Politique de confidentialité
Conforme RGPD — Dernière mise à jour : 18 avril 2026
1. Responsable du traitement
Bucket SAS, en qualité d'éditeur du Service, agit en tant que sous-traitantau sens de l'article 28 du RGPD pour les données traitées pour le compte de ses Clients (entreprises BTP abonnées). Les Clients sont responsables de traitement pour les données de leurs collaborateurs, clients finaux et chantiers.
Pour ses propres traitements (comptes utilisateurs de la plateforme, facturation de l'abonnement, support), Bucket SAS agit en qualité de responsable de traitement.
Contact DPO : dpo@bucket.app
2. Données collectées et finalités
| Catégorie de données | Finalité | Base légale | Durée |
|---|---|---|---|
| Identité utilisateur (nom, email, téléphone) | Création et gestion du compte | Exécution du contrat | Durée du contrat + 90 jours |
| Données collaborateurs BTP (état civil, CACES, permis) | Gestion des affectations, conformité réglementaire | Intérêt légitime du Client | Durée du contrat du Client + 5 ans (archivage) |
| Numéro de sécurité sociale (NSS) | Bulletins de paie, déclarations sociales | Obligation légale du Client | 5 ans après fin de relation |
| Visites médicales, restrictions d'aptitude | Obligation employeur (Art. L4624-1 Code du travail) | Obligation légale | Durée du contrat + 10 ans |
| Données clients finaux (contacts, adresses, sites) | Gestion commerciale, facturation | Exécution du contrat / intérêt légitime | 10 ans (obligations comptables) |
| Données machines et transferts | Gestion du parc, KPIs, planning | Exécution du contrat | Durée du contrat + archivage 5 ans |
| Journaux techniques et audit trail | Sécurité, diagnostic, conformité | Obligation légale / intérêt légitime | 12 mois ; les traces des factures et avoirs : 10 ans (obligation comptable), sans adresse IP au-delà de 12 mois |
| Données de facturation abonnement | Recouvrement, comptabilité | Obligation légale | 10 ans |
3. Données sensibles
Le Service traite des données particulières au sens de l'article 9 du RGPD :
- Numéro de sécurité sociale : stocké chiffré en base (AES-256-GCM), accessible uniquement aux administrateurs de l'entreprise Cliente.
- Visites médicales et restrictions d'aptitude : le résultat d'une visite et ses notes sont lisibles par les seuls administrateurs de l'entreprise Cliente et par la personne concernée.
Ces traitements font l'objet d'une analyse d'impact (DPIA) tenue à la disposition de la CNIL.
4. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
- Accès (Art. 15) : obtenir la confirmation du traitement et une copie des données vous concernant — endpoint
GET /profile/exportdisponible en self-service. - Rectification (Art. 16) : corriger vos données via la fiche profil.
- Effacement / droit à l'oubli (Art. 17) : demander la suppression — endpoint
DELETE /profile/data. La demande est transmise à l'administrateur de votre entreprise (le responsable du traitement) : rien n'est effacé avant qu'il l'ait traitée, et certaines données restent conservées pour obligations légales (comptables, contractuelles). - Limitation (Art. 18) : suspendre le traitement de vos données.
- Portabilité (Art. 20) : récupérer vos données dans un format structuré (JSON, CSV sur demande).
- Opposition (Art. 21) : pour motif légitime ou à tout traitement de prospection.
- Ne pas faire l'objet d'une décision automatisée (Art. 22).
Exercice des droits : par email à dpo@bucket.app, réponse sous 30 jours. Preuve d'identité pourra être demandée.
Réclamation : vous pouvez introduire une réclamation auprès de la CNIL — www.cnil.fr.
5. Sous-traitants (Art. 28 RGPD)
| Sous-traitant | Finalité | Localisation | Garanties |
|---|---|---|---|
| OVH SAS (OVHcloud) | Hébergement applicatif et base de données | France (Gravelines) | Contrat de sous-traitance (art. 28 RGPD), chiffrement en transit |
| OVH SAS (OVHcloud) | Photos et documents | France (Gravelines) | Chiffrement en transit |
| Mailjet (Sinch) | Envoi d'emails transactionnels | France/UE | Certifié ISO 27001, DPA signé |
| Anthropic PBC | Assistant IA (Claude) — suggestions, résumés, recherche en langage naturel | États-Unis (zero retention API) | DPA signé, clauses contractuelles types (SCC), opt-out possible |
| Chorus Pro / PDP | Facturation électronique (obligation 2026) | France | Opérateur agréé AIFE |
| Sentry | Monitoring d'erreurs applicatives | UE | Scrubbing PII activé, DPA signé |
La liste à jour des sous-traitants est disponible sur demande à dpo@bucket.app.
6. Transferts hors UE
L’application et ses données sont chez OVHcloud, sur un serveur situé en France. Seul l’assistant IA (Anthropic) est situé aux États-Unis : les requêtes qui lui sont adressées sortent de l’Union européenne. Ces transferts sont encadrés par les Clauses Contractuelles Types (CCT) de la Commission européenne du 4 juin 2021, avec une politique de zero data retention sur les requêtes adressées à l’assistant IA.
Les entreprises Clientes peuvent désactiver l'usage de l'assistant IA via les réglages de leur compte — dans ce cas, aucune donnée n'est transmise à Anthropic.
7. Mesures de sécurité
- Chiffrement TLS 1.2+ en transit
- Données et fichiers hébergés en France (OVHcloud), copie de la base chaque nuit
- Chiffrement applicatif AES-256-GCM des données sensibles (NSS)
- Mots de passe hachés (bcrypt, facteur de coût ≥ 10)
- Tokens JWT signés + refresh rotation
- Lockout après tentatives de connexion répétées
- Rate limiting sur les endpoints sensibles
- Headers HTTP de sécurité (Helmet, CSP, HSTS)
- Requêtes SQL paramétrées (protection contre l'injection)
- Audit trail immuable des actions sensibles
- Sauvegardes chiffrées et géo-répliquées
- Revue de code et audits de dépendances automatisés
8. Cookies
Le Service utilise uniquement des cookies et éléments de stockage local strictement nécessaires au fonctionnement (session d'authentification, préférences d'affichage). Aucun cookie de mesure d'audience, de publicité ou de tracking tiers n'est déposé sans consentement explicite.
Le bandeau de consentement affiché à la première visite permet d'accepter ou refuser les éventuels cookies non essentiels (analytics interne pour amélioration produit).
9. Notification de violation
En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes, Bucket SAS s'engage à :
- Notifier la CNIL dans un délai de 72 heures (Art. 33 RGPD) ;
- Informer les Clients concernés dans les meilleurs délais ;
- Informer directement les personnes concernées si le risque est élevé (Art. 34 RGPD).