Politique de confidentialité

Version du 12 octobre 2026.

1. Qui traite les données ?

Pour les comptes, l’assistance, la sécurité et la relation commerciale, l’exploitant de « Nova Saas technologie » agit comme responsable de traitement. Adresse : 29 rue des Cévennes, 75015 Paris, France. Contact pour la vie privée : Nova.CRM@hotmail.com. L’identité juridique complète est à renseigner dans les mentions légales avant ouverture commerciale.

Pour les contacts et données CRM importés par une organisation, cette organisation décide de leur utilisation et agit comme responsable de traitement ; Nova agit comme sous-traitant selon l’annexe RGPD. Une personne inscrite dans le CRM d’un client doit, en premier lieu, s’adresser à ce client. Nova aide celui-ci à traiter les demandes reçues.

2. Données utilisées et finalités

Comptes et accès : nom, adresse e-mail, identifiant, empreinte de mot de passe, preuve d’acceptation des documents, sessions, organisation et rôle. Ces informations servent à créer le compte, vérifier l’adresse, gérer les accès et exécuter le service demandé, sur la base du contrat ou des démarches précontractuelles. Le mot de passe n’est pas conservé en clair.

Relation commerciale et facturation : coordonnées professionnelles, offre choisie, historique de contrat, justificatifs et informations de paiement nécessaires. L’exécution du contrat et les obligations comptables/fiscales en sont les bases légales. Lorsque le paiement sera connecté, le prestataire de paiement traitera les données de carte ; Nova ne recevra pas le numéro complet de carte.

Sécurité et assistance : demandes de support, journaux techniques, adresses IP et événements d’accès ou de modification nécessaires pour analyser un incident, limiter les abus et assurer le fonctionnement. Le fondement est l’intérêt légitime à maintenir un service sûr, sous réserve des droits des personnes.

Données CRM confiées : noms et coordonnées de contacts professionnels, opportunités, montants, notes, tâches et données de facturation renseignés par les clients. Leur traitement est effectué sur instruction de chaque client. Celui-ci détermine la base légale, informe les personnes et limite les contenus aux informations nécessaires.

IA : une demande de rédaction ou un workflow activé transmet au fournisseur les champs sélectionnés du contact, les notes nécessaires, les objectifs et les instructions de rédaction. Le résultat et la justification du score sont sauvegardés. L’IA reste facultative ; le client doit vérifier les résultats et ne pas transmettre de données sensibles ou de secrets.

Les données obligatoires sont signalées dans les formulaires. Leur absence peut empêcher la création d’un compte ou l’exécution de la prestation. Aucune prospection marketing de Nova n’est déduite de l’acceptation des CGU. Une éventuelle prospection future fera l’objet des informations et choix requis.

3. Destinataires et prestataires

L’accès est limité aux membres autorisés de l’organisation, aux personnes habilitées pour le support, et aux prestataires nécessaires. Les organisations ne sont pas autorisées à consulter les données d’une autre organisation.

Prestataires techniques actuels : Vercel pour l’hébergement et les fonctions serveur ; Neon, service du groupe Databricks, pour PostgreSQL ; Vercel AI Gateway et le fournisseur de modèle effectivement utilisé pour les générations IA. Le modèle sélectionné au stade de préparation est OpenAI GPT-5 mini ; le fournisseur effectivement routé et ses conditions doivent être consignés avant lancement, notamment en cas de routage vers Azure.

Microsoft Graph est configuré avec la boîte Outlook/Hotmail pour les e-mails transactionnels ; la réception du message de contrôle a été confirmée. Stripe est raccordé au compte réel pour les abonnements. L’activation technique du service ne vaut pas validation des informations juridiques et fiscales encore manquantes. Les polices externes Google Fonts présentes dans l’interface peuvent entraîner une requête du navigateur vers Google, avec notamment l’adresse IP et les informations techniques de la requête.

La liste des prestataires et leurs fonctions figure également dans l’annexe RGPD. Aucune vente des données CRM par Nova n’est prévue. Une communication peut toutefois être nécessaire pour répondre à une obligation légale ou une demande d’autorité compétente.

4. Lieux de traitement et transferts

L’adresse française de l’éditeur ne signifie pas que l’ensemble des traitements se déroule en France. Vercel et les autres fournisseurs peuvent utiliser une infrastructure mondiale, et des traitements ou accès hors Espace économique européen sont possibles. Aucune promesse d’hébergement exclusivement français ou européen n’est faite.

Avant ouverture, l’éditeur doit vérifier la région effective de stockage, les contrats de sous-traitance et le mécanisme applicable à chaque transfert. Selon le destinataire et sa couverture effective, ce mécanisme peut être une décision d’adéquation valide ou des clauses contractuelles types accompagnées des garanties requises. L’utilisation d’un fournisseur américain ne constitue pas, à elle seule, une preuve de conformité de tous les transferts.

Une copie des garanties pertinentes peut être demandée à Nova.CRM@hotmail.com, sous réserve de la protection des informations confidentielles et des droits des tiers.

5. Durées de conservation

Les données de compte sont conservées pendant la relation de service. Les éléments strictement nécessaires à la preuve d’un contrat ou à la défense d’un droit peuvent être archivés avec accès limité pendant la durée de prescription applicable ; la cible pour les contrats et échanges commerciaux est cinq ans à compter de la fin de la relation. Les pièces comptables et factures sont conservées dix ans lorsqu’elles relèvent de cette obligation.

Pour les données CRM confiées, le client détermine la durée pertinente. La politique de lancement prévoit une restitution disponible pendant trente jours après la fin d’un essai ou d’un contrat, puis une suppression ou anonymisation des données actives au plus tard trente jours après ce délai. Les obligations légales, litiges et instructions contraires licites peuvent justifier une conservation limitée. Les copies de sauvegarde suivent le cycle du fournisseur : les délais effectifs doivent être documentés avant ouverture et les données supprimées ne doivent pas être remises en usage normal lors d’une restauration.

Les sessions applicatives ont une durée maximale configurée de sept jours, renouvelable lors de l’utilisation ; la révocation et l’expiration interrompent l’accès. Les liens de récupération et vérification disposent d’une validité limitée. Les journaux de sécurité ont une cible de conservation de quatre-vingt-dix jours, sous réserve d’un incident justifiant une conservation distincte et limitée. Les durées exactes des journaux détenus par les prestataires sont à consigner dans le registre de traitements.

Ces durées constituent la politique préparée pour le lancement ; la procédure de suppression/restitution et les réglages de journaux/sauvegardes doivent être opérationnels et vérifiés avant l’ouverture commerciale. Le service ne prétend pas qu’un automate de purge est déjà activé au stade de pré-lancement.

6. Cookies, stockage local et sécurité

Le service utilise des cookies de session et de protection de l’authentification. Le navigateur conserve également l’identifiant de l’organisation active dans sessionStorage, supprimé à la déconnexion. Ces mécanismes servent au fonctionnement demandé et ne constituent pas un ciblage publicitaire. Aucun outil marketing ou de mesure d’audience non nécessaire n’est ajouté par cette configuration ; tout ajout devra être recensé et, si nécessaire, précédé d’un choix de consentement.

Le service utilise des mots de passe hachés, des cookies HttpOnly, des contrôles d’appartenance à l’organisation, des rôles, une validation serveur et des connexions protégées par TLS en production. Une sécurité absolue ne peut être garantie ; ne communiquez jamais vos identifiants dans un ticket de support.

7. Vos droits

Selon votre situation et les bases légales applicables, vous pouvez demander l’accès, la rectification, l’effacement, la limitation, l’opposition et la portabilité, et retirer un consentement éventuel. Certains droits sont limités par les obligations légales ou les droits de tiers. Une décision d’IA ne constitue pas une décision autonome produisant un effet juridique dans Nova CRM.

Pour exercer vos droits concernant le compte ou la relation avec Nova, écrivez à Nova.CRM@hotmail.com en précisant votre demande. Pour les données CRM d’une organisation cliente, adressez-vous à cette organisation ; Nova lui transmettra une demande reçue directement lorsqu’il est en mesure de l’identifier. Une vérification proportionnée de l’identité peut être nécessaire ; n’envoyez pas spontanément de document d’identité ou mot de passe.

Une réponse est apportée dans le délai légal, en principe un mois. Une prolongation légalement justifiée vous sera expliquée. Vous pouvez saisir la CNIL, notamment sur https://www.cnil.fr/fr/plaintes. Les modifications de cette politique sont datées et les changements substantiels sont annoncés.

8. Modules de capture et d’intelligence CRM

Une organisation peut autoriser une connexion Microsoft distincte pour capturer des e-mails et des événements de calendrier, et choisir explicitement un expéditeur de support. Les appels, réunions et chats peuvent être importés par une interface signée. Les événements de calendrier ne constituent pas des transcriptions. Le client reste responsable de l’information des participants, de la base légale et des autorisations nécessaires à l’enregistrement ou la transcription.

Les textes, métadonnées utiles, résumés, indices de sentiment, intérêts professionnels et recommandations sont enregistrés dans l’organisation. Un extrait audio fourni pour transcription est transmis au fournisseur sélectionné et n’est pas conservé par Nova CRM après traitement ; les politiques de conservation de ce fournisseur restent à vérifier. Les recherches d’enrichissement transmettent les critères d’identification de l’entreprise au service de recherche et conservent les sources utilisées. Les champs inconnus restent vides ; les résultats IA doivent être vérifiés.

Le suivi des visites, clics et ouvertures n’est activé que pour les contacts disposant d’un consentement documenté. Les campagnes exigent une approbation et un expéditeur dédié ; le retrait du consentement annule les envois en attente. Une inscription sur une landing page ne vaut pas consentement marketing. Les pixels d’ouverture fournissent une indication approximative. Les rapprochements et fusions de contacts sont tracés ; les snapshots d’audit contiennent les données rapprochées et suivent les instructions de conservation du client.

Les modèles et connecteurs effectivement choisis peuvent ajouter des destinataires et des transferts. L’organisation doit en vérifier les conditions avant activation. Les réponses automatiques de support sont facultatives, limitées aux textes approuvés ou aux accusés de réception ; les dossiers sensibles restent soumis à intervention humaine. Les prévisions, scores et sentiments sont des aides indicatives et ne déclenchent aucune décision juridique autonome.

9. Assistant conversationnel opérationnel

Les demandes adressées au chat, ses réponses, les propositions et leurs états d’exécution sont conservés dans une conversation personnelle rattachée à l’utilisateur et à l’organisation. Les champs CRM nécessaires et un historique récent peuvent être transmis au modèle IA sélectionné. Les membres d’une autre organisation et les autres utilisateurs n’accèdent pas à cette conversation par les API du chat. Le client doit éviter d’y inclure des secrets ou des données sensibles inutiles.

L’assistant utilise un catalogue d’opérations validées ; il ne dispose pas d’un accès arbitraire au système, au web ou à la base SQL. Les modifications et envois nécessitent une validation explicite dans l’interface, et les droits sont recontrôlés côté serveur. La suppression d’une conversation ne supprime pas les opérations déjà réalisées dans le CRM ni leur journal d’audit. Une proposition expire après trente minutes. Un résultat d’envoi incertain est signalé et n’est pas relancé automatiquement.

10. Canaux sociaux, appels et justificatifs

Les organisations peuvent connecter leurs propres comptes WhatsApp Business, Instagram, sources de signaux autorisées et Vapi. Les messages, transcriptions, résumés, preuves de qualification et champs extraits sont rattachés à leur organisation. Les commandes CRM ne sont exécutées que pour des expéditeurs internes explicitement autorisés. Les fichiers audio passent par OpenAI Whisper ; les justificatifs passent par le modèle visuel sélectionné. Nova ne stocke pas leurs fichiers bruts dans sa base. Les transcriptions et extractions restent des données personnelles que l’organisation peut rectifier ou supprimer avec la fiche.

L’organisation doit informer les personnes de l’agent IA, de la transcription et des traitements de leurs documents, disposer d’une base légale adaptée, limiter les données envoyées et encadrer les fournisseurs qu’elle utilise. Les sous-traitants destinataires de dossiers sont configurés explicitement et les transmissions sont signées. Les champs OCR doivent être vérifiés avant application. Les qualifications sont commerciales ; elles ne constituent ni une décision administrative d’éligibilité aux aides ni une décision de crédit. Les scores de rétention sont des indicateurs heuristiques.

L’extension Chrome ne lit que les éléments visibles d’un profil à la demande de son utilisateur. Elle conserve un jeton temporaire dans le stockage de session Chrome, révocable dans Nova. Elle n’effectue aucun envoi de message social en arrière-plan.