Politique de confidentialité

1. Responsable de traitement

Identité : Sophie Legay, entrepreneur individuel (micro-entreprise), SIREN 949 094 411

Adresse : 675 Route d'Aigues-Vives, 30420 Calvisson

Contact données personnelles : sophie@legayconseil.fr

SiftAO n'est pas tenu de désigner un Délégué à la Protection des Données (DPO) en l'état actuel mais a désigné un référent RGPD interne joignable à l'adresse ci-dessus.

2. Données collectées et finalités

2.1 Données des utilisateurs SiftAO (art. 13 RGPD)

Lors de la création et de l'utilisation d'un compte SiftAO :

• Adresse email — identification, envoi d'alertes et digests quotidiens
• Mot de passe (haché avec bcrypt, non récupérable) — authentification
• Nom de société (optionnel) — personnalisation de l'interface
• SIRET de l'entreprise (obligatoire pour l'inscription publique) — rattachement du compte à l'entreprise, vérification de son existence et recherche des marchés publics qu'elle a remportés. Si votre entreprise n'a pas encore de SIRET ou n'apparaît pas dans l'Annuaire public, vous pouvez demander une création manuelle du compte.
• Profil de veille : codes CPV, mots-clés, régions, certifications, CA, effectif — scoring personnalisé des AOs
• Historique d'utilisation : statuts AOs, feedbacks, favoris — amélioration de la pertinence
• Données de connexion : adresse IP, horodatages — sécurité et détection de fraude

Base légale : exécution du contrat (art. 6.1.b RGPD) pour les données nécessaires au service ; intérêt légitime (art. 6.1.f) pour les données de journalisation.

2.2 Données des contacts acheteurs dans les AOs (art. 14 RGPD)

Les avis d'appels d'offres collectés depuis les sources publiques contiennent des données personnelles de contacts acheteurs (nom, prénom, email, téléphone des agents publics agissant ès qualités).

Source : publications légales obligatoires sur les profils d'acheteur publics (Code de la commande publique, art. L2131-1 — obligation de publicité).

Base légale : intérêt légitime (art. 6.1.f RGPD) — permettre aux opérateurs économiques d'identifier et de répondre aux marchés publics pertinents. Les personnes concernées (agents publics agissant ès qualités) ont une attente raisonnable d'utilisation professionnelle de leurs coordonnées de contact publiées dans le cadre d'une obligation légale.

Information des personnes concernées : SiftAO recourt à l'exception de l'art. 14.5.b RGPD (efforts disproportionnés) pour l'information individuelle de chaque contact acheteur, cette mesure étant matériellement impossible au regard du volume de publications. La présente politique constitue le mécanisme d'information publique prévu par ce texte.

3. Sous-traitants et destinataires

Les données peuvent être confiées aux sous-traitants ou transmises aux destinataires suivants, tous établis dans l'Union européenne :

• Inférence des modèles d'intelligence artificielle — Mistral AI SAS (15 rue des Halles, 75001 Paris, France — RCS Paris 952 418 325), encadré par son Data Processing Addendum ; TensorX (société de droit irlandais). L'inférence est réalisée sur des infrastructures situées dans l'Union européenne.
• Acheminement des emails — OVH SAS (2 rue Kellermann, 59100 Roubaix, France).
• Hébergement — IONOS SE (Elgendorfer Str. 57, 56410 Montabaur, Allemagne).
• Vérification du SIRET — API Recherche d'entreprises, service public opéré par la Direction interministérielle du numérique (DINUM). Le SIRET saisi lui est transmis lors de l'inscription afin de vérifier l'établissement et d'en récupérer la dénomination publique.

Les données que vous nous confiez — compte, profil de veille, appels d'offres suivis et documents de consultation associés — sont stockées et traitées au sein de l'Union européenne, y compris pour l'inférence des modèles d'intelligence artificielle. SiftAO ne vend ni ne loue aucune donnée personnelle à des tiers.

Les feuilles de style et scripts d'affichage sont servis depuis nos propres serveurs : aucun réseau de diffusion de contenu tiers n'est sollicité lors de la consultation des pages.

4. Durées de conservation

5. Décision automatisée

SiftAO produit des scores de pertinence calculés automatiquement par des systèmes d'intelligence artificielle (sous-traitants listés en section 3) à partir du contenu des appels d'offres et du profil de l'utilisateur. Ces scores constituent une aide à la décision — l'utilisateur reste seul juge de l'opportunité de répondre à un marché. Aucune décision ayant des effets juridiques n'est prise automatiquement.

6. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (art. 15) — obtenir une copie de vos données
• Droit de rectification (art. 16) — corriger des données inexactes
• Droit à l'effacement (art. 17) — supprimer vos données dans les conditions légales
• Droit à la limitation (art. 18) — restreindre le traitement
• Droit à la portabilité (art. 20) — recevoir vos données dans un format structuré
• Droit d'opposition (art. 21) — vous opposer à un traitement fondé sur l'intérêt légitime

Pour exercer ces droits : sophie@legayconseil.fr. Réponse sous 1 mois. Une vérification d'identité peut être demandée.

Vous pouvez également introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés), 3 Place de Fontenoy, 75007 Paris.

7. Sécurité

SiftAO met en œuvre des mesures techniques et organisationnelles appropriées :

• Chiffrement des communications (HTTPS / TLS)
• Hachage des mots de passe (bcrypt)
• Authentification par token JWT à durée limitée
• Accès aux données restreint aux comptes autorisés
• Journalisation des accès applicatifs

8. Cookies

SiftAO utilise un unique cookie strictement nécessaire : access_token (JWT d'authentification, httpOnly, durée 7 jours). Aucun cookie analytics, publicitaire ou tiers n'est déposé. Ce cookie ne nécessite pas de consentement (art. 82 loi Informatique et Libertés — cookies strictement nécessaires à la fourniture du service expressément demandé).