Le site www.budgetic.eu (ci-après dénommé « le Site ») et l’application https://app.budgetic.eu (ci-après dénommée « l’Application ») sont exploités par Budgetic SAS, une société par actions simplifiée immatriculée au Registre du Commerce et des Sociétés de Paris.
La présente Politique de Confidentialité explique quelles Données sont collectées lorsque l’Utilisateur utilise les Services, et comment elles sont traitées.
La présente Politique de Confidentialité peut être modifiée ponctuellement afin d’assurer sa conformité avec la législation applicable.
La version applicable à l’Utilisateur est celle en vigueur sur le Site et sur l’Application à la date d’utilisation des Services.
Définitions
Les termes commençant par une majuscule utilisés au singulier ou au pluriel dans le corps de la présente Politique de Confidentialité ont la signification qui leur est donnée dans les Conditions d’Utilisation, ou définie ci-dessous :
Données Personnelles ou Données : désigne toute information se rapportant à une personne physique identifiée ou identifiable (ci-après « personne concernée ») ; est réputée être une « personne physique identifiable » une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments propres à son identité physique, physiologique, génétique, mentale, économique, culturelle ou sociale ;
Traitement : désigne toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des Données ou des ensembles de Données Personnelles, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction ;
Responsable de traitement : désigne la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du Traitement ;
Sous-traitant : désigne la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des Données Personnelles pour le compte du Responsable de traitement.
Traitements de Données Personnelles dont Budgetic est Responsable de traitement
Budgetic est Responsable du Traitement des Données que l’Utilisateur lui communique lors de l’utilisation des Services.
Article I. Données Personnelles traitées, finalités du traitement et durée de conservation
Les Données Personnelles sont collectées pour des finalités déterminées, explicites et légitimes.
Budgetic veille à ce que les Données Personnelles soient traitées de manière adéquate, pertinente et limitée à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées :
| Traitement | Catégorie de Données | Finalité | Base légale | Durée de conservation |
| Gestion des demandes via la section contact | Adresse e-mail, nom de l’entreprise | Répondre aux demandes des Utilisateurs | L’intérêt légitime de Budgetic de fournir une réponse aux Utilisateurs | Adresse email, mot de passe, adresse IP, nom, prénom |
| Gestion de la newsletter | Adresse e-mail, nom, prénom | Gestion des abonnements et des envois électroniques | Le consentement de l’Utilisateur recueilli lors de la collecte de son adresse e-mail | 3 ans à compter du dernier contact de l’Utilisateur ou jusqu’au retrait du consentement |
| Gestion des abonnements à l’Application Budgetic | Adresse e-mail, nom, prénom, nom de l’entreprise | Permettre l’accès à l’Espace Personnel de l’Utilisateur | Consentement de l’Utilisateur donné lors de l’inscription en acceptant les CGU et la présente Politique de Confidentialité | 3 ans à compter de la dernière activité de l’Utilisateur |
| Cookies et traceurs | Voir Politique Cookies | Assurer le fonctionnement du site Maintenir la connexion de l’utilisateur Mesurer l’audience |
L’intérêt légitime pour les cookies strictement nécessaires et le consentement pour les autres | Voir Politique Cookies |
Article II. Destinataires des Données Personnelles
Aucune Donnée Personnelle concernant l’Utilisateur n’est transmise à des tiers, à l’exception des membres du personnel ou partenaires et sous-traitants de Budgetic, exclusivement pour la réalisation des finalités décrites précédemment et dans la limite des informations strictement nécessaires à cet effet.
Les Données Personnelles de l’Utilisateur sont hébergées soit dans les bases de données de Budgetic, soit dans celles de ses prestataires, situées au sein de l’Union européenne.
Les Données Personnelles de l’Utilisateur ne sont pas transférées en dehors de l’Union européenne.
Article III. Délégué à la Protection des Données
Le Délégué à la Protection des Données désigné par Budgetic peut être contacté à l’adresse suivante : dpo@budgetic.eu
Article IV. Droits des Utilisateurs
Conformément à la réglementation relative au Traitement des Données Personnelles, l’Utilisateur dispose des droits suivants :
1. Droit d’accès, de rectification et de suppression
L’Utilisateur peut consulter, mettre à jour, modifier ou demander la suppression de ses Données Personnelles.
Si un Espace Personnel existe, l’Utilisateur peut en demander la suppression.
2. Droit à la portabilité des Données
L’Utilisateur peut demander la portabilité de ses Données Personnelles détenues par Budgetic vers un autre opérateur.
3. Droit à la limitation et à l’opposition
L’Utilisateur peut demander la limitation du Traitement ou s’opposer au Traitement de ses Données Personnelles par Budgetic, sauf si Budgetic démontre l’existence de motifs légitimes et impérieux prévalant sur les intérêts et les droits de l’Utilisateur.
4. Exercice des droits
L’Utilisateur peut, sous réserve de fournir une preuve d’identité valable, exercer ses droits en contactant le Délégué à la Protection des Données de Budgetic à l’adresse suivante : dpo@budgetic.eu.
Pour permettre à Budgetic de répondre à la demande, l’Utilisateur doit fournir : nom, prénom et adresse e-mail utilisée sur le Site ou l’Application.
Budgetic est tenue de répondre à l’Utilisateur dans un délai de 30 jours.
Si l’Utilisateur estime, après avoir contacté Budgetic, que ses droits n’ont pas été respectés, il peut saisir une autorité de contrôle.
L’autorité de contrôle compétente pour les traitements effectués par Budgetic est la Commission Nationale de l’Informatique et des Libertés (CNIL).
Article V. Connexion à un agenda tiers (Google Agenda, Microsoft 365)
Dans la fonctionnalité « Suivi des temps » de l’Application, l’Utilisateur peut, à sa seule initiative, connecter son compte Google Agenda ou Microsoft 365 à Budgetic. Cette connexion utilise le protocole OAuth : l’Utilisateur autorise Budgetic auprès de Google ou de Microsoft, et son mot de passe n’est jamais transmis à Budgetic.
Données lues : la liste des agendas visibles par l’Utilisateur, et les événements des agendas qu’il a choisis (titre, date, heures de début et de fin, description, lieu, organisateur et participants), pour la période qu’il sélectionne. Budgetic ne lit rien d’autre et n’écrit jamais dans les agendas.
Finalité : produire les lignes de temps de l’Utilisateur dans son projet Budgetic. Les événements ne sont pas conservés tels quels ; seules les lignes de temps qui en sont dérivées le sont, dans le projet de l’Utilisateur, qui peut les modifier ou les supprimer à tout moment.
Conservation et révocation : le jeton d’accès délivré par Google ou Microsoft est stocké chiffré et sert uniquement à ces lectures. L’Utilisateur peut déconnecter l’agenda depuis Budgetic à tout moment, ce qui supprime le jeton, ou révoquer l’accès depuis les paramètres de sécurité de son compte Google ou Microsoft.
Aucune donnée d’agenda n’est vendue, transmise à des tiers, ni utilisée à des fins publicitaires ou pour entraîner des modèles d’intelligence artificielle. L’utilisation des données reçues des API Google respecte la Google API Services User Data Policy, y compris ses exigences de « Limited Use ».
Fonctions d’assistance par intelligence artificielle : Budgetic propose un assistant conversationnel et une aide à l’affectation des comptes comptables. Ils reposent sur des modèles Anthropic Claude exécutés exclusivement par Amazon Bedrock (Amazon Web Services), dans l’Union européenne, sans passer par un intermédiaire ni un agrégateur de modèles. Amazon Bedrock n’utilise pas les contenus traités pour entraîner ou améliorer un modèle et ne les partage pas avec les fournisseurs de modèles ; Budgetic n’active aucune journalisation de ces échanges. L’assistant ne lit les données d’un projet, y compris les lignes de temps dérivées d’un agenda connecté, qu’à la demande de l’Utilisateur et pour lui répondre ; l’aide à l’affectation des comptes ne reçoit que les libellés des lignes budgétaires et le plan comptable, jamais de données d’agenda. La catégorisation automatique des lignes de temps repose sur des mots-clés définis par l’Utilisateur, sans modèle d’intelligence artificielle. Aucune donnée reçue des API Google, brute ou dérivée, n’est utilisée pour créer, entraîner ou améliorer un modèle d’intelligence artificielle, ni transmise à un service qui le ferait.
Déclaration de conformité, dans la formulation attendue par Google : « The use of raw or derived user data received from Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements. »
Agents IA connectés (MCP). Lorsque l’Utilisateur connecte un agent d’intelligence artificielle à Budgetic (par exemple Claude d’Anthropic ou ChatGPT d’OpenAI) au moyen du protocole OAuth, Budgetic transmet à cet agent, à chaque appel d’outil, les données des projets que l’Utilisateur a autorisés : montants budgétaires et comptables, structure des rapports, paramètres du projet et informations légales de l’entreprise. Cette transmission se limite aux droits du compte de l’Utilisateur et aux pouvoirs qu’il a choisis sur l’écran d’autorisation (lecture seule, ou lecture et modification ; tous ses projets ou une sélection). Les données transmises sont ensuite traitées par le fournisseur de l’agent choisi par l’Utilisateur, selon la politique de confidentialité de ce fournisseur ; ce traitement, à l’initiative de l’Utilisateur, peut avoir lieu en dehors de l’Union européenne. Budgetic ne reçoit pas le contenu des conversations. Budgetic conserve l’autorisation accordée, les jetons d’accès sous forme d’empreinte (un jeton d’accès vaut une heure, un jeton de renouvellement trente jours), les plans d’actions préparés par l’agent (qui expirent au bout de 24 heures s’ils ne sont pas appliqués), l’historique des modifications appliquées au projet, et, pour chaque appel, le nom de l’outil utilisé, sans ses paramètres, pendant 90 jours. Base légale : l’exécution du contrat, à la demande de l’Utilisateur. L’Utilisateur peut retirer l’accès d’un agent à tout moment (Profil, onglet Agents connectés) ou couper tous ses agents en désactivant le MCP pour son compte (Paramètres, onglet IA). Pour toute question : dpo@budgetic.eu.
Article VI. Mesure d’audience
Budgetic mesure la fréquentation du site budgetic.eu avec deux outils qui ne déposent aucun cookie ni traceur sur le terminal de l’Utilisateur et ne le suivent pas d’un site à l’autre : Umami Cloud, un outil de mesure d’audience, et une mesure hébergée sur le serveur du site lui-même.
Données collectées : la page consultée, le site de provenance, les paramètres de campagne présents dans l’adresse, le type d’appareil, de navigateur et de système d’exploitation, le pays estimé, ainsi que certaines actions sur le site (clic vers la prise de rendez-vous, vers l’Application ou vers un site extérieur, téléchargement d’un modèle, lecture d’un guide, envoi d’un formulaire). Dans l’Application, seule la création d’un compte est comptée, sans nom, adresse électronique ni identifiant de projet. L’adresse IP sert uniquement à estimer le pays et à calculer un identifiant de visite anonyme, renouvelé périodiquement ; elle n’est pas conservée. La mesure hébergée par Budgetic enregistre les mêmes informations, à l’exception du pays, du navigateur et du système d’exploitation ; d’un site de provenance extérieur, elle ne garde que le nom de domaine, et son identifiant de visite est renouvelé chaque jour.
Finalité et base légale : produire des statistiques de fréquentation et savoir quels contenus du site mènent à la création d’un compte, sur le fondement de l’intérêt légitime de Budgetic. Ces statistiques ne sont pas utilisées à des fins publicitaires, et ne sont croisées avec aucun autre traitement à une exception près : lorsqu’un visiteur passe du site à l’Application et y crée un compte, la page d’arrivée, le site de provenance, les paramètres de campagne et le nombre de pages vues lors de cette visite sont enregistrés avec son compte, pour savoir quelles pages et quels canaux mènent aux inscriptions. Elles ne sont pas transmises à des tiers autres que l’éditeur de l’outil, Umami Software, Inc., dont les serveurs sont situés aux États-Unis et dans l’Union européenne. Les données de la mesure hébergée par Budgetic restent sur le serveur du site, situé dans l’Union européenne (Amazon Web Services, région de Paris).
Conservation : les statistiques d’Umami sont conservées six mois, celles de la mesure hébergée par Budgetic treize mois, et en tout état de cause au plus 25 mois.
Article VII. Téléchargement des modèles
Pour recevoir un modèle, vous indiquez votre prénom, votre nom, votre adresse email, le nom et le type de votre structure et, si vous le souhaitez, votre fonction. Nous vous envoyons le lien du fichier par email ; l’ouverture de ce lien confirme que l’adresse est valide. Une adresse qui n’est pas confirmée est effacée sous trente jours. Ces données servent à vous transmettre le modèle et à vous recontacter au sujet de Budgetic en lien avec votre activité professionnelle, par email ou par téléphone (intérêt légitime de Budgetic). Nos emails de conseils ne vous sont envoyés que si vous avez coché la case prévue (consentement). Notre équipe peut consulter le profil professionnel public des personnes qui nous ont laissé leurs coordonnées, par exemple sur LinkedIn. Ces données ne sont pas rapprochées de la mesure d’audience du site. Destinataires : l’équipe Budgetic et ses sous-traitants Amazon Web Services (hébergement et envoi des emails, en France), Google (tableur de suivi commercial) et Brevo (envoi des emails de conseils). Conservation : trois ans après notre dernier échange. Vous pouvez vous désinscrire depuis chaque email et exercer vos droits à l’adresse dpo@budgetic.eu.
Traitements pour lesquels Budgetic agit en Sous-traitant
Dans le cadre du fonctionnement de l’application, Budgetic agit en tant que Sous-traitant au sens de la réglementation applicable au Traitement des Données Personnelles, et exclusivement selon les instructions de la Société agissant via l’Utilisateur, laquelle agit en qualité de Responsable de traitement.
Article I. Description du traitement effectué par Budgetic
Budgetic est autorisée à traiter pour le compte de la Société les Données Personnelles nécessaires à la fourniture du service suivant : analyse externe du site web et des applications afin d’identifier l’ensemble des vulnérabilités des données technologiques de la Société.
Article II. Durée du contrat
La présente Politique de Confidentialité prend effet dès son acceptation par l’Utilisateur, ainsi que l’acceptation des Conditions d’Utilisation, et ce pour une durée indéterminée.
Article III. Obligations de Budgetic envers la Société
Budgetic s’engage à :
1. Traiter les Données uniquement pour les finalités décrites à l’article I., à savoir l’identification, l’analyse et la présentation à l’Utilisateur des vulnérabilités des données technologiques de la Société révélées par le scan de vulnérabilité, ainsi que l’ajustement des prix en fonction des vulnérabilités persistantes identifiées.
2. Traiter les Données conformément aux instructions documentées de la Société, telles que décrites dans les Conditions d’Utilisation. Si Budgetic estime qu’une instruction constitue une violation du RGPD ou de toute autre disposition applicable, elle en informe immédiatement la Société. Par ailleurs, si Budgetic est tenue de transférer des Données vers un pays tiers ou une organisation internationale en vertu du droit de l’Union ou du droit d’un État membre, elle doit informer la Société avant le Traitement, sauf si la loi l’interdit pour des motifs importants d’intérêt public.
3. Garantir la confidentialité des Données Personnelles traitées dans le cadre du scan de vulnérabilité.
4. Veiller à ce que les personnes autorisées à traiter les Données Personnelles dans le cadre du présent contrat :
– s’engagent à la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;
– reçoivent une formation appropriée à la protection des Données.
5. Prendre en compte les principes de protection des données dès la conception et par défaut pour ses outils, produits, applications ou services.
Article IV. Sous-traitance ultérieure
Budgetic est autorisée à faire appel aux entités suivantes pour effectuer certaines activités de Traitement (ci-après « Sous-traitants ultérieurs ») :
• Amazon Web Services : Hébergement des Données Personnelles ;
• Stripe : Services de paiement ;
• Xodo (ex-EverSign) : Services de signature électronique.
Les Sous-traitants ultérieurs doivent respecter les obligations du présent contrat pour le compte de la Société et selon ses instructions. Il incombe à Budgetic de s’assurer qu’ils présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, conformément au RGPD. Si un Sous-traitant ultérieur ne respecte pas ses obligations, Budgetic reste pleinement responsable vis-à-vis de la Société.
Article V. Droit à l’information des personnes concernées
Il appartient à la Société de fournir l’information aux personnes concernées par les Traitements.
Il appartient à la Société, en sa qualité de Responsable de traitement, de recueillir, le cas échéant, le consentement des personnes concernées en lien avec les finalités du Traitement.
Article VI. Exercice des droits des personnes concernées
Les personnes dont les Données ont été collectées doivent exercer leurs droits directement auprès de la Société, qui, après examen de la recevabilité de la demande, s’engage à y répondre dans les délais réglementaires.
Dans la mesure du possible, Budgetic aide la Société à satisfaire ses obligations en matière de réponse aux demandes d’exercice des droits.
Lorsque les personnes concernées adressent leurs demandes directement à Budgetic, celle-ci doit les transmettre immédiatement par e-mail à l’adresse de contact indiquée dans l’Espace Personnel de l’Utilisateur.
Article VII. Notification des violations de Données Personnelles
Budgetic notifie à la Société toute violation de Données Personnelles dans un délai maximal de 24 heures après en avoir pris connaissance, via l’adresse de contact fournie dans l’Espace Personnel de l’Utilisateur.
Cette notification est accompagnée de toutes informations utiles permettant à la Société, si nécessaire, de notifier l’autorité de contrôle compétente.
Il appartient à la Société d’alerter, si nécessaire, l’autorité de contrôle compétente et/ou les personnes concernées, et de se conformer à ses obligations au titre du RGPD.
Article VIII. Assistance de Budgetic dans le cadre de la conformité de la Société
Budgetic assiste la Société dans la réalisation d’analyses d’impact relatives à la protection des données.
Budgetic assiste la Société dans le cadre des consultations préalables auprès de l’autorité de contrôle.
Article IX. Mesures de sécurité
Budgetic s’engage à mettre en œuvre tous les moyens nécessaires pour assurer la confidentialité et la sécurité des Données, afin d’éviter leur altération, leur suppression ou tout accès par des tiers non autorisés.
Les mesures techniques et organisationnelles mises en place par Budgetic sont les suivantes :
1. Engagement de confidentialité des employés
Dans le cadre du contrat de travail, chaque employé de Budgetic s’engage à respecter les règles et procédures internes, notamment concernant :
• Le secret professionnel ;
• Un comportement professionnel et loyal envers l’entreprise.
2. Sensibilisation et formation à la sécurité des Données Personnelles
Tous les employés de Budgetic affectés au projet sont sensibilisés à la sécurité. Une présentation des objectifs, des rôles individuels, des responsabilités et des procédures de sécurité liées au projet est réalisée.
3. Gestion des accès et autorisations
La sécurité des informations et des accès est assurée par les administrateurs systèmes. Ils créent des accès nominatifs avec mots de passe robustes pour tous les outils utilisés par Budgetic.
La politique de sécurité des mots de passe est conforme aux recommandations de la CNIL.
4. Sécurité des locaux de Budgetic
L’accès aux locaux de Budgetic est réservé aux personnes autorisées.
Les locaux sont protégés par une alarme anti-intrusion.
Les locaux disposent également d’un système de vidéosurveillance. Les enregistrements sont conservés pendant un mois.
5. Attribution et maintenance du matériel informatique
Chaque employé de Budgetic dispose de son propre poste de travail.
Les postes sont protégés par une authentification utilisateur/mot de passe générée par les administrateurs systèmes. Les employés sont sensibilisés aux règles de sécurité lors de la remise de leur matériel. Chaque employé dispose des droits administrateurs nécessaires à l’exécution de ses missions.
Les mots de passe sont des Données Personnelles Confidentielles, doivent être suffisamment robustes et ne doivent pas être divulgués.
Tout ordinateur remis à un employé doit être préalablement formaté, y compris dans le cas d’un renouvellement de matériel, lorsque le système installé ne correspond pas aux standards définis par les administrateurs.
La maintenance du matériel est assurée dans les locaux de Budgetic lorsque cela est possible. En cas d’intervention d’un prestataire externe, celui-ci est accueilli et supervisé dans les locaux.
6. Confidentialité des Données traitées
Budgetic s’engage à :
• Ne pas effectuer de copies des documents ou supports de données confiés, sauf celles nécessaires à l’exécution du service ;
• Ne pas utiliser les documents et informations traités à d’autres fins que celles définies par la Société ;
• Ne pas divulguer ces informations à des personnes tierces, publiques ou privées, pendant toute la durée du service.
Article X. Sort des Données
À la fin de la prestation relative au Traitement des Données, Budgetic s’engage à détruire l’ensemble des Données Personnelles relatives à la Société et à l’Utilisateur, à l’exception de celles dont la conservation est autorisée par la loi, par les intérêts légitimes de Budgetic ou par la Société elle-même.
Une fois les Données détruites, Budgetic doit en attester par écrit.
Article XI. Délégué à la Protection des Données
Le Délégué à la Protection des Données de Budgetic peut être contacté à l’adresse suivante : dpo@budgetic.eu
Article XII. Registre des activités de traitement
Budgetic déclare tenir un registre écrit de toutes les activités de Traitement effectuées pour le compte de la Société, comprenant notamment :
• Le nom et les coordonnées de la Société pour le compte de laquelle elle agit, les données d’identification de l’Utilisateur, des sous-traitants ultérieurs et du Délégué à la Protection des Données ;
• Les catégories de Traitements réalisés ;
• Dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles.
Article XIII. Documentation
Budgetic met à disposition de la Société la documentation nécessaire pour démontrer sa conformité à toutes ses obligations et permettre la réalisation d’audits, y compris d’inspections, par la Société ou un auditeur qu’elle mandate, et contribue activement à ces audits.
Article XIV. Obligations de la Société envers Budgetic
La Société s’engage à :
• Documenter par écrit les instructions relatives au Traitement des Données par Budgetic, notamment en conservant une copie des Conditions d’Utilisation ;
• S’assurer, préalablement et pendant toute la durée du Traitement, que Budgetic respecte les obligations prévues par le RGPD ;
• Superviser le Traitement, notamment en réalisant des audits et inspections chez Budgetic.