Politique de confidentialité

Cette politique explique quelles données personnelles Grolot traite, pourquoi, avec quels destinataires et pendant combien de temps lorsque vous consultez le site, créez un compte ou utilisez notre espace de travail.

Nous ne traitons que les données utiles au service demandé et vous gardez le contrôle des services optionnels, notamment la mesure d’audience, le marketing et le chat d’assistance.

1. Responsable du traitement

Le responsable des traitements réalisés pour le compte de Grolot est METRR, société par actions simplifiée au capital de 10 000 €, immatriculée au Registre du commerce et des sociétés de Sedan sous le numéro 919 387 175.

• Siège social : 7 rue Roger Salengro, 08090 Montcy-Notre-Dame, France
• SIRET du siège : 919 387 175 00020
• Contact vie privée : hello@grolot.fr

2. Données traitées

Les données proviennent principalement de vous, de votre entreprise, des membres autorisés de votre espace et des prestataires nécessaires au service.

• Compte et entreprise : nom, prénom, e-mail, téléphone, identifiants de connexion, rôles, numéro SIRET, informations d’onboarding et préférences de notification
• Activité professionnelle : spécialités, départements, domaines d’expertise, objectifs et paramètres de travail renseignés dans l’espace
• Documents et études : appels d’offres, DCE, plans, pièces administratives, documents d’entreprise, habilitations, métrés, annotations, analyses, plannings, mémoires techniques et exports
• Commandes et abonnements : panier, commande, formule, état du paiement et références Stripe. Les données de carte sont saisies dans l’environnement Stripe.
• Demandes et assistance : nom, e-mail et contenu des échanges transmis via les formulaires ou le chat
• Liste d’attente et prélancement : nom, e-mail professionnel, entreprise, métier, téléphone facultatif, volume mensuel d’appels d’offres et preuve du consentement
• Données techniques : adresse IP, navigateur, appareil, journaux techniques et informations nécessaires à la sécurité, selon les services activés

Les informations nécessaires à la création du compte, à la sécurité ou à une fonctionnalité demandée doivent être fournies pour permettre le service correspondant. Les autres informations sont facultatives.

3. Finalités et bases légales

• Fournir et sécuriser Grolot : compte, entreprise, droits d’accès, traitement des fichiers, études et livrables. Base : contrat ou mesures précontractuelles.
• Gérer les commandes et abonnements : paiement, accès, facturation et obligations comptables. Bases : contrat et obligations légales.
• Répondre aux demandes : contact, accès anticipé, assistance et récupération de compte. Base : demande de la personne, mesures précontractuelles ou intérêt légitime selon le contexte.
• Protéger le service : prévention des accès non autorisés, diagnostic et continuité technique. Base : intérêt légitime et, si nécessaire, obligation légale.
• Services optionnels : PostHog pour la mesure d’audience et Meta Pixel pour le marketing, uniquement après votre consentement.
• Communications de prélancement : information sur l’ouverture de Grolot et accompagnement des inscrits à la liste d’attente. Base : consentement, retirable à tout moment depuis le lien présent dans chaque message.

4. Documents, IA et données de tiers

Grolot peut appliquer des traitements automatisés ou assistés par IA aux documents transmis afin de structurer un DCE, repérer des éléments utiles, générer un métré, un planning ou un mémoire technique. Ces résultats sont des aides de travail et doivent être relus et validés par un professionnel.

Pour certaines fonctions d’extraction, d’OCR, de recherche sémantique et de génération, les contenus utiles peuvent être transmis à Google Gemini. Grolot cherche à masquer les identifiants qui ne sont pas nécessaires avant cet envoi. Les documents médicaux du personnel ne sont pas transmis au fournisseur d’IA et les recommandations relatives aux habilitations ne produisent aucune décision définitive sans validation humaine.

Si vous transmettez des données concernant vos salariés, clients ou partenaires, votre entreprise doit les informer du traitement et disposer d’une base légale appropriée. Pour ces données importées dans le cadre de votre activité, METRR peut agir comme sous-traitant selon vos instructions et le contrat applicable.

5. Destinataires et prestataires

Les données sont accessibles aux personnes habilitées chez METRR, aux membres autorisés de votre entreprise et aux prestataires nécessaires au fonctionnement du service.

• API et infrastructure Grolot : comptes, entreprises, fichiers, études et résultats
• Stripe : abonnements, commandes et paiements
• Sanity : contenus et médias du blog
• Amazon Web Services (SES) : acheminement des e-mails, suivi de leur livraison et gestion des rebonds ou plaintes
• Google Gemini : extraction structurée, OCR, embeddings, analyse et génération assistées par IA lorsque la fonctionnalité utilisée le nécessite
• Sentry et Axiom : diagnostic des erreurs, observabilité et sécurité du service, avec une collecte limitée au contexte technique nécessaire
• PostHog et Meta : uniquement après consentement pour la finalité correspondante
• Autorités ou conseils : lorsque la loi ou la défense de nos droits le nécessite

Certains prestataires peuvent traiter des données depuis différents pays. Les transferts hors de l’Espace économique européen sont encadrés par les garanties prévues par la réglementation applicable.

6. Cookies et consentement

Les éléments nécessaires au fonctionnement de Grolot servent notamment à maintenir la session, sécuriser l’espace authentifié, conserver le panier et reprendre certaines actions. Le gestionnaire Klaro conserve votre choix de consentement dans le stockage local du navigateur pour une durée prévue de 180 jours.

PostHog et Meta Pixel sont des services optionnels. Ils ne sont chargés qu’après votre accord et vous pouvez modifier ou retirer ce choix à tout moment depuis le lien Gestion des cookies du pied de page.

Après votre accord, PostHog mesure les pages consultées et certains clics sur les pages publiques de présentation. Cette mesure exclut les formulaires, l’espace authentifié, les pages contenant un jeton de partage, les documents et le contenu des DCE. L’enregistrement de session reste désactivé.

7. Conservation

Les données sont conservées sous une forme identifiable pendant la durée nécessaire à la finalité poursuivie, puis supprimées, anonymisées ou archivées lorsque la loi l’exige.

• les données du compte et de l’entreprise pendant la relation avec Grolot, puis selon les obligations légales et la défense de nos droits
• les fichiers, études et livrables pendant la durée nécessaire au service et à la gestion de l’espace, sous réserve des demandes de suppression
• les demandes de contact pendant leur traitement et leur suivi
• les données de la liste d’attente jusqu’au retrait du consentement, et au plus tard trois ans après leur collecte ou le dernier contact
• le choix de consentement dans le navigateur selon la durée de 180 jours prévue par Klaro

8. Vos droits

Dans les conditions prévues par la réglementation, vous pouvez demander l’accès à vos données, leur rectification, leur effacement, la limitation du traitement, leur portabilité ou vous opposer à certains traitements. Vous pouvez retirer votre consentement à tout moment.

Pour exercer vos droits, écrivez à hello@grolot.fr en précisant votre demande et l’adresse utilisée avec Grolot. Une information complémentaire peut être demandée pour vérifier votre identité.

Vous pouvez également saisir la CNIL depuis cnil.fr/fr/plaintes.

9. Sécurité et évolutions

Grolot met en œuvre des mesures adaptées : authentification, contrôle des droits, transmission des fichiers via l’API et protection des médias privés. Nous vous recommandons d’utiliser un mot de passe unique et de ne transmettre que les documents nécessaires.

Cette politique peut évoluer avec le service, les traitements ou la réglementation. La date affichée en haut de la page indique la version applicable. Consultez également les conditions générales et les mentions légales.