Politique de confidentialité

Projet de texte, à compléter et à faire valider par un juriste avant la mise en ligne.

Cette page explique quelles données personnelles Winalys traite, pourquoi, combien de temps, et comment exercer vos droits (règlement général sur la protection des données, RGPD, et loi Informatique et libertés).

Qui est responsable ?

• Les données des clients et prospects d'un concessionnaire (offres, contacts, parc, suivi des offres) : le concessionnaire en est responsable ; Winalys les traite pour son compte, comme sous-traitant, dans le cadre d'un contrat de sous-traitance (article 28 du RGPD).
• Les comptes des utilisateurs et la sécurité de la plateforme : l'éditeur de Winalys (voir les mentions légales) en est responsable.

Quelles données, pour quoi faire ?

• Compte utilisateur : nom, adresse e-mail, téléphone professionnel, rôle, concessionnaire, double authentification. Pour se connecter et travailler dans Winalys (exécution du contrat).
• Clients et offres : raison sociale, adresse, contacts (nom, fonction, e-mail, téléphone), situation actuelle et parc, offres. Pour préparer, envoyer et suivre les offres du concessionnaire (pour son compte).
• Consultation d'une offre par son destinataire : dates d'ouverture, parties lues, durée de lecture, téléchargements. Pour que le commercial sache si l'offre a été lue (intérêt légitime du concessionnaire). Aucun cookie de suivi n'est déposé chez le destinataire.
• Signature électronique : nom, fonction, e-mail vérifié par un code, date et heure, adresse IP, navigateur, empreinte du document signé. Pour constituer la preuve de la signature (exécution du contrat, obligation de preuve).
• Journal des connexions : date et heure de chaque connexion et de chaque session fermée par une connexion plus récente, navigateur résumé (ex. « Chrome, Windows »), adresse IP tronquée, empreinte du témoin d'appareil. Pour protéger les comptes, n'ouvrir qu'une session à la fois par compte et repérer un compte utilisé par plusieurs personnes (intérêt légitime de l'éditeur et du concessionnaire, exécution du contrat). L'utilisateur voit ses connexions dans « Mon compte » ; la direction de son concessionnaire et l'éditeur voient les signes de partage. Aucune décision automatique n'en découle.
• Journal technique : pages consultées, actions, erreurs, avec l'utilisateur, une adresse IP tronquée et le navigateur. Pour assurer la sécurité et corriger les anomalies (intérêt légitime). Les mots de passe, codes et prix d'achat n'y figurent jamais.
• Appels d'offres : avis publics du BOAMP (données publiques). Aucune donnée personnelle n'est recherchée.
• Documents lus par l'assistance IA (factures, contrats, dossiers de consultation) : pour remplir la situation actuelle ou préparer une réponse, à la demande de l'utilisateur (pour le compte du concessionnaire). Conservés un mois, puis supprimés ; les informations validées restent dans l'offre ou la réponse.
• Abonnement : raison sociale, SIREN, coordonnées de facturation de la direction. Pour la facturation (exécution du contrat, obligations comptables). Les données de carte bancaire sont saisies chez Stripe et ne passent jamais par Winalys.

Extension de navigateur « Winalys »

L'extension pour Chrome, Edge et Brave sert à une seule chose : importer dans Winalys la consultation de marché public que l'utilisateur consulte sur une plateforme. Elle ne travaille que lorsque l'utilisateur l'ouvre ou clique sur l'un de ses boutons.

• Ce qu'elle lit et envoie à Winalys : à l'ouverture de sa fenêtre, l'adresse de l'onglet affiché (pour dire si la consultation est déjà connue) ; au clic sur « Analyser cette page », l'adresse, le titre et le texte visible de cet onglet, ou le passage sélectionné. Rien d'autre : ni mots de passe, ni cookies, ni historique, ni autres onglets, ni pièces du dossier de consultation. Elle ne se connecte jamais à une plateforme à la place de l'utilisateur.
• Ce que Winalys en fait : il en lit l'objet, l'acheteur, la référence et la date limite, cherche si le marché est déjà connu, et renvoie ce résultat à l'extension. L'analyse n'enregistre rien. Au clic sur « Importer », la consultation (champs confirmés, adresse et texte de la page) est enregistrée dans les appels d'offres du concessionnaire, privée à celui-ci, comme une consultation ajoutée à la main (pour le compte du concessionnaire).
• Ce qu'elle garde dans le navigateur : l'adresse de Winalys et une clé de connexion propre à ce navigateur, délivrée depuis « Mon compte › Extension ». Winalys n'en garde que l'empreinte, avec le navigateur résumé (ex. « Chrome sur Windows »), la date de création et celle de la dernière utilisation. La clé ne sert qu'à importer des consultations et suit les droits de l'utilisateur : compte désactivé, elle ne vaut plus rien. L'utilisateur la retire depuis l'extension ou « Mon compte ».
• Ce qu'elle ne fait pas : aucune mesure d'audience, aucune publicité, aucun envoi à un autre destinataire que Winalys, aucune collecte en arrière-plan, aucun téléchargement de document.

Combien de temps ?

• Comptes : le temps de l'abonnement du concessionnaire, puis supprimés avec les données de l'espace, sur décision de l'éditeur, au plus tôt quatre-vingt-dix jours après la fin du contrat.
• Clients, offres et suivi : le temps de l'abonnement ; le concessionnaire peut les exporter à tout moment. Après la fin du contrat, ils sont supprimés sur décision de l'éditeur, alerté au plus tard 90 jours après la fin ; la facturation est conservée 10 ans (obligation comptable).
• Preuves de signature (identité déclarée, adresse e-mail, horodatage, empreinte et documents signés) : cinq ans après la signature, délai de prescription de droit commun (article 2224 du code civil), y compris après la fin de l'abonnement.
• Documents lus par l'assistance IA : un mois.
• Alertes de marchés publics que le concessionnaire fait suivre à son adresse de réception Winalys : 6 mois (les consultations retenues restent dans ses appels d'offres).
• Notifications sur téléphone et navigateur : l'appareil reste abonné jusqu'à son retrait par l'utilisateur ; l'historique des envois est gardé 7 jours. Le message, chiffré, ne contient qu'un titre générique et un lien ; il transite par le service de notifications du navigateur (Google, Mozilla ou Apple).
• Journal des connexions : 90 jours.
• Clés de l'extension de navigateur : jusqu'à leur retrait par l'utilisateur, ou la suppression de son compte. Consultations importées par l'extension : comme les autres appels d'offres du concessionnaire.
• Sessions de connexion (adresse IP, navigateur) : jusqu'à leur expiration ; demandes d'inscription non confirmées : 30 jours après leur expiration ; invitations non acceptées : 90 jours après leur expiration.
• Historique des envois vers les outils des concessionnaires (webhooks) et des paiements reçus : 90 jours.
• Journal technique : 14 jours pour les requêtes, 90 jours pour les avertissements et erreurs (et pour une erreur suivie sans nouvelle occurrence), 12 mois pour des statistiques sans donnée personnelle.

Qui y a accès ?

Les utilisateurs du concessionnaire, selon leur rôle (un commercial ne voit que ses offres). L'éditeur de Winalys n'accède aux données d'un concessionnaire que pour le support, en lecture seule, et chaque accès est tracé. Sous-traitants ultérieurs : OVH (hébergement, France), Infomaniak (copie de secours des sauvegardes, chiffrée avant envoi, Suisse, pays reconnu adéquat par la Commission européenne), Stripe (paiement de l'abonnement, Irlande), Yousign (signature électronique certifiée, si le concessionnaire la choisit, France), Anthropic (assistance IA, si elle est utilisée, États-Unis, clauses contractuelles types ; les documents ne servent pas à entraîner ses modèles),[à compléter : prestataire d'envoi d'e-mails, ex. Brevo (France)]. Aucune donnée n'est vendue ni utilisée à des fins publicitaires.

Cookies

Winalys ne dépose que les cookies strictement nécessaires : la session de connexion, un témoin d'appareil (identifiant tiré au hasard, sans donnée personnelle, qui sert à la sécurité du compte en reconnaissant un navigateur déjà utilisé) et, pour l'éditeur, la vue en cours. Aucun cookie de mesure d'audience ni de publicité : aucun consentement n'est donc demandé.

Sécurité

Hébergement en France, connexions chiffrées, double authentification obligatoire pour tous les comptes, une seule session ouverte à la fois par compte, cloisonnement des données de chaque concessionnaire au niveau de la base de données, sauvegardes quotidiennes accessibles au seul administrateur du serveur et copiées chiffrées hors du serveur.

Vos droits

Vous pouvez demander l'accès, la rectification, l'effacement ou la limitation de vos données, vous opposer à un traitement fondé sur l'intérêt légitime, et demander leur portabilité. Pour les données d'un concessionnaire, adressez-vous à lui ; pour le reste, écrivez à contact@winalys.fr. Vous pouvez aussi saisir la CNIL (www.cnil.fr).