Introduction
La présente politique est publiquement accessible sur ai-werkers.nl/privacy et satisfait aux exigences de la vérification Google OAuth, de la Microsoft Identity Platform et du RGPD/GDPR.
Sommaire
- Qui sommes-nous ?
- Quelles données traitons-nous ?
- Identifiants Google et accès aux API (OAuth)
- Identifiants Microsoft et accès aux API (OAuth)
- Finalités et bases légales (RGPD)
- Combien de temps conservons-nous vos données ?
- Partage avec des tiers et sous-traitants ultérieurs
- Sécurité
- Vos droits (RGPD)
- Cookies
- Modifications de la présente politique
- Contact et réclamations
1. Qui sommes-nous ?
aiwerkers B.V. (ci-après : « ai-werkers », « nous ») est une entreprise néerlandaise spécialisée dans l'implémentation de l'IA et les produits SaaS pilotés par l'IA pour les PME. Nos produits comprennent notamment VisitFlow (voice-to-CRM pour les responsables de comptes B2B) et CarWatch (analyse de véhicules par IA pour l'achat automobile).
Informations sur la société
- Dénomination sociale : aiwerkers B.V.
- Nom commercial : ai-werkers
- Adresse : Akkrumerraklaan 112, 3544 TS Utrecht, Pays-Bas
- Numéro KVK (Chambre de commerce néerlandaise) : 42114106
- Numéro de TVA : NL869793627B01
- E-mail : privacy@ai-werkers.nl
- Site web : https://ai-werkers.nl
ai-werkers intervient dans le traitement de données à caractère personnel en deux qualités distinctes, selon la finalité du traitement.
Pour le traitement de données à caractère personnel dans le cadre de sa propre activité — notamment le présent site web, le marketing, l'administration des clients et l'analyse des produits — ai-werkers agit en qualité de responsable du traitement au sens de l'art. 4, point 7, du RGPD. Ces traitements sont décrits dans la suite de la présente politique.
Dans la mesure où un client, en utilisant les produits d'ai-werkers (dont VisitFlow et CarWatch), fait traiter des données à caractère personnel de tiers — par exemple celles de ses propres clients, prospects ou salariés — ai-werkers agit, à l'égard de ces données, en qualité de sous-traitant au sens de l'art. 4, point 8, du RGPD. Ce traitement a lieu exclusivement dans les limites et sur la base de l'accord de sous-traitance que les parties concluent lors de la conclusion du contrat (voir l'art. 11.1 des conditions générales d'ai-werkers). Dans ces cas, le client demeure lui-même responsable du traitement pour les données à caractère personnel qu'il fournit.
2. Quelles données traitons-nous ?
Selon le produit que vous utilisez et les autorisations que vous accordez, nous traitons les catégories suivantes de données à caractère personnel :
| Catégorie | Exemples | Source | Produit(s) |
|---|---|---|---|
| Données de compte | Nom, adresse e-mail, photo de profil, identifiant utilisateur Google/Microsoft | Google OAuth / Microsoft OAuth / inscription directe | Tous |
| Données d'agenda | Rendez-vous, intitulés, horaires, lieux, participants, descriptions | Google Calendar API / Microsoft Graph API (uniquement avec consentement explicite) | VisitFlow |
| Données CRM et de visite | Comptes rendus de visite, notes clients, saisie vocale (transcrite) | Saisies par l'utilisateur via VisitFlow | VisitFlow |
| Données véhicules | Plaque d'immatriculation, données RDW, analyse des dommages, valeur de marché | Saisie de l'utilisateur + API publique RDW + API de valeur de marché | CarWatch |
| Données d'utilisation | Moments de connexion, durée de session, fonctions utilisées, journaux d'erreurs | Générées automatiquement lors de l'utilisation de l'application | Tous |
| Données techniques | Adresse IP, type de navigateur, type d'appareil, version de l'OS | Automatiquement lors de la visite du site et de l'utilisation de l'application | Tous |
| Demande de rendez-vous via le site | Adresse e-mail que vous laissez dans le bouton de prise de rendez-vous sur ai-werkers.nl | Saisie par vous dans le formulaire | HalloVera (Vera) |
Aucune catégorie particulière. Nous ne traitons aucune donnée à caractère personnel relevant des catégories particulières visées à l'art. 9 du RGPD (telles que les données de santé, l'origine ethnique ou les données biométriques).
3. Identifiants Google et accès aux API (OAuth)
Google API Services — Limited Use Disclosure
L'utilisation des données obtenues via les API de Google est conforme à la Google API Services User Data Policy, y compris aux exigences Limited Use.
- Nous utilisons les données utilisateur Google exclusivement pour la fonctionnalité pour laquelle vous avez donné votre consentement explicite.
- Nous ne vendons aucune donnée utilisateur Google à des tiers, pour aucun montant ni aucune contrepartie.
- Nous n'utilisons pas les données utilisateur Google pour développer, améliorer ou entraîner des modèles génériques d'IA ou d'apprentissage automatique.
- Nous ne partageons pas les données utilisateur Google avec des tiers à leurs propres fins publicitaires, marketing ou analytiques.
- Nous limitons l'utilisation des données utilisateur Google au minimum nécessaire à l'exécution de la fonction demandée.
Quelles portées (scopes) Google demandons-nous — et pourquoi ?
Nous demandons uniquement les portées OAuth strictement nécessaires au fonctionnement du produit concerné. Vous trouverez ci-dessous, pour chaque portée, exactement ce que nous demandons, ce à quoi nous l'utilisons, ce que nous stockons et pour combien de temps.
| Scope | Ce qu'il couvre | Ce à quoi nous l'utilisons | Stockage | Produit |
|---|---|---|---|---|
| openid | Identifiant utilisateur Google unique | Authentification et rattachement à votre compte ai-werkers | Stocké comme identifiant de compte ; jamais partagé | Tous |
| Votre adresse e-mail Google principale | Gestion du compte, communication et récupération de mot de passe | Stockée tant que le compte est actif | Tous | |
| profile | Nom affiché et URL de la photo de profil | Affichage dans l'interface de l'application | Nom stocké ; URL de la photo mise en cache, non persistante | Tous |
| calendar.events | Lecture et création d'éléments d'agenda dans Google Calendar | Planification automatique des rendez-vous de visite et synchronisation des activités VisitFlow avec votre agenda Google | Événements d'agenda traités temporairement (90 jours max.) ; ni revendus ni partagés | VisitFlow |
Principe du moindre privilège : nous ne demandons jamais plus de droits que strictement nécessaire. La portée calendar.events n'est activée que lorsque vous optez explicitement pour l'intégration de l'agenda dans VisitFlow. Vous pouvez retirer ce consentement à tout moment sans que votre compte soit supprimé.
Stockage des jetons et sécurité
- Jetons d'accès (access tokens) : conservés exclusivement dans la mémoire du serveur (in-memory) pour la durée de la session et jamais écrits sur disque.
- Jetons de rafraîchissement (refresh tokens) : stockés sous forme chiffrée (AES-256) dans notre base de données sécurisée, uniquement afin de permettre l'exécution automatique des tâches pour lesquelles vous avez donné votre consentement.
- Aucun stockage permanent des jetons d'accès : lors de la déconnexion ou du retrait du consentement, les jetons sont immédiatement invalidés et supprimés.
Ce que nous NE faisons PAS avec vos données Google
✕ Usages interdits — Google Limited Use Policy
- Vendre les données de votre compte Google ou vos données d'agenda à des tiers
- Utiliser vos données à des fins publicitaires
- Partager vos données avec des tiers pour les propres finalités marketing de ces tiers
- Lire des éléments d'agenda qui ne sont pas nécessaires à la tâche que vous avez demandée
- Utiliser vos données Google pour l'entraînement de modèles d'IA
- Utiliser votre identifiant utilisateur Google ou votre adresse e-mail à des fins de profilage ou de reciblage
- Rendre les données Google accessibles à des personnes qui n'y sont pas habilitées au sein d'ai-werkers
Retirer son consentement (Google)
Vous pouvez retirer votre consentement OAuth à tout moment via les paramètres de votre compte Google → Applications ayant accès à votre compte. Après le retrait :
- ai-werkers cesse immédiatement de demander de nouvelles données Google ;
- les jetons existants sont invalidés et supprimés ;
- vous pouvez demander à privacy@ai-werkers.nl que les données déjà traitées soient supprimées (traitement sans retard injustifié et, en tout état de cause, dans un délai d'un mois).
4. Identifiants Microsoft et accès aux API (OAuth)
Pour les utilisateurs qui se connectent avec un compte Microsoft (Microsoft 365 / Azure AD), des principes comparables à ceux applicables à Google s'appliquent. Nous demandons uniquement les autorisations strictement nécessaires.
| Autorisation / Scope | Ce qu'elle couvre | Ce à quoi nous l'utilisons | Stockage | Produit |
|---|---|---|---|---|
| openid | Identifiant utilisateur Microsoft unique | Authentification et rattachement à votre compte ai-werkers | Stocké comme identifiant de compte ; jamais partagé | Tous |
| Votre adresse e-mail Microsoft principale | Gestion du compte et communication | Stockée tant que le compte est actif | Tous | |
| profile | Nom affiché | Affichage dans l'interface de l'application | Nom stocké ; aucune photo mise en cache de façon permanente | Tous |
| Calendars.ReadWrite | Lecture et création d'éléments d'agenda dans Outlook / Microsoft 365 | Planification automatique des rendez-vous de visite et synchronisation avec l'agenda Outlook | Éléments d'agenda traités temporairement (90 jours max.) ; ni revendus ni partagés | VisitFlow |
Stockage des jetons et sécurité (Microsoft)
- Jetons d'accès : conservés uniquement in-memory, pour la durée de la session.
- Jetons de rafraîchissement : stockés sous forme chiffrée (AES-256) ; supprimés immédiatement en cas de retrait du consentement.
Retirer son consentement (Microsoft)
Vous pouvez retirer l'accès via les paramètres de votre compte Microsoft → Applications et services. Après le retrait, les mêmes étapes que celles décrites au paragraphe 3 s'appliquent.
Microsoft Identity Platform : ai-werkers satisfait aux exigences de la Microsoft Identity Platform en matière de consentement et d'utilisation des données.
5. Finalités et bases légales (RGPD)
| Finalité | Catégorie de données | Base légale (art. 6 du RGPD) |
|---|---|---|
| Donner accès à nos produits et services | Données de compte | Exécution du contrat (art. 6, par. 1, point b) |
| Synchronisation de l'agenda et planification des visites (VisitFlow) | Données d'agenda | Consentement (art. 6, par. 1, point a) |
| Enregistrement CRM et comptes rendus de visite (VisitFlow) | Données CRM et de visite | Exécution du contrat (art. 6, par. 1, point b) |
| Analyse de véhicules et détermination de la valeur de marché (CarWatch) | Données véhicules | Exécution du contrat (art. 6, par. 1, point b) |
| Communication client et assistance | Données de compte, correspondance | Exécution du contrat / intérêt légitime (art. 6, par. 1, points b/f) |
| Sécurité et prévention de la fraude | Données d'utilisation, données techniques | Intérêt légitime (art. 6, par. 1, point f) |
| Planifier un rendez-vous après une demande sur le site — Vera, notre assistante de planification IA, vous écrit et organise le rendez-vous par e-mail | Demande de rendez-vous via le site | Consentement (art. 6, § 1, a) |
| Obligations légales (administration fiscale) | Comptabilité financière | Obligation légale (art. 6, par. 1, point c) |
6. Combien de temps conservons-nous vos données ?
Nous ne conservons pas les données à caractère personnel plus longtemps que nécessaire au regard de la finalité pour laquelle elles ont été collectées (art. 5, par. 1, point e) du RGPD) :
| Catégorie de données | Durée de conservation | Au terme de la durée |
|---|---|---|
| Données de compte (nom, e-mail) | Durée du compte actif + 12 mois | Supprimées ou anonymisées |
| Jetons d'accès Google / Microsoft | Durée de la session (in-memory) | Automatiquement invalidés à la fin de la session |
| Jetons de rafraîchissement Google / Microsoft | Durée du consentement ou du compte | Supprimés immédiatement en cas de retrait |
| Données d'agenda (VisitFlow) | 90 jours au maximum après traitement | Supprimées automatiquement |
| Notes CRM et comptes rendus de visite (VisitFlow) | Durée du compte actif ou sur demande | Supprimés sur demande ou après clôture du compte |
| Analyses de véhicules (CarWatch) | 6 mois, sauf conservation active dans le compte | Supprimées automatiquement |
| Journaux techniques et données d'utilisation | 90 jours au maximum | Supprimés automatiquement |
| Comptabilité financière | 7 ans (obligation légale de conservation fiscale, art. 52 de l'AWR, la loi générale néerlandaise relative aux impôts de l'État) | Supprimée après le délai légal |
7. Partage avec des tiers et sous-traitants ultérieurs
Nous ne partageons jamais vos données à caractère personnel avec des tiers pour leurs propres finalités. Nous faisons uniquement appel aux sous-traitants ultérieurs suivants, qui sont contractuellement tenus à des exigences strictes de confidentialité et de sécurité et qui agissent exclusivement sur instruction d'ai-werkers (art. 28 du RGPD) :
| Sous-traitant ultérieur | Service | Pays d'établissement | Base du transfert |
|---|---|---|---|
| Railway Corp. | Hébergement, base de données et authentification | États-Unis (serveurs : Francfort, UE) | Clauses contractuelles types (art. 46, par. 2, point c) du RGPD) |
| Google LLC | Authentification OAuth, Google Calendar API | États-Unis | EU-US Data Privacy Framework |
| Microsoft Corporation | Authentification OAuth, Microsoft Graph API | États-Unis | EU-US Data Privacy Framework |
| Anthropic PBC | Traitement par modèle de langage IA dans nos outils | États-Unis | Clauses contractuelles types (art. 46, par. 2, point c) du RGPD) |
| Mistral AI SAS | Traitement par modèle de langage IA pour Vera | France (EEE) | Aucun transfert hors EEE |
| Brevo SAS | E-mail transactionnel (notifications et confirmations de formulaire) | France (EEE) | Aucun transfert hors EEE |
Transferts internationaux : les données ne sont transférées hors de l'EEE que sur la base de garanties appropriées conformément à l'art. 46 du RGPD (clauses contractuelles types) ou d'une décision d'adéquation de la Commission européenne.
8. Sécurité
ai-werkers prend des mesures techniques et organisationnelles appropriées pour protéger vos données à caractère personnel, conformément à l'art. 32 du RGPD :
- Chiffrement des données en transit (TLS 1.2+) et au repos (AES-256).
- Les jetons d'accès OAuth sont conservés uniquement in-memory ; les jetons de rafraîchissement sont stockés sous forme chiffrée.
- Contrôle d'accès fondé sur le principe du need-to-know ; seuls les collaborateurs habilités ont accès aux données à caractère personnel.
- Évaluations de sécurité périodiques.
- Procédure en cas de violation de données : en cas de violation de données à caractère personnel, nous la signalons dans les 72 heures à l'Autoriteit Persoonsgegevens, l'autorité néerlandaise de protection des données (art. 33 du RGPD), et nous informons les personnes concernées conformément à l'art. 34 du RGPD.
9. Vos droits (RGPD)
En vertu du RGPD, vous disposez des droits suivants. Vous pouvez les exercer à l'adresse privacy@ai-werkers.nl. Nous traitons votre demande sans retard injustifié et, en tout état de cause, dans un délai d'un mois, avec une prolongation possible de deux mois pour les demandes complexes (art. 12, par. 3, du RGPD).
| Droit | En quoi consiste-t-il ? | Délai de réponse |
|---|---|---|
| Accès (art. 15) | Demander quelles données nous traitons à votre sujet | Un mois |
| Rectification (art. 16) | Faire corriger des données inexactes ou incomplètes | Un mois |
| Effacement (art. 17) | Suppression de vos données (« droit à l'oubli ») | Un mois |
| Limitation (art. 18) | Interruption temporaire du traitement | Un mois |
| Portabilité (art. 20) | Recevoir vos données dans un format lisible par machine | Un mois |
| Opposition (art. 21) | S'opposer à un traitement fondé sur l'intérêt légitime | Un mois |
| Retrait du consentement (art. 7, par. 3) | Retirer le consentement OAuth (Google / Microsoft) | Effet immédiat |
| Mineurs (art. 8 du RGPD) | L'utilisation par des personnes de moins de 16 ans requiert le consentement d'un parent ou d'un tuteur légal (art. 5 de l'UAVG, la loi néerlandaise d'application du RGPD) | Sur demande du parent/tuteur |
Notre réponse ne vous satisfait pas ? Vous pouvez introduire une réclamation auprès de l'Autoriteit Persoonsgegevens, l'autorité néerlandaise de protection des données : autoriteitpersoonsgegevens.nl. Vous pouvez également former un recours devant la juridiction compétente du lieu d'établissement d'aiwerkers B.V. (art. 79 du RGPD).
10. Cookies
Cette section porte sur les cookies de nos applications (VisitFlow, CarWatch et nos autres produits). Les cookies du site ai-werkers.nl relèvent de la Politique de cookies distincte.
Nous utilisons des cookies fonctionnels strictement nécessaires au fonctionnement de nos services (gestion des sessions, jetons d'authentification). Nous ne déposons aucun cookie de suivi ou de publicité sans votre consentement explicite.
Pour un aperçu complet des cookies que nous déposons, nous vous renvoyons à notre politique de cookies distincte, sur ai-werkers.nl/cookiebeleid.
11. Modifications de la présente politique
Nous pouvons adapter la présente politique de confidentialité de temps à autre. En cas de modification substantielle, nous vous en informons par e-mail ou par une notification dans l'application, au moins trente (30) jours avant la date d'entrée en vigueur. La version la plus récente est toujours disponible publiquement sur ai-werkers.nl/privacy.
12. Contact et réclamations
Pour toute question sur la présente politique de confidentialité ou sur l'exercice de vos droits, vous pouvez contacter notre personne de contact en matière de protection des données :
Privacy — aiwerkers B.V.
- E-mail : privacy@ai-werkers.nl
- Adresse : Akkrumerraklaan 112, 3544 TS Utrecht, Pays-Bas
- KVK : 42114106
- Délai de réaction : sans retard injustifié et, en tout état de cause, dans un délai d'un mois, avec une prolongation possible de deux mois pour les demandes complexes (art. 12, par. 3, du RGPD)
Version 2.0 · Publiée sur : ai-werkers.nl/privacy · Date d'entrée en vigueur : 28 août 2026