Politique de confidentialité

1. Préambule et objet

La présente politique de confidentialité (ci-après la « Politique ») a pour objet d'informer, de manière claire et transparente, les personnes physiques dont les données à caractère personnel sont traitées par la société ORBIS DIGITAL (ci-après l'« Éditeur » ou « nous ») dans le cadre de l'exploitation du logiciel AGIBAT, exploité en mode SaaS, et de la fourniture des services associés d'analyse et d'aide à la décision fondés sur l'intelligence artificielle dans le secteur du bâtiment (ci-après l'« Application » ou les « Services »).

Elle s'adresse notamment aux Utilisateurs autorisés par les Clients professionnels, aux personnes en relation commerciale avec l'Éditeur (prospects, contacts de partenaires) et aux visiteurs du site et de l'interface web de l'Application.

Elle complète les Conditions Générales de Vente et d'utilisation (les « CGV ») qui régissent l'accès et l'utilisation de l'Application. En cas de contradiction, les CGV prévalent pour les seules stipulations concernées.

2. Responsable de traitement et contact

Le responsable des traitements décrits dans la présente Politique, lorsqu'ils sont mis en œuvre pour le compte de l'Éditeur, est :

• ORBIS DIGITAL, société par actions simplifiée (SAS) au capital de 1 000 € ;
• Siège social : 3 rue Marchetti, 13002 Marseille ;
• Immatriculée au RCS de Marseille sous le numéro 994 238 863 (SIRET du siège : 994 238 863 00017) ;
• Représentée par son Président, M. Anthony Giallo ;
• Contact protection des données : contact@agibat.io.

Les traitements sont mis en œuvre dans le respect du Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et de la loi n° 78-17 du 6 janvier 1978 modifiée.

3. Définitions

Aux fins de la présente Politique, et par cohérence avec les CGV :

• Client : toute personne agissant à des fins professionnelles (entreprise, bureau d'études, maître d'ouvrage, architecte, artisan, etc.) ayant souscrit un abonnement aux Services ;
• Utilisateur : toute personne physique autorisée par le Client à accéder à l'Application pour son compte ;
• Données Client : l'ensemble des données, contenus et documents (CCTP, devis, plans, notices, données de chantiers, etc.) déposés, importés, générés ou traités via l'Application pour le compte du Client ;
• Donnée à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable, au sens de l'article 4 du RGPD ;
• Responsable de traitement / Sous-traitant : les personnes définies à l'article 4 du RGPD selon qu'elles déterminent les finalités et les moyens du traitement, ou traitent les données pour le compte d'un responsable.

4. Rôles respectifs : responsable de traitement et sous-traitant

Selon les traitements concernés, l'Éditeur intervient sous deux qualités distinctes au sens du RGPD.

5. Catégories de données collectées

Selon l'utilisation faite de l'Application, l'Éditeur est amené à collecter et traiter les catégories de données suivantes :

• Données d'identification et de contact : nom, prénom, fonction, société, adresse électronique professionnelle, numéro de téléphone, identifiant de connexion ;
• Données de compte et de facturation : raison sociale, coordonnées, paramètres d'abonnement, historique de factures, moyen de paiement traité via un prestataire sécurisé ;
• Données de connexion et d'usage : adresse IP, journaux de connexion (logs), identifiants techniques, dates et heures de connexion, pages et fonctionnalités consultées, actions effectuées ;
• Données éventuellement contenues dans les Données Client : données personnelles que le Client ou ses Utilisateurs intègrent dans les contenus techniques (contacts, signataires, etc.) ;
• Données de support et de communication : contenu des échanges avec le support, historique des demandes, données nécessaires à la gestion des demandes d'exercice de droits ;
• Données relatives aux cookies et traceurs : identifiants de cookies, adresse IP tronquée, données de navigation, selon vos choix.

6. Finalités, bases légales et durées de conservation

Chaque traitement mis en œuvre par l'Éditeur poursuit une finalité déterminée et repose sur une base légale prévue à l'article 6 du RGPD.

7. Données Client et intelligence artificielle

Dans la mesure où les Données Client peuvent contenir des données à caractère personnel, l'Éditeur intervient, pour ces traitements, en qualité de sous-traitant pour le compte du Client (article 4). Il n'accède aux Données Client que dans la mesure strictement nécessaire :

• à la fourniture des Services (hébergement, exécution des traitements d'IA demandés par le Client, sauvegardes, support, maintenance, sécurité) ;
• au respect de ses obligations légales ou réglementaires.

Il ne les utilise à aucune autre fin. L'Éditeur n'utilise jamais les Données Client, ni aucune donnée qui en est tirée, même anonymisée ou agrégée, pour améliorer ses Services ou pour entraîner, affiner ou améliorer un modèle d'intelligence artificielle. Il interdit à ses fournisseurs de modèles d'intelligence artificielle de le faire (article 8.2 des CGV).

8. Destinataires des données et sous-traitants

Les données ne sont accessibles qu'aux personnes et organismes habilités, dans la limite de leurs attributions :

• Usage interne : collaborateurs de l'Éditeur (équipes techniques, support, commerciales, facturation, juridique, conformité) strictement habilités et tenus à la confidentialité ;
• Sous-traitants : prestataires externes (hébergement, paiement, support/ticketing, mesure d'audience, emailing, etc.), liés par des engagements conformes à l'article 28 du RGPD ;
• Autorités publiques : autorités judiciaires, administratives ou de régulation, sur réquisition légale ou en exécution d'une obligation légale.

Les prestataires de l'Éditeur, leur rôle et leur localisation sont les suivants :

• Clever Cloud SAS (France) : hébergement de l'Application, du site et des bases de données ;
• OVH SAS (France) : hébergement ;
• Mistral AI (France) : exécution des traitements d'intelligence artificielle ;
• Autodesk, Inc. (États-Unis) : visualisation des plans ;
• Certigna (France) : horodatage des remises, dépôts et validations de documents ;
• Resend (États-Unis) : envoi des notifications par courriel ;
• Stripe Payments Europe Ltd (Irlande) : paiement et facturation ;
• Umami Software, Inc. (États-Unis) : mesure d'audience du site, sans cookie ;
• Microsoft Corporation (États-Unis) : analyse de l'usage du site (Microsoft Clarity), avec votre accord ;
• Google et Dropbox (États-Unis) : uniquement lorsque l'Utilisateur se connecte avec son compte Google ou importe des documents depuis ces services, dans les conditions définies par ceux-ci.

9. Transferts de données hors de l'Union européenne

Par principe, l'Éditeur privilégie l'hébergement et le traitement des données au sein de l'Union européenne ou de l'Espace économique européen. Lorsque certains prestataires sont situés hors UE/EEE ou recourent à des infrastructures hébergées hors UE/EEE, l'Éditeur s'assure de la mise en place de garanties appropriées au sens des articles 44 à 49 du RGPD : décision d'adéquation de la Commission européenne, ou clauses contractuelles types adoptées par la Commission, complétées le cas échéant de mesures supplémentaires. Les prestataires situés hors UE/EEE sont indiqués à l'article 8. Les informations relatives à ces transferts peuvent être obtenues sur demande.

10. Sécurité des données

Conformément à l'article 32 du RGPD, l'Éditeur met en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, notamment :

• le chiffrement des communications et des données sensibles ;
• la gestion des habilitations et le contrôle des accès ;
• la journalisation des accès et des actions significatives ;
• des procédures de sauvegarde et de restauration ;
• la segmentation des environnements et la mise à jour régulière des systèmes.

En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes, l'Éditeur procède aux notifications requises par les articles 33 et 34 du RGPD. Il est rappelé que la sécurité absolue n'existe pas : il appartient au Client de mettre en place ses propres mesures de protection (politiques de mots de passe, contrôle des accès internes, sauvegardes, etc.).

11. Vos droits

Conformément au RGPD et à la loi n° 78-17 du 6 janvier 1978, toute personne concernée dispose, dans les conditions fixées par ces textes, des droits suivants :

• droit d'accès (art. 15) ;
• droit de rectification (art. 16) ;
• droit à l'effacement (art. 17) ;
• droit à la limitation du traitement (art. 18) ;
• droit à la portabilité des données fournies (art. 20) ;
• droit d'opposition, notamment en cas de prospection (art. 21) ;
• droit de ne pas faire l'objet d'une décision automatisée produisant des effets significatifs (art. 22) ;
• droit de retirer son consentement à tout moment lorsque le traitement en dépend (art. 7.3) ;
• droit de définir des directives relatives au sort de ses données après son décès (art. 85 de la loi n° 78-17).

12. Cookies et autres traceurs

L'Application et les sites associés peuvent utiliser des cookies et autres traceurs, dont le dépôt et la lecture sont régis par l'article 82 de la loi n° 78-17 du 6 janvier 1978. Lorsque la loi l'exige, votre consentement est recueilli préalablement au dépôt des cookies non strictement nécessaires, au moyen d'un bandeau ou d'un module de gestion des préférences permettant d'accepter ou de refuser de manière équivalente, et de retirer votre choix à tout moment.

Le site agibat.io utilise les cookies et traceurs suivants :

• cookie de session, strictement nécessaire à l'authentification, exempté de consentement ;
• cookie agibat_consent, qui conserve votre choix dans le bandeau pendant six (6) mois, exempté de consentement ;
• Umami, pour la mesure d'audience : aucun cookie n'est déposé et aucune information n'est lue sur votre appareil ;
• Microsoft Clarity, pour l'analyse de l'usage du site (clics, défilement, enregistrement des sessions de navigation, champs de saisie masqués) : cookies _clck (un an) et _clsk (un jour), déposés uniquement si vous cliquez sur « Accepter » dans le bandeau.

Vous pouvez retirer votre accord à tout moment au moyen du lien « Cookies » en bas de page : les cookies de Microsoft Clarity sont alors effacés. Le site ne dépose aucun cookie publicitaire.

13. Mise à jour de la Politique

La présente Politique est susceptible d'être mise à jour pour tenir compte des évolutions légales, réglementaires, techniques ou organisationnelles. En cas de modification substantielle, l'Éditeur informe les Clients par tout moyen approprié (e-mail, notification dans l'Application, mise à jour sur le site). La version applicable est celle accessible en ligne à la date de votre utilisation de l'Application.

Date de dernière mise à jour : 30 septembre 2026.

Annexe — Tableau récapitulatif des principaux traitements