Politique de confidentialité

1. Responsable du traitement

Le service MaintLink est édité par [À COMPLÉTER : raison sociale / forme juridique], inscrite à la Banque-Carrefour des Entreprises sous le numéro [À COMPLÉTER : n° BCE], dont le siège social est établi à Liège (Belgique). Pour toute question relative à la protection des données, vous pouvez nous contacter à hello@maintlink.io.

2. Notre rôle : responsable de traitement et sous-traitant

Pour les données de compte des utilisateurs (identité, identifiants de connexion), MaintLink agit en qualité de responsable de traitement. Pour les données saisies par les organisations clientes dans le cadre de leur activité (ordres de travail, rapports d'intervention, photos, transcriptions), MaintLink agit en qualité de sous-traitant au sens de l'article 28 du RGPD : l'organisation cliente demeure responsable de traitement de ces données. Un accord de sous-traitance (DPA) est conclu avec chaque organisation cliente.

3. Données traitées

Dans le cadre de l'utilisation du service, les catégories de données suivantes sont traitées :

• Données d'identité de compte, gérées via notre prestataire d'authentification Clerk : nom, prénom, adresse email, numéro de téléphone ;
• Données métier saisies par votre organisation : machines et équipements, ordres de travail, rapports d'intervention, checklists ;
• Photos prises lors des interventions ;
• Transcriptions vocales des dictées de rapports ;
• Journaux de sécurité relatifs aux procédures LOTO (consignation/déconsignation) et aux EPI ;
• Données d'usage du service et de coût des fonctionnalités IA (volumes, consommation).

4. Finalités et bases légales

• Fourniture du service (création et exécution des ordres de travail, génération de rapports, gestion des comptes) — base légale : exécution du contrat (art. 6.1.b RGPD) ;
• Sécurité du service et prévention de l'abus (journalisation, limitation des usages) — base légale : intérêt légitime (art. 6.1.f RGPD) ;
• Amélioration du service et des fonctionnalités IA — base légale : intérêt légitime (art. 6.1.f RGPD), avec anonymisation des données lorsque cela est possible.

5. Sous-traitants et destinataires

Nous faisons appel aux prestataires suivants, qui traitent des données pour notre compte :

• Clerk — Authentification et gestion des comptes utilisateurs — États-Unis (transferts encadrés par clauses contractuelles types) — politique de confidentialité
• Supabase — Base de données et stockage des fichiers (photos) — Union européenne (région UE) — politique de confidentialité
• Vercel — Hébergement applicatif — États-Unis (transferts encadrés par clauses contractuelles types) — politique de confidentialité
• Mistral AI — Transcription vocale et structuration IA des rapports — France / Union européenne — politique de confidentialité
• Sentry — Supervision des erreurs applicatives — États-Unis (transferts encadrés par clauses contractuelles types) — politique de confidentialité

Concernant les traitements IA (Mistral AI), les fournisseurs situés hors de l'Union européenne sont désactivés par défaut.

6. Transferts hors Union européenne

Certains prestataires (Clerk, Vercel, Sentry) sont établis aux États-Unis. Ces transferts sont encadrés par des clauses contractuelles types adoptées par la Commission européenne. Les traitements d'intelligence artificielle (transcription et structuration) sont réalisés en Union européenne via Mistral AI par défaut.

7. Durées de conservation

• Données de compte : pendant toute la durée du contrat, puis pendant les délais légaux de prescription applicables ;
• Transcriptions vocales : 12 mois après la clôture de l'ordre de travail concerné ;
• Photos d'intervention : pendant la durée du contrat avec l'organisation cliente ;
• Données métier (ordres de travail, rapports) : pendant la durée du contrat, puis restitution ou suppression conformément au DPA conclu avec l'organisation cliente.

8. Vos droits

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation du traitement, d'opposition et de portabilité de vos données. Vous pouvez exercer ces droits en écrivant à hello@maintlink.io. Si vos données sont traitées pour le compte de votre organisation (employeur), nous transmettrons votre demande à celle-ci lorsque nous agissons en qualité de sous-traitant. Vous disposez également du droit d'introduire une réclamation auprès de l'Autorité de protection des données (APD, Belgique) : www.autoriteprotectiondonnees.be.

9. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées, notamment : isolation stricte des données entre organisations clientes (multi-tenant avec Row Level Security), chiffrement des données en transit (TLS) et restriction des accès aux seules personnes habilitées.