Politique de confidentialité SHAPP

1. Champ d’application

Cette politique s’applique aux visiteurs de shapp.ai, aux clients de SHAPP et aux membres de leurs entreprises, aux personnes qui utilisent Shappy depuis SHAPP, une messagerie ou un assistant IA connecté, et aux personnes qui nous contactent.

Les données qu’une entreprise enregistre dans ses applications SHAPP (par exemple ses clients, devis et factures) lui appartiennent. Pour ces données, l’entreprise est responsable du traitement et nous agissons comme sous-traitant ; adressez d’abord vos questions à l’entreprise. Pour les données que nous collectons pour nos propres besoins (comptes, facturation, sécurité, site), nous sommes responsables du traitement.

2. Données collectées

• Identité et contact : nom, adresse e-mail, numéro de téléphone si vous vous connectez avec, nom de l’entreprise.
• Identifiants : mots de passe chiffrés par hachage, jetons de connexion, et jetons chiffrés des services que vous connectez.
• Données de l’entreprise : les fiches que vous et votre équipe créez dans les applications SHAPP, et les fichiers ajoutés.
• Conversations avec Shappy : vos demandes, le contexte nécessaire pour y répondre et les résultats des outils utilisés.
• Données techniques et d’usage : adresse IP, navigateur et appareil, pages consultées, fonctionnalités utilisées.
• Facturation : adresse de l’entreprise, numéro de TVA, historique d’abonnement ; les paiements par carte sont traités par Stripe.
• Échanges : demandes d’aide et e-mails.
• Journaux d’audit : actions effectuées dans une entreprise, comme les connexions, les accès et les modifications de données, y compris celles faites par Shappy ou un assistant connecté pour votre compte.

Nous ne collectons pas volontairement de données sensibles (par exemple de santé ou biométriques). Si de telles données ont été transmises par erreur, contactez-nous pour que nous les supprimions.

3. Pourquoi nous les traitons

• Fournir SHAPP et gérer votre compte et votre entreprise (exécution du contrat).
• Facturer et encaisser les paiements (exécution du contrat).
• Envoyer les messages du service, comme les codes de connexion, alertes de sécurité et reçus (exécution du contrat).
• Répondre aux demandes d’aide (exécution du contrat ou intérêt légitime).
• Garder le service fiable et sûr et l’améliorer, y compris par des statistiques agrégées et anonymisées (intérêt légitime).
• Respecter nos obligations fiscales, comptables et légales (obligation légale).
• Envoyer des nouvelles du produit ou de la prospection, seulement avec votre accord (consentement).

Lorsque nous invoquons l’intérêt légitime, nous avons vérifié qu’il ne prévaut pas sur vos droits et libertés. Vous pouvez nous en demander le détail.

4. Shappy, modèles IA et assistants connectés

Vos demandes, le contexte de conversation et les résultats des outils utilisés peuvent être transmis à un service de modèles IA pour produire la réponse ou faire le travail demandé. Shappy utilise actuellement des modèles Anthropic via Amazon Bedrock, exploité par AWS. Vous n’avez pas à apporter votre propre clé de modèle.

Lorsque vous connectez SHAPP à ChatGPT, Grok Bot ou un autre assistant compatible, cet assistant peut recevoir le nom de votre entreprise, la liste de ses applications et leur mode d’emploi, et les fiches que vous lui demandez de lire ou de modifier. SHAPP n’envoie que les données nécessaires à l’action demandée, applique votre rôle et vos droits existants, conserve les identifiants de connexion et inscrit les modifications dans le journal d’audit de l’entreprise. Le fournisseur de l’assistant traite ces données selon ses propres conditions et sa politique de confidentialité. Vous pouvez déconnecter l’assistant à tout moment pour arrêter tout accès futur.

Nous n’utilisons pas vos données pour entraîner des modèles IA. Nous n’exploitons pas nos propres modèles de fondation. Les fournisseurs de modèles et d’assistants sont des tiers ; leur traitement des données relève de leurs conditions.

Les réponses d’une IA peuvent être inexactes. Shappy n’envoie jamais de message et ne signe jamais de document à votre place : vous le faites dans l’application.

5. Destinataires

Nous ne vendons pas de données personnelles. Nous ne les partageons que dans les cas suivants :

• Les prestataires qui nous aident à faire fonctionner SHAPP : hébergement cloud, services de modèles IA, paiement (Stripe), e-mails de service et suivi des erreurs. Ils agissent sur nos instructions dans le cadre d’accords de traitement des données.
• Les services que vous choisissez de connecter, comme Google, Notion, Airtable, HubSpot, Slack ou Stripe, et les assistants ou messageries que vous reliez (par exemple ChatGPT, Grok Bot, WhatsApp ou Telegram). Les données leur parviennent alors sous votre contrôle et selon leurs conditions.
• Les autorités, lorsque la loi ou une procédure légale valable l’exige, ou pour protéger les droits et la sécurité des personnes ou du service.
• Un acquéreur ou successeur en cas de fusion, d’acquisition ou de cession d’actifs. Nous vous préviendrons avant que vos données ne relèvent d’une autre politique.
• Des conseillers tenus au secret professionnel, comme les auditeurs et avocats.

La liste de nos sous-traitants est disponible sur demande à legal@rootcx.com.

6. Transferts internationaux

Nous sommes établis en Belgique. Certains prestataires opèrent hors de l’Espace économique européen. Dans ce cas, nous nous appuyons sur les décisions d’adéquation de la Commission européenne, les clauses contractuelles types et des mesures complémentaires si nécessaire.

7. Durées de conservation

• Données de compte : pendant le contrat, puis 90 jours.
• Données de l’entreprise : pendant l’abonnement ; elles peuvent être exportées pendant 30 jours après la fin, puis elles sont supprimées.
• Données de facturation : aussi longtemps que l’exigent les règles financières belges et européennes (en général 7 ans).
• Journaux d’audit : 7 jours pendant l’essai gratuit, 30 jours en Solo, 1 an en Team et Business.
• Échanges avec l’assistance : jusqu’à 365 jours après résolution.
• Statistiques du site : 26 mois, agrégées et anonymisées si possible.

Lorsque des données ne sont plus nécessaires, nous les supprimons ou les anonymisons. Les sauvegardes sont effacées selon leur rotation normale.

8. Sécurité

Nous protégeons les données par le chiffrement en transit et au repos, des contrôles d’accès par rôle, un coffre chiffré pour les identifiants et jetons, des journaux d’audit des accès administratifs et aux données, et des revues de sécurité régulières. Aucun système n’est totalement sûr. Si une violation touche vos données personnelles, nous vous en informerons, ainsi que l’autorité compétente, comme le prévoit le RGPD (dans les 72 heures si possible).

9. Vos droits et vos réglages

Selon le RGPD, vous pouvez demander l’accès à vos données personnelles, leur rectification, leur suppression, la limitation de leur traitement ou leur portabilité, vous opposer à un traitement fondé sur l’intérêt légitime et retirer votre consentement à tout moment. Écrivez à legal@rootcx.com ; nous répondons sous 30 jours et pouvons vous demander de justifier votre identité. Certaines données peuvent être conservées lorsque la loi l’exige, comme les pièces de facturation.

Dans SHAPP, un administrateur de l’entreprise gère les membres et les rôles, et vous pouvez déconnecter à tout moment un service ou un assistant connecté. Retirez aussi l’autorisation de SHAPP ou de Shappy dans les réglages de ce service. Retirer une connexion n’efface pas les données déjà copiées dans une application ni les opérations déjà effectuées.

Vous pouvez introduire une réclamation auprès de l’Autorité de protection des données belge ou de l’autorité de votre pays de résidence.

10. Cookies

Nous utilisons des cookies strictement nécessaires (connexion, session, sécurité) et fonctionnels (langue, préférences), qui ne demandent pas de consentement, et des cookies de mesure d’audience seulement avec votre accord. Nous n’utilisons pas de cookies publicitaires. Vous pouvez gérer les cookies dans votre navigateur ; bloquer les cookies nécessaires peut empêcher SHAPP de fonctionner.

11. Enfants

SHAPP est un service destiné aux entreprises et ne s’adresse pas aux enfants. Nous ne collectons pas sciemment de données personnelles d’enfants. Si vous pensez qu’un enfant nous en a transmis, contactez-nous et nous les supprimerons.

12. Modifications

Nous pouvons mettre à jour cette politique. Pour un changement important, nous vous prévenons au moins 30 jours à l’avance par e-mail ou dans le produit. La date en bas de page indique la dernière version.

13. Contact

Questions et demandes sur vos données : legal@rootcx.com. Questions générales : contact@rootcx.com. SHAPP est exploité par RootCX, Belgique.