Politique de confidentialité
Dernière mise à jour : 11 octobre 2026
Vulko (SASU) (« Vulko ») s'engage a protéger la vie privée de ses utilisateurs. La présente politique de confidentialité décrit les données personnelles que nous collectons, les finalités de leur traitement et les droits dont vous disposez conformément au Règlement Général sur la Protection des Données (RGPD).
1. Données collectées
Nous collectons les catégories de données suivantes :
- Données d'identification : nom, prénom, adresse email, numéro de téléphone, raison sociale, numéro SIRET.
- Données de connexion : adresse IP, type de navigateur, système d'exploitation, pages visitées, date et heure de connexion.
- Données reçues d'un service de connexion : si vous vous connectez avec Google, Apple ou Microsoft, ce service nous transmet l'identifiant de votre compte chez lui, votre nom et votre adresse e-mail (voir « Autres destinataires » ci-dessous). Nous ne recevons jamais votre mot de passe.
- Données de paiement : les informations de carte bancaire sont collectées et traitées directement par Stripe Inc. Vulko ne stocke aucun numéro de carte.
- Données d'utilisation : devis créés, factures générées, paramètres de compte et préférences.
2. Finalités du traitement
- Fourniture et gestion du service Vulko (exécution du contrat).
- Facturation et gestion des paiements (obligation légale et exécution du contrat).
- Amélioration du service et personnalisation de l'expérience utilisateur (intérêt légitime).
- Communication commerciale, uniquement avec votre consentement préalable.
- Respect des obligations légales et comptables.
3. Durée de conservation
- Données de compte : conservées pendant la durée de l'abonnement. À la suppression du compte (action utilisateur depuis « Mon compte »), effacement immédiat des données personnelles. Exception : les factures payées sont conservées 10 ans (article L123-22 du Code de commerce, obligation comptable). Si vous avez déjà utilisé « Continuer avec Apple » sur le site, la suppression du compte révoque aussi l'autorisation donnée à Vulko auprès d'Apple. Si vous ne l'avez utilisé que dans l'application mobile, sur iPhone ou sur Android, Vulko ne détient pas de quoi la révoquer : retirez Vulko des apps qui utilisent votre identifiant Apple, depuis les réglages de cet identifiant.
- Devis et factures : 10 ans après émission (Code de commerce).
- Journal d'audit (sécurité) : 12 mois (base légale : intérêt légitime, article 32 RGPD).
- Audio de la dictée vocale : non stocké, ni par nous ni par le prestataire, et effacé immédiatement après la transmission du texte. Le prestataire dépend de la surface : depuis l'application mobile, la transcription est demandée à Groq, Inc. (États-Unis) ; depuis le site, à Mistral AI (France). Les deux figurent au tableau des sous-traitants ci-dessous, avec leur garantie de transfert.
- Notifications internes : 6 mois.
- Historique d'utilisation IA (devis générés, transcriptions vocales) : 13 mois — données utilisées pour le calcul des quotas mensuels et le rapport d'activité.
- Copie d'un devis généré par l'IA dans l'application mobile, pour le reprendre après une coupure de connexion : 2 heures, puis effacée automatiquement.
- Idempotence emails de relance d'essai : 12 mois après envoi.
- Liens de partage de dossier client (PDF clients) : 90 jours après leur date d'expiration.
- Cookies : durée maximale de 13 mois.
4. Vos droits
Conformément au RGPD, vous disposez des droits suivants :
- Droit d'accès : obtenir une copie de vos données personnelles.
- Droit de rectification : corriger des données inexactes ou incomplètes.
- Droit a l'effacement : demander la suppression de vos données, sous réserve des obligations légales.
- Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine.
- Droit d'opposition : vous opposer au traitement de vos données à des fins de prospection commerciale.
- Droit à la limitation : demander la limitation du traitement dans certains cas prévus par le RGPD.
Pour exercer vos droits, contactez notre Délégué à la Protection des Données à l'adresse indiquée ci-dessous.
5. Cookies
Vulko utilise des cookies strictement nécessaires au fonctionnement du service (authentification, préférences). Les scripts de mesure d'audience (Google Analytics) et de publicité / marketing (Meta / Facebook) ne sont chargés qu'après votre consentement explicite. Ces deux catégories sont distinctes et activables indépendamment depuis la fenêtre de personnalisation.
Vulko dépose par ailleurs deux cookies internes d'attribution (vulko_src et vulko_attr), listés ci-dessous. Ils enregistrent la provenance de votre première visite — moteur de recherche, lien partagé ou campagne publicitaire — afin que nous sachions par quel canal nos utilisateurs nous découvrent. Ils sont déposés dès l'arrivée sur le site, sans attendre votre consentement, pour le canal seul. L'identifiant de clic publicitaire (gclid, fbclid, li_fat_id) n'y est ajouté que si vous acceptez la catégorie publicité / marketing, et il en est retiré si vous la refusez ensuite. Ils restent strictement internes à Vulko : leur contenu n'est transmis à aucun tiers, ne sert à aucun ciblage publicitaire et ne permet pas de vous suivre sur d'autres sites. Vous pouvez les supprimer à tout moment depuis les réglages de votre navigateur.
| Cookie | Finalité | Durée | Émetteur |
|---|---|---|---|
| vulko_src | Attribution — canal de votre première visite (moteur de recherche, lien partagé, campagne). Interne, non partagé. | 60 jours | Vulko |
| vulko_attr | Attribution — détail de votre venue (support, campagne, page d'arrivée, et identifiant de clic publicitaire seulement si vous avez accepté la catégorie publicité). Le support est celui de la première visite ; la page d'arrivée peut provenir d'une visite ultérieure. Interne, non partagé, aucun ciblage publicitaire. | 60 jours | Vulko |
| _ga | Mesure d'audience — distinguer les visiteurs uniques (Google Analytics 4). | 13 mois | |
| _ga_G-YN6QKGQV1V | Mesure d'audience — état de la session GA4. | 13 mois | |
| _fbp | Publicité / marketing — mesure de l'efficacité des campagnes Meta (Facebook / Instagram) (déposé uniquement après consentement à la catégorie « Publicité »). | 3 mois | Meta |
| fr | Publicité / marketing — ciblage et diffusion publicitaire Meta (déposé uniquement après consentement à la catégorie « Publicité »). | 3 mois | Meta |
| vulko_consent | Mémorisation de vos préférences de consentement cookies. | 13 mois | Vulko |
| vulko_trafic_interne | Mesure d'audience : écarter de nos statistiques les visites de l'équipe Vulko. Déposé seulement sur un navigateur où un compte reconnu comme interne (équipe, démonstration, test) s'est connecté. Il contient la seule valeur « 1 », aucune donnée personnelle. Si vous avez accepté la mesure d'audience, les visites de ce navigateur sont signalées comme internes à Google Analytics, pour être écartées des rapports. | 12 mois | Vulko |
Vous pouvez modifier vos préférences à tout moment via le bouton « Gérer les cookies » en bas de page.
6. Sous-traitants et transferts de données
Conformément à l'article 28 du RGPD, Vulko fait appel aux sous-traitants suivants pour fournir le service :
| Sous-traitant | Finalité | Hébergement | Garantie de transfert |
|---|---|---|---|
| Supabase | Base de données + authentification + stockage signatures | Irlande (UE) | RGPD natif |
| Vercel | Hébergement de l'application (serveurs à Dublin) et CDN | Irlande (UE) + réseau de diffusion mondial, société américaine | SCC + DPF |
| Upstash | Sessions de connexion et protection contre les abus : données de session (compte connecté, adresse IP, navigateur) et compteurs de requêtes par adresse IP ou par compte, conservés 30 jours au plus ; comptage des visites du site avec une adresse IP tronquée (7 jours). Reprise d'un devis généré par l'IA dans l'application mobile après une coupure de connexion : copie temporaire de ce devis, effacée automatiquement après 2 heures. | Londres, Royaume-Uni (données) + États-Unis (accès) | Décision d'adéquation de la Commission européenne (Royaume-Uni) + SCC + DPA (accès depuis les États-Unis) |
| Anthropic | IA Claude : génération de devis, et analyse d’IMAGES que vous transmettez volontairement — photo de chantier, photo d’un produit, facture fournisseur reçue, et photo de RIB lors de la saisie de vos coordonnées bancaires. L’image est transmise pour l’analyse et n’est pas conservée par Anthropic pour entraîner ses modèles. | États-Unis | SCC + DPA |
| Mistral AI (Voxtral) | Transcription vocale en flux pour la dictée de devis faite depuis le site (audio non conservé) | France (UE) | RGPD natif |
| Groq, Inc. | Transcription vocale pour l'application mobile : dictée de devis et notes vocales du carnet de chantier (audio de la dictée non conservé) | États-Unis | SCC + DPA |
| Stripe | Paiement par carte bancaire | Irlande (UE) + États-Unis | SCC + DPF |
| Resend | Envoi des emails transactionnels | États-Unis | SCC + DPA |
| Google (GA4) | Mesure d'audience anonymisée (uniquement après consentement) | Europe + États-Unis | SCC + DPF |
| Meta Platforms Ireland Ltd | Publicité et mesure de l'efficacité des campagnes (Meta Pixel — uniquement après consentement à la catégorie « Publicité ») | Irlande (UE) + États-Unis | SCC + DPF |
| Zoho Corporation B.V. | Boîte email professionnelle : réception des emails entrants (contact@, support@, dpo@, rapports@) et envoi des réponses humaines | Pays-Bas (UE) — datacenter européen | RGPD natif + DPA |
| Sentry | Détection d'erreurs applicatives (PII filtrée avant transmission) | Europe (Sentry SaaS EU) | RGPD natif |
| Cloudflare Turnstile | CAPTCHA invisible anti-bot sur le formulaire d'inscription (cookieless) | Edge global | SCC + DPA |
| Expo (650 Industries, Inc.) | Notifications sur votre téléphone et mises à jour de l'application mobile : jeton de notification de l'appareil, texte fixe de la notification (jamais de nom, de montant ni de numéro de pièce), adresse IP et système de l'appareil quand l'application cherche une mise à jour. Expo transmet la notification à Apple ou à Google, qui la livrent, et n'en garde pas le contenu. | États-Unis | DPF |
| Discord Inc. | Alertes internes de l'équipe Vulko (inscription, paiement, résiliation, suppression de compte, incident technique ou de sécurité) : e-mail, nom et société du compte concerné, montant, et adresse IP lors d'une alerte de sécurité | États-Unis | SCC + DPF |
| Trustpilot A/S | Invitation à laisser un avis sur Vulko, une seule fois par entreprise : nom et adresse e-mail du compte, transmis en copie cachée d'un e-mail | Danemark (UE) | RGPD natif |
SCC = Standard Contractual Clauses (clauses contractuelles types approuvées par la Commission européenne) · DPF = Data Privacy Framework UE-USA · DPA = Data Processing Agreement.
Liste à jour au 11 octobre 2026. En cas d'invalidation du Data Privacy Framework UE-USA par la CJUE, Vulko basculera ces transferts sur SCC seules dans les 30 jours suivant la décision.
Tous les transferts de données vers des pays hors UE sont encadrés par des garanties juridiques conformes aux articles 44 à 49 du RGPD.
Autres destinataires
Pour rendre certains services, Vulko transmet une donnée précise à un service public ou à un outil que vous avez choisi. Ce ne sont pas nos sous-traitants : chacun traite la donnée sous sa propre responsabilité.
| Destinataire | Ce qui lui est transmis | Pays | Cadre |
|---|---|---|---|
| IGN (Géoplateforme) | L'adresse d'un chantier, sans nom ni client, quand vous l'enregistrez : elle devient un point sur la carte et sert au pointage GPS. Envoyée par nos serveurs. | France (hébergé par OVH, Roubaix) | Service public, pas de transfert hors UE |
| DINUM (API Recherche d'entreprises) | Le numéro SIRET ou SIREN, ou le nom d'entreprise que vous recherchez, pour remplir une fiche client ou votre profil. Envoyé par nos serveurs. | France | Service public |
| ADEME (liste des entreprises RGE) | Le numéro SIRET de votre entreprise, pour vérifier votre qualification RGE. | France | Service public |
| RETINENS SRL (CBEAPI) | Le numéro d'entreprise belge (BCE) que vous recherchez, pour remplir une fiche. Journaux d'appels gardés 90 jours au plus. | Belgique (hébergé par Hetzner, Allemagne) | RGPD natif |
| Pennylane | Seulement si vous connectez votre compte Pennylane : les factures et fiches clients que vous y exportez. Pennylane les traite pour votre compte. | France (données dans l'UE, Irlande) | Votre contrat avec Pennylane |
| Google (connexion avec Google) | Seulement si vous choisissez « Continuer avec Google » : vous vous identifiez chez Google, qui sait alors que vous vous connectez à Vulko. Google nous renvoie l'identifiant de votre compte, votre nom, votre adresse e-mail et votre photo de profil. | Irlande (UE) + États-Unis | Votre compte Google, sous la politique de confidentialité de Google |
| Apple (connexion avec Apple) | Seulement si vous choisissez « Continuer avec Apple » : vous vous identifiez chez Apple, qui sait alors que vous vous connectez à Vulko. Apple nous renvoie un identifiant propre à Vulko, votre adresse e-mail (ou une adresse relais d'Apple, si vous masquez la vôtre) et, à la première connexion, le nom que vous acceptez de partager. | Irlande (UE) + États-Unis | Votre compte Apple, sous la politique de confidentialité d'Apple |
| Microsoft (connexion avec Microsoft) | Seulement si vous choisissez « Continuer avec Microsoft » : vous vous identifiez chez Microsoft, avec un compte personnel ou professionnel, et Microsoft sait alors que vous vous connectez à Vulko. Microsoft nous renvoie l'identifiant de votre compte, votre nom et votre adresse de connexion. | Irlande (UE) + États-Unis | Votre compte Microsoft (ou celui de votre entreprise), sous la politique de confidentialité de Microsoft |
Dans l'application mobile à jour, la carte passe entièrement par nos serveurs : la bibliothèque d'affichage et les fonds de carte OpenStreetMap. Ni la fondation OpenStreetMap ni aucun autre tiers ne reçoit l'adresse IP de votre téléphone ou la zone que vous regardez.
7. Données collectées par le carnet de bord chantier (Cluster A)
- Photos chantier — pour mémoire visuelle des travaux. Stockées dans Supabase Storage privé. EXIF (métadonnées GPS de l'appareil) supprimées avant stockage. Conservation : douze mois après la fin du chantier, puis suppression automatique du fichier et de son enregistrement. Une entrée que vous supprimez vous-même part définitivement au bout de quatre-vingt-dix jours.
- Notes vocales — transcrites par Groq Whisper (sous-traitant DPA). Audio + transcription stockés en privé. Conservation identique aux photos.
- Géolocalisation — capturée à la prise de photo (toujours) + à l'arrivée/départ chantier (uniquement si pointage géofencé activé). Coordonnées stockées au centième de degré. Pas de trace en temps réel.
- Heures de présence — agrégées à partir des pointages géofencés.
Base légale : exécution du contrat de service (art. 6.1.b RGPD) pour l'artisan. Intérêt légitime de l'artisan vis-à-vis de ses clients (art. 6.1.f) pour le rapport hebdo. Consentement explicite (art. 6.1.a) pour le pointage géofencé des ouvriers (toggle dans Réglages > Préférences).
Vos droits : accès, rectification, effacement, opposition, portabilité (art. 15-22 RGPD). Contact DPO : dpo@vulko.fr.
8. Décision automatisée et profilage
Les outils d'IA proposés par Vulko (génération de devis, analyse de photos de chantier, suggestions de prix) sont des outils d'aide à la décision. L'artisan revoit, modifie et valide chaque devis avant envoi : aucune décision ne produisant d'effets juridiques n'est prise automatiquement à votre encontre, au sens de l'article 22 du RGPD.
9. Contact — Délégué à la Protection des Données
Pour toute question relative à la protection de vos données personnelles, ou pour exercer vos droits (accès, rectification, opposition, effacement, portabilité, limitation) :
Email : dpo@vulko.fr.
En cas de litige non résolu, vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés, autorité de contrôle française). Si vous résidez en Belgique, vous pouvez également saisir l' Autorité de protection des données (APD/GBA), conformément à l'article 77 du RGPD.