Raison sociale : We Devops — SASU

Capital social : 1 000 €

Immatriculation : 100 029 867 R.C.S. Marseille

Siège social : 164 Rue du Commandant Rolland, 13008 Marseille

Contact : contact@noltya.fr — 07 68 80 53 01

Responsable de traitement : l’Éditeur, pour les données qu’il traite pour son propre compte : comptes utilisateurs et authentification, appareils de confiance, journalisation de sécurité, support, facturation de l’abonnement, et prospects de l’Éditeur lui-même (demandes de démo et d’inscription déposées sur le site public).

Sous-traitant (article 28 du RGPD) : l’Éditeur, pour toutes les données que les Régies saisissent ou importent dans le CRM : prospects, clients, dossiers, devis, contrats, communications, documents. Ces données sont traitées pour le compte de la Régie et selon ses instructions, dans le cadre de l’accord de traitement annexé au contrat d’abonnement.

Compte utilisateur : nom, prénom, email professionnel, téléphone, mot de passe (haché, jamais stocké en clair), photo de profil, rôle et permissions, préférences d’affichage et de notification.

Sécurité du compte : identifiant haché de l’appareil, empreinte de session, adresse IP de connexion, horodatage, historique des vérifications d’appareil.

Prospects et clients saisis par la régie : civilité, nom, raison sociale, adresse postale, email, téléphone, historique d’interactions, notes et comptes-rendus, statut commercial.

Dossiers d’aides : caractéristiques du logement, composition du foyer, revenu fiscal de référence et avis d’imposition lorsque le dispositif d’aide l’exige, pièces justificatives.

Devis, contrats et facturation : montants, conditions, mode de financement, signature électronique et sa preuve, factures et règlements.

Communications : emails, SMS, WhatsApp et messages internes émis depuis le Service ; journaux d’appels (numéro, horodatage, durée) et enregistrement lorsque l’opérateur de la régie l’active.

Terrain (application mobile) : photos prises ou importées par l’utilisateur, documents scannés, comptes-rendus, et — si l’utilisateur l’autorise — position et précision associées à une preuve terrain ou à une session de position en tournée.

Données techniques : modèle et version de l’appareil, version de l’application, journaux d’événements, rapports d’erreur.

Appareil photo : photographier une pièce ou une preuve de visite, à la demande. Jamais en arrière-plan.

Photothèque : importer un document existant via le sélecteur système. L’application ne lit pas la galerie.

Position : ouvrir un itinéraire, estimer un temps de trajet, ou horodater et géolocaliser une preuve terrain. Une session « position terrain » peut, après action explicite de l’utilisateur, transmettre une position approximative à son organisation jusqu’à l’arrêt ou l’expiration de la session ; aucun historique de trajet n’est constitué.

Notifications : recevoir les alertes de rendez-vous, de messages et de dossiers.

Exécution du contrat (art. 6.1.b) : fournir le Service souscrit : authentification, hébergement des dossiers, planification, comptes-rendus, devis et contrats, facturation de l’abonnement, sauvegarde et restauration.

Intérêt légitime (art. 6.1.f) : sécuriser le Service (journalisation, vérification des appareils, détection d’anomalies, antivirus), diagnostiquer les erreurs techniques, assurer le support, mesurer la qualité à partir de statistiques agrégées.

Consentement (art. 6.1.a) : mesure d’audience du site public et mesure de nos campagnes publicitaires (cookies Google Analytics), permissions système optionnelles (appareil photo, photothèque, position), notifications push, recours aux fonctions d’IA. Retirable à tout moment.

Obligation légale (art. 6.1.c) : conserver les pièces comptables et fiscales, répondre aux réquisitions des autorités compétentes.

Seuls les éléments nécessaires à la réponse sont transmis : la question posée et les extraits du dossier ou des notes concernés.

Chez OpenAI, les appels sont émis avec l’option de non-conservation : le contenu transmis n’est pas stocké au titre du Service. Chez Anthropic, il est conservé 30 jours au plus, pour la sécurité du service.

Les données transmises ne sont pas utilisées pour entraîner les modèles.

Aucune décision automatisée produisant des effets juridiques au sens de l’article 22 du RGPD : un humain valide chaque action proposée.

Les journaux d’utilisation de l’IA conservés par l’Éditeur (question, coût, durée) sont supprimés au bout de 90 jours.

Compte Google autorisé : l’adresse email, le nom et l’identifiant du compte qui accorde l’autorisation (portées openid, email, profile) sont lus pour afficher quel compte alimente quelle connexion et permettre à un administrateur de révoquer la bonne connexion. Aucune autre donnée de profil n’est conservée.

Google Ads : portée https://www.googleapis.com/auth/adwords. Sont lues les statistiques des campagnes des comptes Google Ads désignés par l’utilisateur (impressions, clics, coût, conversions, nom et identifiant de campagne) ainsi que les formulaires prospects soumis sur ces campagnes (nom, téléphone, email, code postal et réponses fournies par le prospect lui-même). Ces informations alimentent la page « Google Ads » du tableau de bord et créent les fiches prospect correspondantes. Rien n’est jamais écrit dans un compte Google Ads : aucune campagne, aucun budget, aucune annonce n’est créé, modifié ni supprimé.

Google Sheets : portée https://www.googleapis.com/auth/drive.file. L’utilisateur sélectionne les fichiers accessibles à Noltya dans le sélecteur Google. Cette autorisation permet techniquement de lire et modifier les fichiers sélectionnés ; Noltya utilise uniquement la lecture de l’onglet désigné pour transformer les nouvelles lignes en fiches prospects et ne modifie ni ne supprime les fichiers Google. Les connexions antérieures peuvent conserver leur autorisation de lecture jusqu’à leur reconnexion.

Google Agenda : portée https://www.googleapis.com/auth/calendar.events.owned, uniquement si un utilisateur connecte lui-même son agenda depuis son agenda personnel ou la page Intégrations. Noltya crée, met à jour et supprime dans cet agenda les rendez-vous et rappels qui lui sont attribués dans le Service, et lit les événements de la période affichée pour les montrer à cet utilisateur et signaler ses créneaux occupés. Les autres membres de la régie ne voient que « Occupé » et l’horaire, jamais le titre ni le détail d’un événement. Les événements lus ne sont pas stockés : ils sont relus à chaque affichage, avec un cache temporaire de quelques minutes.

Conservation : les jetons d’autorisation Google sont conservés chiffrés dans la base du Service, dans l’espace de la seule régie concernée. Les statistiques de campagnes sont mises en cache pendant la durée du contrat et invalidées dès la déconnexion du compte. Les fiches prospect créées à partir de données Google suivent les durées indiquées à la section « Durées de conservation ».

Partage : les données lues via les API Google ne sont ni vendues, ni louées, ni cédées. Elles ne sont transmises à aucun annonceur, courtier en données ni service de publicité personnalisée, et ne servent jamais à entraîner un modèle d’intelligence artificielle. Elles sont accessibles aux seuls membres habilités de la régie qui a connecté le compte, et au personnel technique de l’Éditeur strictement pour le support ou la sécurité.

Révocation : l’accès peut être retiré à tout moment, sans préavis, depuis le Service en cliquant sur « Déconnecter » dans la carte de la connexion Google concernée : l’autorisation est alors révoquée auprès de Google et le jeton supprimé. Il peut aussi être retiré depuis le compte Google, sur myaccount.google.com/permissions, en retirant l’accès de l’application « Noltya ». Pour obtenir en outre la suppression des données déjà importées, écrivez à contact@noltya.fr avec l’objet « Données personnelles ».

l’envoi de SMS et de WhatsApp (Twilio, États-Unis) ;

l’acheminement des notifications push (Expo, Apple, Google, États-Unis) ;

les fonctions d’IA (OpenAI et Anthropic, États-Unis) ;

la réception des prospects Facebook / Instagram Lead Ads (Meta Platforms Ireland, groupe Meta Platforms, Inc., États-Unis), si la régie connecte ses Pages ;

la mesure d’audience du site public, si vous l’acceptez (Google, États-Unis) ;

l’accès administratif des fournisseurs d’infrastructure dont la maison mère est établie aux États-Unis (Railway, Vercel, Cloudflare, Backblaze, Sentry), même lorsque les serveurs se trouvent en Europe.

Vous utilisez le CRM : ouvrez un ticket depuis « Aide › Tickets & demandes » dans votre espace, ou écrivez-nous.

Vous avez été démarché par une régie : adressez-vous en priorité à cette régie, responsable de traitement. Si vous ne savez pas à qui vous adresser, écrivez à contact@noltya.fr avec l’objet « Données personnelles » : nous identifions la régie concernée et lui transmettons votre demande sous 5 jours ouvrés.

Retrait d’une autorisation Google : retirez à tout moment l’accès accordé à Noltya sur un compte Google, depuis le Service ou depuis myaccount.google.com/permissions.

chaque régie est isolée des autres, isolation vérifiée lors d’un audit indépendant en septembre 2026 ;

toutes les connexions sont chiffrées (HTTPS) ;

les mots de passe sont stockés sous forme de hachages cryptographiques, jamais en clair ;

chaque nouvel appareil est signalé par email (lien « Ce n’était pas vous ? » pour le bloquer), et une session inactive 30 jours exige une reconnexion ;

un compte désactivé perd l’accès immédiatement, messagerie comprise ;

chaque fichier envoyé est analysé par un antivirus ;

les actions importantes sont enregistrées dans un historique consultable par les administrateurs de la régie ;

la base de données est sauvegardée chaque jour, chiffrée, dans l’Union européenne ;

l’API et la base sont hébergées aux Pays-Bas, l’application web à Paris.

noltya_access_token : maintien de la session authentifiée.

noltya_refresh_token : renouvellement de la session.

Mesure d’audience : Google Analytics, pour savoir quelles pages sont consultées et améliorer le site. Cookies _ga et _ga_<identifiant>, 13 mois au plus.

Publicité : mesure de l’efficacité de nos campagnes Google Ads. Aucun cookie supplémentaire n’est déposé par le site ; ce choix autorise Google à relier une visite à une campagne.

Par email : contact@noltya.fr (objet : « Données personnelles »)

Signalement de vulnérabilité : noltya.fr/.well-known/security.txt

Par courrier : We Devops — 164 Rue du Commandant Rolland, 13008 Marseille

Autorité de contrôle : CNIL — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr