Confidentialité & RGPD

Responsable du traitement

Amritbir Gill — hello@boncourant.fr

Données collectées

Nous collectons uniquement les données strictement nécessaires au fonctionnement du service :

• Données déclarées (particuliers) : consommation annuelle (kWh/an), puissance souscrite (kVA) et option tarifaire, saisies volontairement pour générer une simulation. Ces données ne sont pas transmises à des tiers.
• Données de session : identifiant de session chiffré, stocké côté serveur. Durée : 30 jours glissants.
• Logs serveur : adresse IP, horodatage, URL consultée. Durée de conservation : 30 jours. Finalité : sécurité et débogage.

Nous ne collectons pas de données de localisation précise, de données de santé, ni aucune donnée sensible au sens du RGPD.

Audit de facture professionnelle (B2B)

Le service d’audit de facture électricité pour les professionnels collecte et traite les catégories de données suivantes :

• SIRET / SIREN : numéro d’établissement utilisé pour valider l’existence de l’entreprise via l’API INSEE Sirene. Finalité : identification de la personne morale. Base légale : intérêt légitime (prestation de service B2B).
• Facture électricité (PDF) : le fichier uploadé est stocké de façon chiffrée sur Google Cloud Storage (gs://jebascule-dev-ingest/b2b/invoices/…), identifié par son empreinte SHA-256. Durée de conservation : 30 jours. Suppression : sur demande à hello@boncourant.fr.
• Champs extraits : données issues de la facture (PRM/PDL, période, montants, consommation kWh, puissance souscrite). Chaque champ est conservé avec son niveau de confiance et la portion de texte source. Durée : liée au brief (30 jours pour les briefs anonymes).
• Déclarations TRVE : effectif et seuil de chiffre d’affaires déclarés volontairement pour la vérification d’éligibilité au Tarif Réglementé. Ces déclarations sont indicatives et ne constituent pas une certification.
• Brief d’audit : le document généré (résultats des méthodes, comparaison marché, empreinte de replay) est conservé 30 jours pour les briefs anonymes. Un lien de partage public (par brief_id) est accessible sans authentification pendant cette durée.

Le fichier de facture n’est jamais transmis à des tiersni utilisé à des fins autres que la génération du brief. Les modèles de langage (IA) utilisés pour l’extraction sont hébergés sur infrastructure européenne (voir section Sous-traitants).

Données Linky (optionnel)

Si vous connectez votre compteur Linky via le service Enedis Data Connect, vos données de consommation (courbe de charge 30 minutes) sont récupérées avec votre consentement explicite. Ces données :

• ne quittent pas votre session sans votre accord explicite ;
• ne sont pas vendues ni partagées avec des fournisseurs d’énergie ;
• peuvent être supprimées à tout moment depuis votre espace profil.

Cookies

Ce site utilise uniquement un cookie de session fonctionnel (authentification). Il n’utilise pas de cookies publicitaires, de pistage inter-sites, ni de scripts d’analyse tiers (Google Analytics, Mixpanel, etc.).

Vos droits

Conformément au RGPD (Règlement UE 2016/679), vous disposez des droits suivants : accès, rectification, suppression, portabilité, limitation du traitement et opposition. Pour exercer ces droits, contactez-nous à hello@boncourant.fr. Délai de réponse : 30 jours ouvrables.

Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).

Sous-traitants et modèles d’IA

Les données sont hébergées et traitées par les sous-traitants suivants :

• Vercel Inc. — hébergement frontend (CDN, edge). Siège : San Francisco, CA. Données : logs de requête HTTP. DPA conforme RGPD.
• Google Cloud Platform — backend, base de données PostgreSQL, stockage objet (GCS). Région : europe-west1 (Belgique). Données : factures PDF, champs extraits, briefs, données utilisateur.
• Google Vertex AI (Gemini) — modèle de langage utilisé pour l’extraction des champs de facture et la génération de la narration du brief. Infrastructure : europe-west1. Les données de facture soumises à ce modèle ne sont pas utilisées pour entraîner des modèles tiers. DPA Google Cloud conforme RGPD.
• INSEE (API Sirene) — validation du SIRET. Opérateur public français. Données transmises : numéro SIRET uniquement. Réponse : raison sociale, adresse, code NAF, statut d’activité.

Aucun prestataire non-européen ne reçoit de données de facturation ou de données personnelles des utilisateurs du service B2B.