Politique de confidentialité – Bulbiz

1. Qui traite vos données ?

LA RUCHE (BULBIZ), 2 Rue du Bocage, 69008 Lyon, est responsable des traitements liés au compte Bulbiz, à la relation contractuelle, à la sécurité, à ses obligations, à l’analyse de son produit et à sa propre acquisition. Contact : alexandre.p@bulbiz.fr — 07 61 39 71 63.

Pour les données que l’artisan saisit sur ses clients, prospects, salariés ou contacts, l’artisan est en principe responsable de traitement et LA RUCHE agit comme sous-traitant selon le DPA.

2. Données, finalités, bases et caractère obligatoire

Compte et fourniture du Service

Nom, prénom, email, téléphone facultatif, authentification, entreprise, métier, SIREN/SIRET, adresse, réglages, dossiers, clients, rendez-vous, notes, messages, devis, factures, paiements, photos, vidéos et notes vocales sont traités pour créer le compte et fournir les fonctions demandées. Base : exécution du contrat ; pour les données des clients de l’artisan, instructions du responsable selon le DPA. Les données marquées obligatoires sont nécessaires à la fonction ; sans elles, le compte ou la fonction concernée ne peut pas être fourni.

Preuve de l’acceptation contractuelle

Identifiant du compte, date serveur, canal, version de l’application, texte et version des documents acceptés, empreintes et identifiant d’événement sont conservés pour établir la formation du contrat et gérer les litiges. Base : exécution du contrat et intérêt légitime de preuve. Cette acceptation ne vaut pas consentement Analytics ou Publicité.

Abonnement, paiement et comptabilité

Formule, statut, échéances, montant, devise, référence de transaction, justificatifs et données nécessaires à la gestion du paiement sont traités pour exécuter le contrat et respecter les obligations comptables et fiscales. Les données de carte sont traitées par le prestataire de paiement ou la boutique ; Bulbiz ne reçoit pas le numéro complet de carte.

Facturation électronique

Si l’Utilisateur active cette fonction, Bulbiz traite l’identité du représentant, les justificatifs KYC/KYB demandés, la raison sociale, SIREN/SIRET, TVA, adresse, régime, mandat ou autorisation, inscription et données d’Annuaire, factures structurées et lisibles, parties, lignes, montants, taxes, données de transaction et de paiement, statuts, accusés, rejets et erreurs. Les données proviennent de l’Utilisateur, de ses documents, des registres ou annuaires professionnels consultés, du destinataire et du prestataire de plateforme.

Finalités : contrôler et activer la connexion, émettre, recevoir, acheminer, suivre et restituer les factures et données réglementaires. Base : exécution du contrat et obligations légales propres à chaque partie ; lorsque Bulbiz agit pour le compte de l’artisan, ses instructions documentées et le DPA s’appliquent. Sans les données obligatoires ou validation du prestataire, la fonction reste en attente ou indisponible ; aucune conformité automatique n’est déclarée.

Le service SUPER PDP, opéré par SUPER G (SIREN 853 322 915), figure, à la date de cette version, sur la liste officielle DGFiP, consultée le 23 août 2026. Son statut est revérifié lors de l’activation. Les documents présentés précisent son rôle pour chaque opération.

Intégrations Google

L’aide à la saisie Google Maps / Places est chargée lorsque l’Utilisateur active un champ d’adresse. Les fragments saisis et les données techniques de connexion peuvent alors être traités par Google. Bulbiz n’ajoute à ce flux aucun identifiant GA4, aucun identifiant Google Ads et aucune donnée de rapprochement publicitaire.

L’Utilisateur choisit de connecter Gmail et/ou Google Agenda. Bulbiz conserve l’adresse du compte et des jetons chiffrés. Le périmètre gmail.send sert uniquement à envoyer, sans lire la boîte. Le périmètrecalendar.events permet de créer, modifier et supprimer les rendez-vous Bulbiz et de lire les créneaux utiles pour éviter un conflit ; les créneaux consultés ne sont pas enregistrés comme contenu métier. Base : exécution de la fonction demandée. L’intégration est facultative et révocable dans les réglages Google et Bulbiz.

Bulbiz’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. Ces données ne servent ni à la publicité ni à l’entraînement d’un modèle, et les données Gmail/Agenda ne sont pas transmises à l’assistance IA.

Assistance par intelligence artificielle

À la demande de l’Utilisateur, le texte, les lignes de document, les notes, photos ou audio nécessaires peuvent être transmis à Google Gemini pour produire un brouillon. Base : exécution de la demande. Bulbiz n’utilise pas ces contenus pour entraîner son propre modèle. L’Utilisateur doit contrôler le résultat avant usage.

Notifications et communications de service

Email, identifiant du compte, type d’événement, contenu minimal et jeton APNs/FCM sont traités pour envoyer les confirmations, alertes et messages nécessaires au Service. Base : exécution du contrat et, pour les notifications mobiles, autorisation du système. Le jeton est supprimé ou invalidé à la révocation, déconnexion, réinstallation ou suppression selon les capacités du fournisseur.

Sécurité et fraude

Adresse IP, user-agent, journaux, événements de sécurité, installation, session et éléments de preuve sont traités pour protéger les comptes, prévenir les abus et démontrer les incidents. Base : intérêt légitime de sécurité et, le cas échéant, obligation légale.

Sur iOS, Apple App Attest utilise une clé privée conservée dans le KeychainThisDeviceOnly : Bulbiz ne la reçoit ni ne la stocke. Bulbiz conserve la clé publique et lekey_id, liés à l’installation, la session, au reçu de consentement, au build, à la version d’iOS et au compteur d’assertion. Le nonce brut et le reçu antifraude Apple ne sont pas stockés. Une preuve active dure cinq minutes. Ce traitement relève de l’intérêt légitime de prévention de la fraude, ne prouve pas le choix ATT et n’est envoyé à aucune régie publicitaire.

Mesure du produit

Avec le consentement Analytics, pages ou écrans, parcours, fonctions utilisées, conversions produit, crashs, performance, appareil, version, langue, pays approximatif et identifiant interne pseudonyme peuvent être traités par Google Analytics/Firebase, PostHog, Vercel et l’entrepôt BigQuery. Les coordonnées, clients finaux, contenus, documents, médias, jetons et URL privées sont exclus.

Publicité et attribution

Avec un consentement Ads distinct, Bulbiz peut traiter sur le Web les paramètres de campagne, vrais identifiants de clic et navigateur (fbclid, fbc, li_fat_id, etc.), IP, user-agent, événements et clés de rapprochement du compte, normalisées ou hachées lorsque requis, pour Google Ads, Meta Pixel + Conversions API, TikTok Pixel + Events API et LinkedIn Ireland Unlimited Company via Insight Tag et Conversions API. Les clients finaux des artisans sont toujours exclus.

Sur iOS, ATT autorisé, consentements Analytics + Ads et preuve fiable liée à l’installation sont cumulativement requis avant toute attribution individuelle. Sinon, aucune identité ou donnée de matching n’est livrée ; seule une attribution agrégée respectueuse de la confidentialité peut être utilisée. Sur Android, les consentements conditionnent Meta App Events, GAID et Play Install Referrer. Une révocation bloque les nouveaux envois et retries publicitaires contrôlés par Bulbiz sans interrompre les données métier, le paiement ou les analytics first-party autorisés.

3. Sources

• l’Utilisateur, les personnes qu’il autorise et les clients finaux qui répondent à un lien ;
• l’appareil, le navigateur, les boutiques Apple/Google et les prestataires de paiement ;
• les registres d’entreprises et annuaires officiels consultés par la recherche d’entreprise ;
• Google pour les intégrations, et SUPER PDP/destinataires pour les statuts de facture électronique ;
• les liens de campagne et fournisseurs Analytics/Ads uniquement selon les choix applicables.

4. Destinataires

Les équipes habilitées de LA RUCHE et, selon la fonction : Supabase, Vercel, Resend, Stripe, Apple, Google (Gmail, Agenda, Maps, Gemini, Firebase, Analytics, BigQuery, Ads), PostHog, Meta, TikTok, LinkedIn Ireland Unlimited Company et SUPER G / SUPER PDP. Les autorités peuvent recevoir les données lorsque la loi l’impose. La liste versionnée des sous-traitants précise le rôle et le périmètre. Bulbiz ne vend pas les données.

La liste versionnée des fournisseurs précise leur identité juridique, leur rôle, les pays et les garanties applicables à la configuration effectivement utilisée.

5. Transferts hors EEE

Certaines fonctions peuvent impliquer un traitement hors de l’Espace économique européen. Selon le fournisseur, le transfert repose sur une décision d’adéquation, les clauses contractuelles types de la Commission européenne et des mesures complémentaires si nécessaire. Une copie des garanties peut être demandée, sous réserve des informations confidentielles. Le registre fournisseur indique le mécanisme réellement vérifié.

6. Durées et suppression

• compte et contenus métier : pendant le contrat, puis le temps de l’export et du cycle de purge documenté ;
• preuve contractuelle : durée du contrat puis délai de prescription applicable, sous réserve d’un litige ;
• factures et pièces comptables : dix ans lorsqu’une obligation comptable s’applique ;
• données de facturation électronique : selon leur nature, durée du service puis durée légale ou probatoire applicable ;
• jetons d’intégration : jusqu’à révocation ou fin du compte, puis cycle de purge ;
• journaux techniques et notifications : durée proportionnée à la sécurité et au traitement des incidents ;
• choix de consentement : six mois ; cookies treize mois au plus ; GA4 quatorze mois ; entrepôt pseudonymisé vingt-cinq mois au plus.

Une suppression de compte retire l’accès et déclenche la purge des systèmes actifs. Elle n’efface pas instantanément les sauvegardes isolées ni les pièces soumises à une obligation légale. Les sauvegardes ne sont pas remises en production pour un usage courant et sont écrasées selon leur cycle. Les archives légales sont séparées, à accès restreint et utilisées uniquement pour l’obligation ou la défense d’un droit.

7. Vos droits

Selon le traitement, vous disposez des droits d’accès, rectification, effacement, limitation, opposition, portabilité et retrait du consentement. Vous pouvez aussi définir des directives après décès lorsque la loi le permet. Écrivez à alexandre.p@bulbiz.fr. Une preuve d’identité peut être demandée uniquement en cas de doute raisonnable. Une réponse est apportée dans le délai légal ; vous pouvez saisir la CNIL.

Les clients finaux exercent en priorité leurs droits auprès de l’artisan responsable ; LA RUCHE l’assiste. Bulbiz ne prend pas de décision produisant un effet juridique ou similaire significatif sur une personne sur la seule base d’un traitement automatisé.

8. Sécurité

LA RUCHE applique des mesures proportionnées : chiffrement des échanges, contrôle d’accès, séparation logique, moindre privilège, sauvegardes, protection des secrets, journalisation, surveillance, gestion des incidents et revue des sous-traitants. Aucun système ne peut être garanti sans risque ; les incidents sont gérés selon une procédure documentée.

9. Cookies, Analytics, Ads et préférences

Les détails des outils, durées, destinataires, conditions ATT/Android et moyens de retrait figurent dans la Politique cookies. Analytics et Publicité sont distincts et désactivés par défaut. Le refus n’empêche pas les fonctions métier, la facturation, le paiement ou les données first-party nécessaires.

10. Applications mobiles

• micro : uniquement pendant un enregistrement lancé par l’Utilisateur ;
• appareil photo/fichiers : uniquement pour le média choisi ;
• notifications : après autorisation système, pour les événements activés ; elles complètent les emails ;
• position et contacts : non demandés sauf évolution déclarée ultérieurement.

La suppression du compte est accessible depuis Réglages → Mon compte → Supprimer mon compte. Ses effets et limites légales sont décrits ci-dessus et sur la page dédiée.

11. Modifications

Une modification substantielle est annoncée avant sa prise d’effet. Une nouvelle acceptation est demandée pour les changements contractuels qui l’exigent ; une nouvelle demande de consentement est présentée lorsqu’une finalité fondée sur le consentement change. Les versions antérieures sont archivées.

12. Contact

LA RUCHE (BULBIZ), 2 Rue du Bocage, 69008 Lyon — alexandre.p@bulbiz.fr — 07 61 39 71 63. Réclamation : CNIL.