite vos données ?
MAELYA, SARL identifiée dans les mentions légales, exploite Lumobat. Pour les données nécessaires aux comptes, aux abonnements, à la facturation, à l’assistance et aux demandes de contact, MAELYA est responsable du traitement. Pour les données qu’une entreprise abonnée saisit dans ses devis, factures, fiches clients et chantiers, cette entreprise détermine les finalités et MAELYA intervient comme sous-traitant selon l’accord de traitement des données.
Contact pour la protection des données et l’exercice des droits : contact@lumobat.com. Indiquez « Données personnelles » dans l’objet du message.
2. Données et raisons de leur utilisation
- Comptes et accès : raison sociale, SIRET, nom ou adresse e-mail des utilisateurs, rôle, mot de passe conservé sous forme d’empreinte, invitations et journaux techniques. Ces données servent à créer l’espace, authentifier les utilisateurs et protéger les accès. Leur traitement repose sur l’exécution du contrat et la sécurité du service.
- Abonnements et factures : formule, identifiants Stripe, coordonnées de facturation, factures et état des paiements. Ces données servent à gérer l’abonnement et les obligations comptables et fiscales. Les données de carte sont saisies sur Stripe ; Lumobat ne conserve pas le numéro de carte.
- Contact et assistance : nom, adresse e-mail, contenu du message, pièces éventuellement transmises et données techniques nécessaires au traitement. Elles servent à répondre à la demande, à orienter les questions courantes et à prévenir les abus. La base juridique est, selon la demande, la préparation ou l’exécution du contrat ou l’intérêt légitime à répondre et à sécuriser le service.
- Fonctions d’assistance IA : texte, photos ou dictée transmis volontairement à une fonction IA sont envoyés à l’API OpenAI pour produire la réponse demandée. Vérifiez les informations personnelles et confidentielles avant l’envoi. L’audio de dictée n’est pas conservé comme fichier par Lumobat après la transcription.
- Sécurité des fichiers photo : Lumobat vérifie le format réel, la taille et les dimensions des images, puis les décode et les réencode en retirant leurs métadonnées avant enregistrement ou analyse. Ces contrôles techniques ne portent pas sur le contenu visuel et ne transmettent pas les photos à un service de modération. L’ajout et l’affichage des photos du suivi de chantier ne déclenchent aucune analyse par OpenAI. Sur demande en Premium, la synthèse du chantier transmet son statut, ses notes datées et ses légendes, sans envoyer les images ni les documents financiers. Les coordonnées reconnues comme e-mail ou téléphone dans les textes sont masquées ; les autres informations saisies au journal peuvent figurer dans les données transmises. La proposition doit être relue et validée par l’entreprise avant inclusion dans le PDF. Les photos jointes à une demande de chiffrage sont transmises à OpenAI pour réaliser cette demande.
- Fonctionnement du site : adresse IP et données techniques de connexion nécessaires à la sécurité, à la résolution d’incidents et à la fourniture du service.
3. Destinataires et prestataires
Pour les transferts CSV, les fiches sont traitées dans l’espace de l’entreprise active. La proposition de correspondance IA transmet seulement les noms des colonnes à OpenAI, sans les lignes clients, prix ou compositions. Les compteurs de l’agent d’import sont agrégés et ne contiennent aucune fiche client. Le contenu brut du fichier n’est pas conservé comme fichier source après le traitement ; les fiches confirmées suivent les règles de conservation des données du compte.
Les personnes habilitées chez MAELYA accèdent aux données utiles à leur mission. Selon la fonction utilisée, des données sont confiées à Railway (hébergement et base de données), Stripe (paiement, factures et taxes), Resend (envoi de courriels), Infomaniak (boîte de contact) et OpenAI (fonctions IA, tri des demandes et extraction des besoins d’amélioration). Ces prestataires interviennent dans les limites nécessaires à leurs services. Certains traitements ou accès peuvent impliquer des pays situés hors de l’Espace économique européen ; MAELYA doit alors s’assurer qu’un mécanisme de transfert conforme au RGPD s’applique. Vous pouvez demander des précisions à l’adresse ci-dessus.
Quinze jours après une inscription à l’essai activé ou une première souscription, une demande d’avis peut être envoyée par e-mail via Resend. Le registre privé contient le destinataire, le message préparé, les dates et le résultat d’envoi ; il sert également à éviter les doublons lors du passage de l’essai à une formule. Vous pouvez arrêter ces demandes depuis le lien de préférences présent dans le mail, ou contacter l’équipe. Aucune note particulière n’est demandée et aucun pixel de suivi n’est ajouté à ce message.
4. Durées de conservation
Les données de compte et de l’espace de travail sont conservées tant que le compte reste ouvert. À la fin de l’abonnement, l’accès peut rester en consultation ; la fermeture et la restitution ou suppression des données sont organisées avec l’entreprise titulaire, sous réserve des obligations légales et des sauvegardes techniques. Les factures et justificatifs de paiement suivent les durées légales comptables et fiscales applicables.
Le support IA classe le texte des nouveaux messages et un historique limité de la même conversation ; il choisit des procédures d’aide validées, collecte les précisions utiles aux signalements de bugs et extrait les besoins d’amélioration. Il n’ouvre aucun lien et n’analyse pas les pièces jointes. Les demandes sensibles ou ambiguës restent confiées à l’équipe. Les publicités et sollicitations commerciales indésirables identifiées avec certitude sont déplacées dans la corbeille Infomaniak, où elles restent récupérables selon les règles de cette messagerie ; l’agent ne vide pas cette corbeille. L’administration ne garde alors que les 1 000 dernières traces de tri (référence, date, catégorie), sans texte ni adresse e-mail.
Les nouvelles questions courantes ayant reçu une réponse automatique sont supprimées des outils de contact trente jours après le dernier message de la conversation, à condition qu’aucun suivi humain ou traitement ne soit en cours. Les réponses anciennes déjà annoncées à dix jours conservent cette échéance. Pour les e-mails directs, la suppression de la boîte de réception est déclenchée à l’échéance ; un refus temporaire est réessayé sans conserver le contenu dans l’administration. Les bugs, améliorations, propositions de rachat et demandes sensibles restent disponibles le temps nécessaire au suivi et doivent être réexaminés régulièrement par l’équipe. Les sauvegardes techniques des prestataires peuvent avoir des cycles distincts.
Les limites de cadence utilisent également des traces techniques indépendantes du contenu des messages : référence, date d’analyse et empreinte de l’adresse d’expéditeur. La fenêtre utile de deux jours est nettoyée à chaque nouvelle analyse pour éviter que le retrait d’un spam ne réinitialise les protections.
5. Cookies et stockage dans le navigateur
Le service utilise des cookies de session nécessaires à la connexion de l’entreprise et à l’espace de suivi de chantier. Leur durée maximale est respectivement de douze heures et de trente jours. Le navigateur peut aussi mémoriser des préférences fonctionnelles, comme le thème, l’entreprise sélectionnée, la vue du planning et la dernière lecture du journal de chantier. Sur les pages publiques, la mesure Google Ads est facultative et reste désactivée sans votre accord. Elle permet de rapprocher les clics sur nos annonces des demandes d’essai réussies, avec des cookies publicitaires et des informations techniques (identifiant de clic, navigation, adresse IP). Aucun nom, e-mail, SIRET ou contenu du formulaire n’est ajouté à l’événement de conversion ; le suivi avancé et la personnalisation publicitaire sont désactivés. Google est destinataire de ces mesures, qui peuvent être traitées hors de l’EEE selon ses garanties de transfert. Le choix accepter/refuser est conservé six mois au maximum et modifiable via « Choix de mesure publicitaire » en bas des pages publiques ; le retrait supprime les cookies Google Ads accessibles sur notre domaine. Le suivi n’est pas installé dans l’application, le portail client ou les pages d’activation. Les cookies de conversion Google Ads ont généralement une durée maximale de 90 jours. Traitement des données par Google.
6. Vos droits
Vous pouvez demander l’accès, la rectification, l’effacement ou la limitation de vos données, et vous opposer aux traitements fondés sur l’intérêt légitime. La portabilité s’applique dans les cas prévus par le RGPD. Adressez votre demande à contact@lumobat.com. Si les données concernent le chantier ou les clients d’une entreprise abonnée, cette entreprise peut être votre interlocuteur principal ; MAELYA l’assistera. Vous pouvez aussi déposer une réclamation auprès de la CNIL.
7. Évolution de cette politique
Cette page est mise à jour lorsque les usages de données ou les prestataires changent de façon significative. La date de version figure en haut de page.