Cette politique explique quelles données personnelles MallOps traite, pourquoi, pendant combien de temps, et comment exercer vos droits. Elle s’applique au site, à la plateforme et à l’application iOS.
Qui est responsable de vos données ?
- Éditeur : Creativity App, société par actions simplifiée unipersonnelle (SASU).
- Représentant légal : Jeremy Cariou, président.
- SIRET : 101 888 998 00016.
- RCS : Paris 101 888 998.
- Siège social : 25 rue de Ponthieu, 75008 Paris, France.
- Contact : contact@creativity-app.com.
Deux situations sont à distinguer. Pour les comptes, la facturation, la sécurité et la mesure d’audience du site, l’éditeur est responsable du traitement. Pour les données d’exploitation d’un site — demandes d’intervention, tickets, contrôles, comptes rendus, plans de prévention, permis feu, procès-verbaux, rapports, signatures, photos — c’est le Client (le centre commercial ou son gestionnaire) qui décide de ce qui est collecté et pourquoi : il est responsable du traitement, et l’éditeur agit comme son sous-traitant, dans les conditions de l’Accord de sous-traitance (DPA). Pour ces données, adressez-vous d’abord à la direction du site concerné.
Quelles données ?
- Compte : nom, prénom, email, société, fonction, rôle, thème d’affichage, date de dernière connexion, mot de passe (conservé sous forme d’empreinte irréversible).
- Demandes d’intervention déposées par un portail : nom, email et téléphone du contact, enseigne, entreprise intervenante, description des travaux, dates, pièces jointes, réponses aux questions du formulaire défini par le site.
- Prestataires : nom et fonction des représentants, tickets traités, devis déposés, signatures tracées à l’écran, remarques, documents de prévention (habilitations, attestations).
- Terrain : photos prises lors d’un contrôle, d’un ticket ou d’un procès-verbal, nom du responsable de boutique présent, signature à l’écran.
- WhatsApp : lorsqu’un site relie son groupe WhatsApp, les messages de ce groupe contenant un mot-clé convenu sont lus pour créer un ticket : texte, photo, nom et numéro de l’auteur. Les autres messages du groupe ne sont pas conservés.
- Technique : adresse IP et journaux de connexion, conservés pour la sécurité ; type d’appareil et de navigateur.
- Mesure d’audience du site public : page vue, site de provenance, type d’appareil, langue du navigateur. Aucune adresse IP n’est enregistrée, aucun cookie n’est déposé (voir la page Cookies).
MallOps ne collecte ni donnée bancaire ni donnée sensible au sens de l’article 9 du RGPD.
Pourquoi, et sur quelle base ?
- Fournir le service aux Clients, à leurs Utilisateurs, Prestataires et Demandeurs : exécution du contrat.
- Facturer et tenir la comptabilité : obligation légale.
- Sécuriser la plateforme, prévenir les abus, mesurer l’audience du site public de façon anonyme, améliorer le service : intérêt légitime.
- Envoyer les notifications du service (email, application) : exécution du contrat ; chacun règle ses notifications dans son compte.
Aucune donnée n’est utilisée pour de la publicité, ni vendue, ni louée.
Intelligence artificielle
Pour lire un document ou donner un avis, MallOps transmet au fournisseur du modèle le texte strictement nécessaire : le contenu de la demande, du rapport, du dossier ou du devis, et les règles du site. Ce fournisseur est Anthropic (modèles Claude), et lui seul : aucun autre fournisseur d’intelligence artificielle ne reçoit de données, et ce choix n’est pas ouvert aux sites. Anthropic est établi aux États-Unis ; le transfert est encadré par son accord de traitement des données, qui intègre les clauses contractuelles types de la Commission européenne. Selon ses conditions applicables aux interfaces professionnelles, les contenus transmis ne servent pas à entraîner ses modèles et ne sont conservés que pour une durée limitée, à des fins de sécurité. Aucune décision produisant des effets juridiques n’est prise par un traitement automatisé seul : l’avis de l’IA est toujours soumis à une personne du site (article 22 du RGPD).
Qui reçoit les données ?
Les personnes habilitées du site concerné, selon leurs droits ; le Prestataire, pour ce qui le concerne uniquement ; l’équipe de l’éditeur, pour l’assistance et la maintenance. Nos sous-traitants :
- o2switch SAS (France) : hébergement du site, de l’application et de la base de données.
- OVH SAS (France) : serveur de traitement des documents et passerelle WhatsApp.
- Anthropic PBC (États-Unis) : intelligence artificielle, dans les conditions ci-dessus.
- Meta Platforms Ireland (WhatsApp) : uniquement pour les sites qui relient leur groupe.
- Apple : distribution de l’application iOS et acheminement de ses notifications.
Combien de temps ?
- Compte : pendant la durée de l’abonnement du site, puis supprimé dans les trois mois, sauf obligation légale.
- Demandes d’intervention et leurs pièces : trois ans après la fin de l’intervention.
- Documents réglementaires du site (rapports de vérification, registre, permis feu, plans de prévention, procès-verbaux, comptes rendus) : pendant la durée de l’abonnement, le site en fixant la durée utile ; la loi impose de conserver certains d’entre eux plusieurs années.
- Journaux de connexion : douze mois.
- Mesure d’audience : données anonymes, agrégées par jour, conservées vingt-cinq mois.
- Factures : dix ans.
À la fin de l’abonnement, le site récupère ses données pendant trente jours, puis elles sont supprimées.
Vos droits
Vous pouvez demander l’accès à vos données, leur rectification, leur effacement, la limitation du traitement, leur portabilité, vous opposer à un traitement fondé sur l’intérêt légitime, et donner des directives sur le sort de vos données après votre décès. Écrivez à contact@creativity-app.com ; pour les données d’exploitation d’un site, la demande est transmise à sa direction. Réponse sous un mois. Vous pouvez aussi saisir la CNIL (www.cnil.fr).
Sécurité
Échanges chiffrés (HTTPS), mots de passe stockés sous forme d’empreinte, cloisonnement strict des données entre sites, droits par rôle et par module, comptes prestataires limités à leur périmètre, journalisation des connexions, sauvegardes quotidiennes, hébergement en France. Toute violation de données susceptible de créer un risque est notifiée au site concerné et, s’il y a lieu, à la CNIL dans les 72 heures.
Évolution
Cette politique évolue avec le service. La version en vigueur, numérotée et datée, est publiée sur cette page.