Politique de confidentialité
Dernière mise à jour : 25 octobre 2026 Version : 1.0
Cette page explique quelles données personnelles NAUT. utilise, pourquoi, combien de temps, et quels sont vos droits. Elle applique le règlement général sur la protection des données (RGPD) et la loi Informatique et Libertés.
1. Qui est responsable de vos données ?
NAUTILUS BUSINESS, SAS au capital de 1 000 €, 24 rue de Gisors, 95300 Pontoise, RCS Pontoise, SIREN 922 045 208, qui édite NAUT.
- Contact pour vos données : thibault@naut.business
- Délégué à la protection des données (DPO) : aucun DPO n'est désigné. Pour toute question, écrivez à thibault@naut.business.
2. Deux rôles différents
NAUT. joue deux rôles, selon les données :
| Données | Rôle de NAUT. | Qui décide ? |
|---|---|---|
| Votre compte : identité, connexion, abonnement, usage du service | Responsable de traitement | NAUT. |
| Les données saisies par une entreprise cliente : points, fiches, contacts, documents, missions, événements | Sous-traitant | L'entreprise cliente, responsable de traitement |
Pour les données saisies par les entreprises, NAUT. agit seulement sur leurs instructions, selon l'accord de sous-traitance (DPA). Si vous êtes un contact enregistré par une entreprise cliente, adressez vos demandes d'abord à cette entreprise ; nous l'aiderons à y répondre.
Le reste de cette page porte sur les données dont NAUT. est responsable.
3. Quelles données utilisons-nous, et pourquoi ?
| Données | Pourquoi | Base légale |
|---|---|---|
| Nom, prénom, e-mail, mot de passe, numéro WhatsApp, profil LinkedIn | Créer et gérer votre compte, vous rattacher à votre entreprise | Exécution du contrat (CGU) |
| Pour un apporteur : adresse postale, position géocodée, pays, rayon d'action, statut de validation | Vous placer sur la carte et vous faire connaître des entreprises | Exécution du contrat (CGU) |
| Date et version des conditions acceptées | Prouver votre acceptation | Obligation légale et intérêt légitime |
| Sessions, liens de vérification et de nouveau mot de passe, cookie d'inscription | Vous connecter en sécurité | Exécution du contrat |
| Préférences (pays et continents affichés) | Afficher la carte comme vous le souhaitez | Exécution du contrat |
| Événements d'usage (actions faites dans l'application) | Afficher l'activité de l'équipe, améliorer le service, suivi interne | Intérêt légitime |
| E-mails envoyés par NAUT. (historique d'envoi) | Vous informer (vérification, missions, invitations, fin du mois gratuit, etc.) et garder une trace des envois | Exécution du contrat |
| Données de facturation : nom de l'entreprise, adresse de facturation, numéro de TVA, historique des paiements (la carte bancaire est gérée par Stripe uniquement) | Facturer l'abonnement, tenir la comptabilité | Exécution du contrat et obligation légale |
| Journaux techniques et rapports d'erreurs | Détecter les pannes et sécuriser le service | Intérêt légitime |
| Invitations : e-mail de la personne invitée | Lui envoyer l'invitation demandée par un utilisateur | Intérêt légitime |
Nous n'utilisons pas vos données pour de la publicité, et nous ne les vendons pas.
4. Ce que les autres utilisateurs voient
- Toutes les entreprises clientes voient la liste des entreprises qui utilisent NAUT. et leur nombre d'utilisateurs.
- Les entreprises clientes voient le nom, les coordonnées, l'adresse et le rayon d'action des apporteurs validés.
- Un apporteur à qui une mission est proposée voit l'e-mail et le téléphone de l'utilisateur qui la propose, ainsi que le point visé et ses contacts.
- Dans une alliance, ou lors du partage d'un point, l'entreprise qui partage peut transmettre les contacts et le responsable de ses points à une autre entreprise. Elle le fait comme responsable de traitement ; NAUT. reste sous-traitant.
- Une entreprise peut copier dans ses propres points un point que son allié lui partage, avec ses contacts. Elle le fait sur la base de son intérêt légitime, entre professionnels, et devient responsable de traitement de cette copie. La copie reste chez elle même si l'allié partage moins ou met fin à l'alliance. Les contacts concernés gardent leurs droits : ils peuvent s'opposer, demander l'effacement ou l'accès à leurs données auprès de cette entreprise.
- Les documents sont accessibles à toute personne qui a leur lien (Drive partagé Google).
5. La trace d'une entreprise effacée
Quand une entreprise est effacée (fermeture du compte ou suppression après 12 mois de lecture seule), et seulement si elle avait activé son mois gratuit, NAUT. garde une trace qui contient uniquement :
- son nom de domaine (par exemple acme.fr) ;
- la date de son mois gratuit ;
- son domaine de base (son groupe de facturation).
Cette trace ne contient aucune donnée personnelle sur les utilisateurs. Elle sert à empêcher un second mois gratuit sur le même domaine. Elle est gardée sans limite de durée. Base légale : intérêt légitime (éviter les abus du mois gratuit).
6. Combien de temps gardons-nous vos données ?
| Données | Durée |
|---|---|
| Inscription non confirmée | 7 jours |
| Lien de nouveau mot de passe | 1 heure, usage unique |
| Lien d'invitation à partager un point | 14 jours au plus |
| Session de connexion | 30 jours, prolongée à chaque visite |
| Compte utilisateur | Tant que le compte existe ; effacé quand vous le supprimez (votre nom devient « Utilisateur supprimé ») |
| Entreprise en lecture seule | Supprimée 12 mois après le passage en lecture seule |
| Entreprise dont le compte est fermé | Jusqu'à la fin du mois payé, puis 30 jours pendant lesquels le compte peut être rouvert, puis effacement |
| Factures et données de facturation | 10 ans (obligation comptable) |
| Trace d'une entreprise effacée | Sans limite de durée (paragraphe 5) |
| Événements d'usage | 24 mois |
| Historique des e-mails envoyés | 12 mois |
| Journaux techniques et rapports d'erreurs (Sentry) | 90 jours |
| Journaux serveur de l'hébergeur (Clever Cloud) | 7 jours |
| Sauvegardes de la base (quotidiennes) | 30 jours |
| Missions acceptées après suppression d'une entreprise | Gardées sous forme figée pour l'apporteur (domaine, action, conditions, montants), sans coordonnées ni contacts, tant que le compte de l'apporteur existe |
7. Qui reçoit vos données ?
- L'équipe NAUT., au titre du support et de l'administration.
- Les autres utilisateurs, dans les cas du paragraphe 4.
- Nos prestataires techniques, qui agissent pour notre compte :
| Prestataire | Rôle | Lieu des données |
|---|---|---|
| Clever Cloud SAS (Nantes, France) | Hébergement de l'application et base de données PostgreSQL, avec ses sauvegardes | France (région Paris) |
| Scaleway SAS (Paris, France) – Scaleway Transactional Email et Scaleway Object Storage | Envoi des e-mails (sans suivi des ouvertures ni des clics) et stockage de la copie de sauvegarde quotidienne chiffrée de la base de données | France (Paris, région fr-par) |
| Stripe Payments Europe, Limited (Irlande) | Paiement, abonnement, factures, calcul de la TVA (Stripe Tax). Stripe agit aussi en partie comme responsable de traitement (lutte contre la fraude et le blanchiment, vérification d'identité) | Monde, dont les États-Unis (Stripe, LLC) : clauses contractuelles types et Data Privacy Framework UE–États-Unis |
| Google Workspace (Drive) – Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande (et Google Cloud France SARL, 8 rue de Londres, 75009 Paris) | Stockage des documents | Infrastructure européenne et mondiale de Google ; transferts vers Google LLC (États-Unis) : Data Privacy Framework UE–États-Unis et clauses contractuelles types |
| Google Maps Platform (Maps JavaScript API, Geocoding API, Places API (New)) – Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande | Carte, géocodage des adresses, recherche d'entreprises | Infrastructure mondiale de Google, sans localisation UE garantie ; transferts vers Google LLC (États-Unis) : Data Privacy Framework UE–États-Unis et clauses contractuelles types |
| Functional Software, Inc. (Sentry), San Francisco, États-Unis | Suivi des erreurs | Union européenne (région UE de Sentry) ; certaines métadonnées restent aux États-Unis : Data Privacy Framework UE–États-Unis, puis clauses contractuelles types |
| Mistral AI SAS, 15 rue des Halles, 75001 Paris | Classement par secteur et pré-tri des pistes (api.eu.mistral.ai, sans envoi de contacts ni de données personnelles) | Union européenne / AELE (api.eu.mistral.ai) ; transferts éventuels vers sous-traitants encadrés par clauses contractuelles types |
| Brave Software, Inc., 580 Howard St., Unit 402, San Francisco, CA 94105, États-Unis – Brave Search API | Vérification trimestrielle des changements de poste publics dans « Entretien des relations commerciales » (lecture du titre public uniquement, aucun stockage de la réponse) | États-Unis : clauses contractuelles types de la Commission européenne |
| Tiime – TIIME, SAS, 15 rue Auber, 75009 Paris (RCS Paris 812 508 638) | Logiciel de comptabilité de NAUTILUS BUSINESS (paiements, frais, virements) | Union européenne, sauvegardes en France ; outils sous-traitants éventuels hors UE encadrés par le Data Privacy Framework UE–États-Unis et les clauses contractuelles types |
Quand des données quittent l'Union européenne, nous encadrons ce transfert par des garanties reconnues (clauses contractuelles types de la Commission européenne, Data Privacy Framework UE–États-Unis ou décision d'adéquation), indiquées pour chaque prestataire dans le tableau ci-dessus.
8. Cookies
NAUT. dépose seulement 4 cookies, tous strictement nécessaires au fonctionnement du service. Ils ne demandent donc pas votre consentement. Aucun cookie n'est déposé avant que vous vous connectiez ou commenciez une inscription. NAUT. n'utilise aucun cookie de mesure d'audience ni de publicité, et aucun cookie tiers.
| Cookie | À quoi il sert | Durée |
|---|---|---|
__Host-naut_session | Vous garder connecté | 30 jours glissants (administration : 12 heures) |
__Host-naut_inscription | Suivre votre inscription en cours | 7 jours |
__Host-naut_verification | Vérifier votre adresse e-mail | 24 heures |
naut_invitation | Garder une invitation en attente | 14 jours |
Ces cookies ne sont lisibles que par NAUT. (httpOnly), ne circulent qu'en HTTPS (Secure) et ne sont pas envoyés depuis d'autres sites (SameSite=Lax).
Si vous commencez une fiche de point sans l'enregistrer, un brouillon peut être gardé dans votre navigateur (stockage local), 7 jours au plus. Il est effacé à la déconnexion.
Google Maps. La carte ne dépose aucun cookie sur le domaine de NAUT. Mais pour l'afficher, votre navigateur charge des fichiers depuis les serveurs de Google. Google reçoit alors votre adresse IP, des informations sur votre navigateur et l'adresse du site d'origine (naut.business). Il s'agit d'un transfert de données vers Google, prestataire de NAUT. (paragraphe 7), qui peut avoir lieu hors de l'Union européenne.
Le site de présentation naut.business (hébergé par Wix) a ses propres règles de cookies, gérées directement depuis le bandeau de consentement affiché sur naut.business.
9. Sécurité
- Hébergement dans l'Union européenne.
- Mot de passe d'au moins 10 caractères, vérification obligatoire de l'e-mail.
- Connexion toujours en HTTPS, imposée par le navigateur (HSTS, 2 ans).
- Connexion entre l'application et la base de données chiffrée en TLS 1.3, avec vérification du certificat du serveur, exigée par l'application.
- Base de données de production chiffrée au repos.
- Mots de passe hachés avec Argon2id, jamais stockés en clair.
- Sessions : seule l'empreinte SHA-256 du jeton de session est stockée en base ; 30 jours glissants pour les utilisateurs, 12 heures pour l'administration ; session supprimée à la déconnexion.
- Contrôle des droits côté serveur à chaque page et à chaque action ; refus des écritures venant d'un autre site.
- En-têtes de sécurité, dont une politique de sécurité du contenu (CSP) stricte, qui limite les sources autorisées à l'application, Google Maps et Sentry.
- Suivi des erreurs chez Sentry, en région UE, sans adresse IP ni données personnelles : adresses e-mail, jetons, cookies et contenus des requêtes sont retirés avant l'envoi.
- Données de carte bancaire saisies uniquement chez Stripe, jamais reçues ni stockées par NAUT.
- Clés d'accès aux services tiers limitées au strict nécessaire.
- E-mails sans suivi des ouvertures ni des clics.
- Polices hébergées avec l'application, sans appel aux serveurs de Google Fonts.
10. Vos droits
Vous pouvez à tout moment :
- accéder à vos données et en obtenir une copie ;
- les corriger (Menu > Mon compte, ou par e-mail) ;
- les effacer (Menu > Mon compte > supprimer mon compte, ou par e-mail) ;
- vous opposer à un traitement fondé sur notre intérêt légitime ;
- demander la limitation du traitement ;
- recevoir vos données dans un format lisible (portabilité) ;
- donner des directives sur le sort de vos données après votre décès.
Écrivez à thibault@naut.business. Nous répondons dans un délai d'un mois. Nous pouvons vous demander de prouver votre identité.
Si vous pensez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL (www.cnil.fr).
11. Modifications
Nous pouvons modifier cette politique. La date de mise à jour figure en haut de la page. En cas de changement important, nous vous prévenons par e-mail.