RGPD & Protection des données

Politique de confidentialité

Dernière mise à jour : septembre 2026

1. Responsable du traitement

2. Données collectées et finalités

2.1 Prise de contact et formulaires

Lorsque vous prenez rendez-vous via Cal.com ou nous contactez par email ou téléphone, nous collectons :

• Nom et prénom,pour personnaliser les échanges
• Adresse email,pour vous envoyer la confirmation de rendez-vous et les échanges liés à votre projet
• Numéro de téléphone (facultatif), pour vous contacter directement
• Informations sur votre entreprise,pour préparer l'audit et les recommandations

Base légale : votre consentement (article 6.1.a du RGPD) pour la mesure d'audience. Aucun cookie de mesure n'est déposé tant que vous n'avez pas accepté ; le refus est sans conséquence sur l'accès au site. Les journaux techniques du serveur, nécessaires à la sécurité et au bon fonctionnement, relèvent de l'intérêt légitime.

Nous utilisons Google Analytics 4 (Google Ireland Limited) pour mesurer la fréquentation du site. L'outil est configuré en mode consentement : tant que vous n'avez pas accepté, aucun cookie n'est écrit et aucune donnée identifiante n'est transmise. Les adresses IP sont anonymisées et la conservation des données est limitée à 14 mois.

2.2 Données de navigation

Ce site peut collecter automatiquement certaines données techniques lors de votre navigation :

• Adresse IP (anonymisée autant que possible)
• Type de navigateur et système d'exploitation
• Pages visitées et durée de visite
• Source d'entrée sur le site

Base légale : intérêt légitime (amélioration du site), aucun cookie de traçage publicitaire sans consentement explicite.

2.3 Données clients (prestations)

Dans le cadre de nos missions d'automatisation et d'IA, nous pouvons être amenés à traiter des données issues de vos systèmes (CRM, emails, etc.). Ces traitements sont encadrés par un DPA (Data Processing Agreement) conclu avec chaque client.

3. Durée de conservation

4. Destinataires des données

Vos données ne sont jamais vendues. Elles peuvent être transmises à :

• Cal.com,gestion des rendez-vous (politique de confidentialité disponible sur cal.com)
• Prestataires techniques,hébergement, outils de messagerie (soumis à des DPA)
• Autorités légales,uniquement sur réquisition judiciaire

Tout sous-traitant est sélectionné pour ses garanties en matière de protection des données, conformément à l'article 28 du RGPD.

Google Ireland Limited (Google Analytics 4) : mesure d'audience, uniquement après votre consentement. Vercel Inc. : hébergement du site et journaux techniques. Ces prestataires agissent en qualité de sous-traitants au sens de l'article 28 du RGPD.

5. Transferts hors UE

Certains outils utilisés (Cal.com, Google Analytics, Vercel) peuvent transférer des données vers les États-Unis. Ces transferts reposent sur le Data Privacy Framework UE, États-Unis et, à défaut, sur les clauses contractuelles types de la Commission européenne. Pour Google Analytics, aucun transfert n'a lieu tant que vous n'avez pas consenti.

6. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès,obtenir une copie de vos données personnelles
• Droit de rectification,corriger des données inexactes
• Droit à l'effacement,demander la suppression de vos données ("droit à l'oubli")
• Droit à la limitation,restreindre temporairement le traitement
• Droit à la portabilité,recevoir vos données dans un format structuré
• Droit d'opposition,vous opposer au traitement basé sur l'intérêt légitime

Pour exercer ces droits, contactez-nous à contact@benit.fr en précisant votre demande. Réponse sous 30 jours.

Vous avez également le droit d'introduire une réclamation auprès de la CNIL.

7. Sécurité

BenIT met en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données contre toute perte, accès non autorisé, divulgation, altération ou destruction, conformément à l'article 32 du RGPD.

8. Cookies

Ce site dépose deux catégories de traceurs :

• Nécessaires : mémorisation de votre choix de consentement, stockée dans votre navigateur (localStorage) et non transmise à des tiers. Exemptée de consentement.
• Mesure d'audience : cookies Google Analytics 4 (_ga, _ga_*), durée de vie 13 mois. Déposés uniquement après votre accord.

Aucun cookie publicitaire ni de traçage inter-sites n'est utilisé. Vous pouvez modifier ou retirer votre choix à tout moment : les paramètres de votre navigateur. Le retrait est aussi simple que l'acceptation et prend effet immédiatement.

9. Le service BenAI (ai.benit.fr)

BenIT édite BenAI, un assistant d'intelligence artificielle proposé par abonnement aux entreprises et servi sur ai.benit.fr. Chaque entreprise cliente dispose de son propre compte : son assistant, sa mémoire, ses documents et les outils qu'elle choisit de connecter (messagerie, stockage de fichiers, agenda, logiciels métier). Cette partie décrit les données traitées par ce service.

9.1 Qui est responsable de quoi

• Les données confiées par le client (conversations, documents déposés, mémoire de l'assistant, données lues dans les outils connectés) : l'entreprise cliente en est responsable de traitement. BenIT agit comme sous-traitant au sens de l'article 28 du RGPD, uniquement sur ses instructions et pour lui fournir le service. Un accord de traitement des données (DPA) est conclu avec le client ; il est disponible sur demande à contact@benit.fr.
• Les données nécessaires à la relation avec le client (création du compte, connexion, sécurité, facturation, assistance) : BenIT en est responsable de traitement.

9.2 Données traitées

• Compte et connexion : nom, adresse e-mail, entreprise, rôle ; empreinte du mot de passe (jamais le mot de passe lui-même) et, le cas échéant, second facteur d'authentification ; journal des connexions et des réglages, où l'adresse IP est réduite à son réseau (/24) ; appareils déjà vus, sous forme d'empreinte salée uniquement.
• Conversations : les messages, les pièces jointes, les réponses de l'assistant, les actions qu'il a menées et leurs résultats, les accords donnés avant une action.
• Documents et fichiers déposés par le client ou produits par l'assistant à sa demande.
• Mémoire de l'assistant : consignes données par le client, faits et compétences retenus automatiquement après les conversations. Tout y est visible et effaçable dans Réglages → Mémoire.
• Données des outils connectés : ce que l'assistant lit ou envoie dans un outil que le client a lui-même connecté (un e-mail, un fichier, un rendez-vous, une fiche client…), uniquement pour la personne ou l'entreprise qui l'a connecté, et uniquement quand une demande le nécessite. Les identifiants de connexion à ces outils sont chiffrés.
• Dictée vocale, si la personne l'utilise : l'enregistrement audio, transcrit en texte.
• Notifications, si la personne les active : l'adresse d'abonnement de son appareil auprès du service de notification de son navigateur.
• Facturation et consommation : formule, nombre d'utilisateurs, consommation de jetons. Les données de carte bancaire sont saisies chez Stripe et ne transitent jamais par nos serveurs.

9.3 Finalités et bases légales

• Fournir le service : faire répondre et agir l'assistant à la demande des utilisateurs, conserver l'historique et la mémoire du compte (exécution du contrat, article 6.1.b du RGPD).
• Sécuriser les comptes : authentification, alertes de connexion depuis un nouvel appareil, prévention des abus, journalisation (intérêt légitime, article 6.1.f).
• Facturer et appliquer les limites de la formule souscrite (exécution du contrat ; obligations légales comptables, article 6.1.c).
• Répondre aux demandes d'assistance ouvertes par les utilisateurs (exécution du contrat).

BenIT n'utilise pas le contenu des conversations, des documents ni des données des outils connectés pour entraîner des modèles d'intelligence artificielle, ni à des fins publicitaires, et ne les vend à personne. Les outils d'administration de BenIT montrent la forme de l'activité (heures, outils utilisés, erreurs), jamais le texte des conversations : ce texte n'est accessible à BenIT que par une demande d'assistance que l'utilisateur rédige lui-même, ou par une session d'assistance journalisée et signalée à l'écran.

9.4 Hébergement et destinataires

Les données du service sont hébergées en France, sur un serveur loué à Hostinger (Paris) : base de données, fichiers, sauvegardes et journaux. Les sauvegardes quotidiennes sont conservées sur ce même serveur.

Pour fonctionner, le service fait appel aux prestataires suivants, chacun pour la seule part des données qui lui est nécessaire :

Les outils connectés par le client (Google Workspace, Microsoft 365, sa messagerie, ses logiciels métier, ses serveurs MCP) ne sont pas des sous-traitants de BenIT : le client les choisit et en est client. BenAI n'y accède qu'avec les autorisations que le client lui a données et n'y envoie que ce qu'une demande de l'utilisateur requiert.

API indépendante : une personne à qui cette option est ouverte peut utiliser ses propres clés auprès d'un fournisseur de modèles ; ses demandes partent alors chez ce fournisseur, sous son propre contrat avec lui.

Certains de ces prestataires sont établis hors de l'Union européenne, notamment aux États-Unis. Ces transferts reposent sur le Data Privacy Framework UE–États-Unis lorsque le prestataire y adhère et, à défaut, sur les clauses contractuelles types de la Commission européenne.

9.5 Durées de conservation

9.6 Sécurité

• Isolation par compte : chaque ligne de la base appartient à un compte, et c'est la base de données elle-même (sécurité au niveau des lignes de PostgreSQL) qui empêche un compte de lire les données d'un autre.
• Secrets chiffrés : les identifiants des outils connectés (jetons, clés d'API, mots de passe) sont chiffrés (AES-GCM) avec une clé propre à chaque compte ; la clé maîtresse n'est présente dans aucune sauvegarde.
• Authentification : mots de passe hachés (Argon2), second facteur disponible et imposable par la direction du compte, alerte par e-mail lors d'une connexion depuis un appareil inconnu, déconnexion de toutes les sessions en un clic.
• Accès de BenIT : chaque action d'administration est journalisée ; une session d'assistance est signalée à l'écran, tracée dans le journal du compte client, et ne peut pas modifier ses réglages de sécurité.
• Échanges chiffrés (HTTPS) entre votre navigateur et le service, et entre le service et ses prestataires.

9.7 Vos droits, l'export et l'effacement

• Chaque utilisateur peut supprimer ses conversations, les éléments de la mémoire et les documents depuis l'application. Ce qui est effacé de la mémoire n'est pas réappris automatiquement.
• La direction du compte peut exporter toutes les données du compte à tout moment (archive ZIP : données, fichiers, membres).
• L'effacement complet d'un compte se demande à contact@benit.fr : il est immédiat en production et effectif dans les sauvegardes sous 30 jours.
• Pour les données dont le client est responsable, les personnes concernées exercent leurs droits auprès de l'entreprise cliente ; BenIT l'assiste pour y répondre. Pour les autres, les droits décrits à la section 6 s'exercent directement auprès de BenIT.

10. Données des utilisateurs Google

Un utilisateur de BenAI peut, s'il le choisit, connecter son compte Google à l'assistant. Rien n'est accessible sans son autorisation explicite : chaque service Google se connecte séparément, depuis Réglages → Outils, par l'écran de consentement de Google qui liste les accès demandés. Une entreprise Google Workspace peut aussi autoriser BenAI par un compte de service qu'elle crée et administre elle-même.

10.1 Données consultées, et pourquoi

BenAI n'accède aux données Google qu'au moment où une demande de l'utilisateur (ou une tâche qu'il a lui-même programmée) le nécessite. BenAI ne copie pas la boîte mail, le Drive ou l'agenda de l'utilisateur sur ses serveurs.

10.2 Utilisation, conservation et transmission

• Les données Google sont utilisées uniquement pour fournir et améliorer les fonctionnalités de BenAI visibles par l'utilisateur et demandées par lui : répondre à sa question, rédiger ou envoyer ce qu'il a demandé.
• Ce que l'assistant a lu pour une demande est conservé dans l'historique de la conversation de l'utilisateur, et peut alimenter la mémoire de son compte ; il reste visible et supprimable par lui (voir 9.5 et 9.7).
• Pour formuler la réponse, les extraits nécessaires sont transmis au fournisseur du modèle d'intelligence artificielle qui traite la demande (voir 9.4), avec le masquage par défaut des adresses e-mail, numéros de téléphone et coordonnées bancaires. Ils ne sont transmis à aucun autre tiers, sauf obligation légale.
• Les données Google ne sont jamais vendues, ni utilisées pour de la publicité, ni pour établir un profil publicitaire, ni pour évaluer la solvabilité ou accorder un crédit.
• Les données Google ne sont pas utilisées pour entraîner, développer ou améliorer des modèles d'intelligence artificielle ou d'apprentissage automatique généralistes, ni par BenIT, ni avec son autorisation par un tiers.
• Aucune personne de BenIT ne lit les données Google d'un utilisateur, sauf à sa demande, lors d'une session d'assistance ouverte pour traiter sa demande (journalisée dans son compte et signalée à l'écran pendant toute sa durée), lorsque c'est nécessaire à la sécurité (enquête sur un abus), pour respecter la loi, ou sous forme agrégée et anonymisée pour le fonctionnement du service.
• Les jetons d'accès Google sont chiffrés avec la clé propre au compte de l'utilisateur et ne sont jamais affichés.

10.3 Retirer l'accès

• Dans BenAI : Réglages → Outils, tuile du service Google, puis Retirer. Le service cesse immédiatement d'être utilisé ; quand le dernier service Google est retiré, le jeton d'accès est effacé de nos serveurs.
• Chez Google, à tout moment : myaccount.google.com/permissions, qui révoque l'autorisation donnée à BenAI.
• Pour faire effacer les données Google déjà présentes dans les conversations ou la mémoire : les supprimer depuis l'application, ou écrire à contact@benit.fr.

11. Modifications

Cette politique peut être mise à jour à tout moment. La version en vigueur est celle affichée sur cette page avec la date de dernière mise à jour.