Politique de protection des données (RGPD)

Dernière mise à jour : 27 mai 2026

1. Responsable du traitement

EURL Fusion Groupe, représentée par son gérant Jérémie Dechappe. Contact dédié protection des données : rgpd@workandsuccess.fr.

2. Données collectées

Compte utilisateur

Identité : nom, prénom, email, téléphone, fonction
Société : raison sociale, secteur, taille
Authentification : mot de passe (hashé bcrypt), tokens d'authentification

Données métier (saisies par l'utilisateur)

Contacts : nom, prénom, email, téléphone, entreprise, notes, tags
Campagnes : templates, audiences, planification
Historique des messages envoyés (email/SMS/WhatsApp)
Tracking : ouvertures, clics, opt-outs des destinataires

Données techniques

Adresse IP, user-agent, logs de connexion
Cookies (voir politique cookies)

3. Finalités du traitement

Fourniture du service de CRM messaging
Authentification et sécurité des comptes
Facturation et gestion contractuelle
Support utilisateur et SAV
Statistiques anonymisées d'amélioration du service
Respect des obligations légales (anti-spam, RGPD vis-à-vis des destinataires)

4. Bases légales

Exécution du contrat : pour la fourniture du service à ses utilisateurs
Obligation légale : pour la facturation, la conservation comptable, et la conformité anti-spam
Intérêt légitime : pour la sécurité, la lutte contre la fraude, l'amélioration du service
Consentement : pour les cookies non essentiels et l'inscription à la newsletter

5. Spécificités messaging — Responsabilité des contacts

WorkAndProspect agit en qualité de sous-traitant (au sens du RGPD) pour le traitement des contacts saisis par l'utilisateur. L'utilisateur reste le responsable de traitement de ses propres contacts et doit :

Avoir obtenu le consentement préalable des contacts B2C avant tout envoi
Pouvoir prouver l'origine et la légitimité de ses contacts (preuve d'opt-in)
Répondre aux demandes RGPD émanant de ses contacts dans 30 jours
Garantir la véracité et la mise à jour de ses données contacts

WorkAndProspect met automatiquement à disposition un mécanisme d'opt-out (lien de désinscription HMAC dans chaque email, code STOP dans chaque SMS) et journalise tous les opt-outs.

6. Durées de conservation

Compte actif : durée d'utilisation du service
Compte clôturé : 90 jours après résiliation puis suppression définitive (sauf obligation légale)
Données comptables (factures) : 10 ans (obligation légale)
Logs techniques de connexion : 12 mois
Logs RGPD (opt-outs, consentements) : 5 ans après le dernier événement
Cookies : 13 mois maximum
Données chatbot : 90 jours puis purge automatique

7. Hébergement & sécurité

Toutes les données sont hébergées exclusivement en France chez OVHcloud (Roubaix). Mesures mises en œuvre :

Chiffrement TLS 1.3 pour toutes les transmissions HTTP
Mots de passe hashés bcrypt (cost factor 12)
Sauvegardes chiffrées GPG quotidiennes avec rétention 30 jours
Pare-feu UFW + fail2ban anti brute-force
Audit log de toutes les actions sensibles (création contact, envoi message, etc.)
Accès admin restreint et journalisé
Multi-tenant strict : impossible pour un client d'accéder aux données d'un autre

8. Sous-traitants

OVHcloud SAS (FR) — hébergement serveur, certificat DPA OVH
OVH Telecom (FR) — passerelle SMS, certificat DPA
Twilio Ireland Ltd (IE/EU) — passerelle WhatsApp Business — DPA conforme RGPD
Stripe Payments Europe Ltd (IE) — traitement des paiements abonnement — DPA conforme

Aucune donnée n'est transférée hors UE/EEE.

9. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

Accès : obtenir une copie de vos données
Rectification : faire corriger des données inexactes
Effacement ("droit à l'oubli")
Limitation du traitement
Portabilité : récupérer vos données dans un format structuré (export CSV/JSON)
Opposition au traitement pour motif légitime
Retrait du consentement à tout moment

Pour exercer vos droits : rgpd@workandsuccess.fr. Réponse sous 30 jours maximum. Vous pouvez également déposer une réclamation auprès de la CNIL.

10. Référent RGPD

L'EURL Fusion Groupe n'est pas tenue de désigner un Délégué à la Protection des Données (DPO) au sens de l'article 37 du RGPD mais a désigné un référent RGPD interne joignable à rgpd@workandsuccess.fr.

11. Violation de données

En cas de violation de données (data breach) susceptible d'engendrer un risque pour les droits et libertés des personnes, l'éditeur s'engage à notifier la CNIL dans les 72 heures, et à informer les personnes concernées dans les meilleurs délais.

12. Utilisation de l'intelligence artificielle (IA)

WorkAndProspect intègre des modèles d'intelligence artificielle (IA) pour générer des contenus (newsletters, emails, messages, résumés de conversations) et fluidifier votre expérience CRM. Conformément à l'AI Act européen (Règlement 2024/1689) et au RGPD :

Transparence : tout contenu généré ou assisté par une IA est explicitement signalé (mention "🤖 généré par IA" visible sur la newsletter, dans le chatbot, dans le résumé de conversations).
Modèles utilisés : Anthropic Claude (Haiku) hébergé en UE par défaut, avec fallback Ollama Mistral 7B en local sur nos serveurs France (OVH Roubaix).
Aucune donnée personnelle envoyée à l'IA sans nécessité opérationnelle. Les prompts sont anonymisés autant que possible. Les contenus de vos contacts ne servent jamais à entraîner les modèles tiers.
Évaluation continue : un mécanisme de feedback 👍/👎 permet de mesurer la pertinence des réponses IA. Les feedbacks sont anonymisés et utilisés uniquement pour améliorer le service.
Droit d'opposition : vous pouvez à tout moment refuser l'utilisation de l'IA dans votre espace via vos préférences. Aucun traitement IA n'est obligatoire pour utiliser le service de base.
Décisions automatisées : aucune décision produisant des effets juridiques (acceptation/refus de service, scoring contractuel) n'est prise uniquement par une IA. L'humain garde la main.
Conservation des prompts : les prompts envoyés à l'IA sont conservés 30 jours en logs techniques pour debug et qualité, puis purgés automatiquement.

13. Conformité AI Act

WorkAndProspect est un système d'IA à risque limité au sens de l'AI Act (article 50). À ce titre, nous respectons les obligations de transparence : tout contenu généré par IA est étiqueté de manière lisible par un humain ; tout interlocuteur d'un agent conversationnel IA en est informé dès le premier échange. Nous ne déployons aucun système d'IA à haut risque ni de manipulation comportementale.