Politique de confidentialité

Styvan Hauterville, entrepreneur individuel exerçant sous le nom commercial SHAU, éditeur de Findingbase (findingbase.fr) — SIREN 107 173 320 (RNE) — 1 Rue de la Tannerie, 97200 Fort-de-France (voir aussi les mentions légales). Contact pour toute question relative à vos données : [email protected].

Pour créer et utiliser votre compte, nous traitons votre adresse e-mail, votre mot de passe (stocké uniquement sous forme de hachage scrypt, jamais en clair), facultativement votre nom et votre société, ce que vous cherchez à faire avec Findingbase et la façon dont vous l’avez connu (deux questions facultatives de l’inscription), votre offre de prospection (ce que vous vendez, vos zones), vos réglages, et si vous l’activez, le secret de votre authentification à deux facteurs. Nous conservons la date et l’adresse IP tronquée de vos connexions pour la sécurité du compte.

Pour améliorer nos offres, nous enregistrons aussi les moments où une fonction payante vous est proposée : limite de votre offre atteinte, fenêtre d’abonnement ouverte ou fermée sans paiement, avec la page concernée. Ces informations restent attachées à votre compte et ne sont transmises à personne.

Nous distinguons trois sortes d’e-mails. Les e-mails essentiels à votre compte (confirmation de votre adresse, sécurité, abonnement et facturation, limites de votre offre, veilles que vous programmez) sont toujours envoyés. Les relances liées à votre compte, tant que vous n’êtes pas abonné (pendant votre première semaine, au plus trois e-mails avec de nouvelles entreprises pour votre dernière recherche ; des enrichissements offerts quand une recherche n’a rien donné ; des offres pour aller plus loin), ne partent que si votre adresse est confirmée et tant que vous ne vous y opposez pas : lien d’arrêt dans chacune, interrupteur dans Paramètres → Compte. La newsletter (nouveautés, conseils de prospection, offres) n’est envoyée qu’avec votre accord explicite : case facultative à l’inscription, invitation dans l’application ou Paramètres. Confirmer votre adresse ne vaut jamais accord. Désinscription en un clic dans chaque e-mail.

Nous gardons l’historique de vos consentements, retraits, refus et oppositions (date, surface, texte accepté et sa version), visible dans Paramètres → Compte, pour pouvoir prouver votre choix ; il est effacé avec votre compte.

Une opposition s’applique aussi à nos campagnes de prospection par e-mail.

Base légale : exécution du contrat (fourniture du service) ; pour la newsletter, votre consentement ; pour la sécurité du compte, les relances liées à votre compte, les réponses facultatives de l’inscription et le relevé des offres proposées, notre intérêt légitime.

Pour les offres payantes, le paiement est confié à Stripe. Nous ne voyons ni ne stockons votre numéro de carte : nous ne conservons que l’identifiant client Stripe, l’offre souscrite, l’état de l’abonnement et les dates d’échéance. Base légale : exécution du contrat et obligations comptables (conservation des factures 10 ans).

Les fiches d’entreprises que vous générez proviennent de sources publiques : base SIRENE de l’INSEE, annonces du BODACC, données de la commande publique (DECP), et informations professionnelles publiées par les entreprises elles-mêmes (adresse e-mail de contact, téléphone professionnel) : sur leur propre site, sur leur fiche OpenStreetMap ou, pour le bâtiment, dans l’annuaire des entreprises RGE de l’ADEME ; au Québec, dans la liste des licences actives de la Régie du bâtiment du Québec (Données Québec). L’adresse retenue peut être vérifiée auprès du serveur de messagerie de son domaine, sans envoi de message, directement ou par un service de vérification (voir les sous-traitants) ; le résultat, sa date et le service qui l’a rendu sont conservés. Les unités légales en diffusion partielle au répertoire SIRENE sont exclues automatiquement du sourcing.

Certaines fiches peuvent contenir des données à caractère personnel, notamment lorsqu’elles concernent des entrepreneurs individuels dont la dénomination est un nom de personne physique. SHAU traite ces données dans le cadre de la constitution et de l’enrichissement du service Findingbase (choix des sources publiques, collecte, vérification, mise à disposition), en qualité de responsable de traitement, sur le fondement de son intérêt légitime à fournir un service de recherche et de prospection B2B, sous réserve des droits et intérêts des personnes concernées.

Lorsqu’un utilisateur exploite les résultats obtenus pour réaliser ses propres opérations de prospection, il devient responsable de ce traitement ultérieur : il lui appartient de déterminer la base légale applicable à sa prospection et de respecter les obligations qui lui incombent, notamment en matière d’information des personnes, de droit d’opposition et de règles propres au canal utilisé (e-mail, téléphone, courrier).

Les données publiques d’une entreprise établies par un enrichissement (site officiel, adresse e-mail et téléphone publiés par l’entreprise, présence en ligne, boutique en ligne, fin d’activité publiée au BODACC), avec la source et la date de chacune, sont conservées dans une base commune rangée par SIREN et servies aux autres utilisateurs qui sourcent la même entreprise. Cette base est alimentée par les enrichissements de tous les comptes. Elle ne contient rien qui soit propre à un compte : ni l’identité de qui a lancé la recherche, ni notes, statuts, listes, scores ou accroches.

Ces données sont re-vérifiées périodiquement (le site répond-il encore, l’adresse est-elle toujours acceptée par son serveur de messagerie) ; leurs changements (site modifié, adresse retirée, entreprise fermée) sont conservés dans un historique par SIREN, tant que l’entreprise figure dans la base commune.

Signaler une erreur. Quand vous signalez une erreur sur une fiche, le signalement (entreprise, nature de l’erreur, site ou adresse visés, date) est conservé avec votre compte et votre organisation, pour le contrôler, limiter les abus (30 signalements par jour au plus) et reconnaître des signalements concordants venant de comptes différents. Une correction confirmée s’applique à la base commune : les autres utilisateurs voient la correction, jamais qui l’a signalée. Base légale : notre intérêt légitime à tenir des données exactes. Vos signalements sont effacés avec votre compte.

Ajouter un site ou une page. Les adresses que vous ajoutez sur une fiche (site, marque, boutique, annuaire, réseau social) ne sont visibles que de votre organisation. Elles sont conservées avec votre compte et votre organisation pour les afficher, les contrôler et limiter les abus (50 ajouts par jour au plus). Le contrôle lit la page publique de l’adresse, comme pour les sites que Findingbase trouve lui-même. Seule une adresse dont l’appartenance à l’entreprise est prouvée rejoint la base commune : les autres utilisateurs la voient alors comme une donnée vérifiée, jamais qui l’a proposée. Base légale : notre intérêt légitime à tenir des données exactes. Vos ajouts sont effacés avec la fiche ou avec votre compte ; une adresse entrée dans la base commune y reste comme les autres données publiques de l’entreprise.

Chaque compte appartient à une organisation. Sur l’offre Pro, une organisation peut compter plusieurs membres : les leads, recherches, listes, notes et veilles de l’organisation sont alors visibles par tous ses membres, comme son profil et ses veilles marchés publics, son dossier entreprise, ses analyses et ses préparations de réponse ; vos conversations avec Findingbase AI Agent restent personnelles. En dehors de votre organisation, aucune donnée de votre compte n’est partagée avec d’autres utilisateurs (la base commune ci-dessus ne contient que des données publiques d’entreprises). L’isolation est garantie au niveau de la base de données (Row Level Security PostgreSQL).

L’agent est un assistant conversationnel intégré à l’application, en bêta. Pour vous répondre, il transmet au modèle d’IA de notre sous-traitant Anthropic votre question, les derniers messages de la conversation, la page de l’application que vous regardez et ce que ses outils lisent pour vous dans votre organisation : fiches de vos leads (données publiques de l’entreprise, coordonnées trouvées, score, statut dans votre pipeline), vos recherches et veilles, votre profil de prospection (offres, zones, cibles), vos crédits restants et, si votre organisation y a accès, les avis de marchés publics consultés. Il ne transmet ni votre mot de passe, ni vos données de paiement, ni les pièces de votre coffre. Aucun autre fournisseur d’IA ne reçoit ces données. Les actions qu’il propose (recherche, enrichissement, liste, veille, modification du profil) ne sont exécutées qu’après votre confirmation.

Vos conversations sont conservées pour que vous les retrouviez. Elles ne sont visibles que par vous : ni les autres membres de votre organisation ni notre outil d’administration ne les affichent. Vous pouvez supprimer une conversation ou toutes depuis l’agent ; une conversation sans activité depuis 90 jours est effacée à votre visite suivante de l’agent, et toutes le sont avec votre compte. Nous comptons les messages par organisation (quotas de votre offre) et enregistrons, pour chaque réponse, le modèle utilisé et son coût. Base légale : exécution du contrat.

Profil, sélection et veille. Les avis de marchés viennent du BOAMP (données publiques). Les critères de votre profil marchés (domaines, mots-clés, zones, montants, types de marchés) et vos veilles (critères, jours et heure d’envoi) sont conservés avec votre organisation, jusqu’à ce que vous les modifiiez ou les supprimiez. Si vous demandez des critères proposés par IA, la phrase qui décrit votre activité est transmise à Anthropic ; la proposition est gardée 30 jours dans un cache commun, rangé par empreinte du texte, sans lien avec votre compte. Les e-mails de veille partent aux jours et à l’heure choisis ; une veille se modifie ou se supprime à tout moment. Avant l’ouverture de la bêta à tous les inscrits, l’accès se demandait depuis les Paramètres : la date de la demande, son auteur et la décision sont conservés avec l’organisation.

Dossier entreprise et coffre de pièces. Si vous utilisez le dossier entreprise, nous conservons les informations de votre entreprise que vous y enregistrez ou que nous reprenons des registres publics (répertoire Sirene de l’INSEE, registre national des entreprises et comptes annuels publiés par l’INPI, données essentielles des marchés publics) : identité, dirigeants, chiffres d’affaires, moyens, références, certifications et assurances, ainsi que les pièces que vous déposez (extrait Kbis, attestations sociales et fiscales, attestations d’assurance, RIB, certificats). Ces données servent uniquement à préparer vos candidatures et à vous prévenir par e-mail 30 jours puis 7 jours avant l’expiration d’une pièce (base légale : exécution du contrat). Elles ne sont accessibles qu’aux membres de votre organisation sur Findingbase, ne sont ni publiées, ni vendues, ni transmises à des tiers, et les pièces ne sont ni lues ni analysées. Elles sont conservées tant que votre compte est ouvert ; une pièce expirée depuis plus d’un an est supprimée automatiquement. Vous pouvez supprimer à tout moment une pièce, une référence ou tout le dossier depuis la page « Mon dossier » ; la suppression est définitive. À la clôture de votre compte, le dossier et toutes les pièces sont effacés. Les pièces sont comprises dans nos sauvegardes chiffrées : une pièce supprimée peut y subsister 30 jours au plus.

Analyse d’un marché (« j’y vais ou pas »). Les fichiers de la consultation que vous déposez sont lus en mémoire et jamais enregistrés. L’avis, le texte extrait de ces fichiers et les capacités de votre entreprise (effectif, chiffres d’affaires, références, certifications, assurances et zones du dossier ou du profil, sans les pièces du coffre) sont transmis à Anthropic pour l’analyse. Le texte extrait et le résultat sont conservés dans votre organisation jusqu’à ce que vous supprimiez l’analyse ; l’analyse d’un avis seul, sans fichier ni donnée de votre entreprise, peut être réutilisée pour d’autres utilisateurs (données publiques uniquement).

Préparation de la réponse. Pour rédiger le brouillon du mémoire et les questions à l’acheteur, l’analyse, le dossier de votre entreprise et ses références, et les textes que vous fournissez (présentation, méthode, ancien mémoire : un fichier déposé est lu en mémoire, seul son texte est gardé) sont transmis à Anthropic. Les éléments fournis et le brouillon sont conservés dans votre organisation jusqu’à ce que vous supprimiez le brouillon ou l’analyse dont il dépend. Base légale de ces traitements : exécution du contrat.

Nous faisons appel aux prestataires suivants, chacun limité à sa fonction :

• OVH SAS (France) — hébergement du serveur, de la base de données et des traitements.
• IONOS SE (Allemagne) — conservation d’une copie chiffrée des sauvegardes.
• Stripe Payments Europe Ltd (Irlande, groupe Stripe Inc., États-Unis) — paiement des abonnements. Stripe est certifié au cadre de protection des données UE–États-Unis (Data Privacy Framework).
• Brevo (Sendinblue SAS, France) — envoi des e-mails transactionnels (confirmation, réinitialisation, digests de veille, facturation).
• European Perspective SAS (France, service Staan, hébergé par OVH en France) — moteur de recherche principal utilisé pour retrouver le site officiel d’une entreprise. Seuls le nom de l’entreprise et sa ville sont transmis, jamais vos données de compte.
• Brave Software Inc. (États-Unis) — moteur de recherche de secours, et premier consulté pour les entreprises du Québec, pour le même usage et avec les mêmes données (nom de l’entreprise et ville). Ce transfert hors Union européenne est encadré par les clauses contractuelles types de la Commission européenne.
• FORFRY SARL (France, service Captain Verify, hébergé par OVH en France) — vérification des adresses e-mail professionnelles des fiches : l’existence de la boîte est contrôlée auprès du serveur de messagerie de l’entreprise, sans envoi de message. Seule l’adresse à vérifier est transmise, jamais vos données de compte.
• Bouncer Sp. z o.o. (Pologne, serveurs à Francfort, Union européenne) — second avis sur les adresses que le premier service ne peut pas trancher, pour le même usage et avec la même donnée (l’adresse seule).
• Anthropic PBC (États-Unis) — modèle d’IA (Claude) de Findingbase : pour les offres payantes, interprétation d’une recherche décrite en une phrase, explications de score, accroches et e-mails de prospection, à partir de la fiche entreprise (données publiques) et de la description de votre offre ; pour tous les comptes, les réponses de Findingbase AI Agent et, pour les marchés publics, les critères proposés par IA, l’analyse d’un marché et la préparation de la réponse (données transmises détaillées ci-dessus). Jamais votre mot de passe, vos données de paiement ni les pièces de votre coffre. Anthropic n’utilise pas ces données pour entraîner ses modèles. Transfert encadré par les clauses contractuelles types.

Nous ne vendons ni ne louons aucune donnée. Aucune donnée n’est transmise à des régies publicitaires.

Connexion chiffrée (HTTPS, HSTS), mots de passe hachés, authentification à deux facteurs optionnelle, révocation des sessions, limitation des tentatives de connexion, isolation des données par organisation au niveau de la base. Les secrets techniques ne sont jamais exposés au navigateur.

Nous utilisons un unique cookie strictement nécessaire : le cookie de session d’authentification (httpOnly, sécurisé). Votre préférence de thème est conservée dans le stockage local de votre navigateur, comme l’affichage de l’annonce du moment (date de votre dernière visite, inscription faite ou non), sans identifiant. La mesure d’audience est réalisée avec un outil auto-hébergé sans cookie ni identifiant individuel (Umami) : pages vues du site public et, comptées de façon anonyme, les grandes étapes du parcours (inscription, première recherche, création d’une veille, abonnement), sans votre adresse e-mail ni identifiant de compte. Rien n’est mesuré si votre navigateur envoie le signal « Do Not Track » ou GPC. Cette mesure est exemptée de consentement au sens des recommandations de la CNIL.

Mesure de nos annonces Google (avec votre accord seulement). Si vous l’acceptez dans le bandeau, le tag Google Ads (Google Ireland Limited) dépose des cookies (_gcl_…) pour nous indiquer si votre visite vient d’une de nos annonces et si elle a mené à une inscription ou à un abonnement. Il est transmis à Google l’adresse de la page, l’identifiant du clic sur l’annonce et, pour un abonnement, la référence technique du paiement : ni votre e-mail, ni votre nom, ni le contenu de votre compte. Pas de publicité personnalisée ni de reciblage. Base légale : votre consentement ; votre choix, accord comme refus, est gardé 6 mois, sans nouvelle demande pendant cette période. Le bandeau propose Accepter, Refuser ou Personnaliser (détail par catégorie). Sans accord, rien n’est chargé et le site fonctionne de la même façon. Vous pouvez changer d’avis à tout moment, ici ou dans Paramètres → Compte : gérer les cookies. Le refus est aussi appliqué d’office si votre navigateur envoie le signal GPC.

L’essai gratuit de Solo s’ouvre à votre première recherche, sans moyen de paiement. Pour ne l’accorder qu’une fois, nous gardons la date de l’essai, une empreinte de votre adresse e-mail (calculée sur l’adresse normalisée, sans l’adresse elle-même) et, pour une adresse d’entreprise, son nom de domaine. Finalité : prévenir les essais multiples (comptes successifs, variantes d’une même adresse) ; base légale : intérêt légitime. Conservation : trois ans après l’essai, y compris si le compte est supprimé entre-temps. Nous suivons aussi l’usage de Findingbase pendant l’essai (recherches, fiches enrichies, messages de l’agent) pour en mesurer l’intérêt et le coût.

Si vous créez votre compte avec le lien ou le code d’un parrain, nous enregistrons le rattachement de votre organisation à ce parrain. Le parrain voit le nom de votre organisation et l’étape atteinte (inscription, abonnement, crédit acquis), rien d’autre. Finalité : attribution et versement des avantages du parrainage (CGV, article 6) ; base légale : exécution du contrat. Pour écarter l’auto-parrainage, nous comparons les adresses e-mail des deux comptes et, au premier paiement du filleul puis au moment du crédit, l’empreinte de carte fournie par Stripe (jamais le numéro de carte). Conservation : durée du compte. Le lien de parrainage ne dépose aucun cookie.

Si vous demandez à être prévenu de l’ouverture des marchés publics sur Findingbase, nous enregistrons votre adresse e-mail, la date, la page et le texte de votre demande (preuve de votre consentement). Finalité : vous écrire à l’ouverture de cette fonctionnalité, et pour rien d’autre. Base légale : votre consentement.

Sans compte, un e-mail de confirmation vous est d’abord envoyé : une adresse non confirmée ne reçoit rien d’autre et est effacée au bout de 30 jours. Avec un compte, l’inscription est reliée à votre compte et disparaît avec lui. Vous pouvez vous désinscrire à tout moment par le lien de chaque e-mail ou dans Paramètres → Compte. Conservation : jusqu’à l’envoi de l’e-mail d’ouverture, puis 3 mois au plus. Destinataire : notre prestataire d’envoi d’e-mails (voir ci-dessus).

Vos données sont conservées tant que votre compte est actif. La suppression de votre compte depuis Paramètres → Compte efface immédiatement votre compte, votre organisation personnelle et l’ensemble de ses recherches, leads, listes et notes de la base de production, ainsi que ses conversations avec l’agent, son dossier entreprise et les pièces de son coffre. Des sauvegardes chiffrées de la base et des pièces du coffre sont réalisées chaque nuit et conservées 30 jours au maximum ; les données supprimées disparaissent des sauvegardes à l’issue de ce délai. Les journaux techniques du serveur sont conservés 30 jours. Les factures sont conservées 10 ans conformément aux obligations comptables.

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition sur vos données de compte. La plupart s’exercent directement depuis les Paramètres (modification, export CSV, suppression du compte). Pour toute autre demande, écrivez à [email protected] : nous répondons sous un mois.

Si vous êtes un professionnel figurant dans une fiche générée par un utilisateur et que vous souhaitez ne plus y apparaître, écrivez-nous à la même adresse en indiquant votre SIREN ou, au Québec, votre numéro d’entreprise (NEQ) : votre entreprise sera exclue du sourcing pour l’ensemble du service, et ses données seront effacées de la base commune, avec leur historique et les signalements qui la concernent.

Vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr).