Documents légaux

Politique de confidentialité

Dernière mise à jour : 26 octobre 2026 · Version 1.10 · En vigueur à compter du 26 octobre 2026

Notre engagement

MovUP est conçu en France ; les données des comptes sont hébergées dans l’Union européenne. Nous traitons les données personnelles dans le strict respect du règlement (UE) 2016/679 (RGPD) et de la loi n° 78-17 du 6 janvier 1978 modifiée. Nous appliquons les principes de minimisation, de finalité, d’exactitude, de limitation de conservation, d’intégrité et de transparence.

Nous ne vendons ni les données de nos abonnés ni celles qu’ils saisissent ou importent. Nous ne les exploitons pas à des fins publicitaires et ne les utilisons pas nous-mêmes pour entraîner des modèles d’intelligence artificielle. MovUP édite par ailleurs une base des entreprises françaises, consultée par ses abonnés pour leur prospection : ce traitement est décrit à la section 11.

1. Responsable de traitement

Le responsable de traitement des données collectées via MovUP est :

EI Benoit Fouquet, entreprise individuelle

18 place du Marchix, 22100 Dinan, France

SIRET : 453 388 456 00031

Contact : dpo@movup.io

MovUP n’a pas désigné de délégué à la protection des données : il n’y est pas tenu au sens de l’article 37 du RGPD. Un contact dédié aux données personnelles reçoit toutes les demandes : dpo@movup.io.

2. Données collectées

2.1 Données d’inscription et de compte

Adresse email professionnelle
Mot de passe (stocké sous forme hachée et salée, jamais en clair)
Nom et prénom
Nom de l’entreprise
Téléphone
Pseudo choisi à l’inscription, qui forme votre adresse MovUP (pseudo@mail.movup.io), et le courrier reçu à cette adresse
Préférences de notification (rapports hebdomadaires, copie des envois)

Les données marquées obligatoires à l’inscription sont nécessaires à la création du compte : sans elles, le compte ne peut pas être créé.

2.2 Données de facturation

Raison sociale, SIRET, adresse de facturation
Numéro de TVA intracommunautaire le cas échéant
Historique des paiements et factures

Les coordonnées bancaires (numéro de carte, IBAN) ne transitent jamais par nos serveurs. Elles sont collectées et stockées directement par Stripe, certifié PCI-DSS niveau 1.

2.3 Données d’usage

Logs techniques (date, heure, adresse IP, navigateur, action)
Statistiques d’utilisation des fonctionnalités
Identifiant de session

Les logs techniques (journal d’audit) sont conservés 12 mois. Les statistiques d’utilisation des fonctionnalités rattachées à votre compte sont conservées pendant la durée de celui-ci et supprimées avec lui (voir 2.8).

2.4 Données saisies par l’Utilisateur

L’Utilisateur saisit ou importe dans MovUP des données relatives à des prospects et clients : raisons sociales, contacts professionnels, adresses, historique des échanges, devis, factures. Pour ces données, l’Utilisateur agit en tant que responsable de traitement et MovUP intervient en qualité de sous-traitant au sens de l’article 28 du RGPD. Les modalités sont précisées dans le DPA (Data Processing Agreement). Lorsque l’Utilisateur écrit à ses prospects par la Messagerie, MovUP traite pour son compte l’adresse du destinataire, le contenu et les pièces jointes du message et ses statuts de livraison (délivré, rebond, signalement) ; aucun suivi d’ouverture ni de clic n’est posé dans les messages. Les données d’identification et de contact d’entreprises figurant dans ces saisies font exception : voir 2.9. Lorsque l’Utilisateur dépose un justificatif dans Frais, la pièce est lue automatiquement par Mistral AI (France), qui la conserve trente jours pour détecter les abus puis la supprime.

2.5 Géolocalisation approximative

Depuis le 5 octobre 2026, aucune géolocalisation de l’adresse IP n’est faite à l’inscription. Les comptes créés avant cette date ont reçu une géolocalisation approximative de leur adresse IP, obtenue auprès du service ipapi.co (Kloudend, Inc., États-Unis) : ville, région, code postal et coordonnées géographiques approximatives. Nous conservons cette géolocalisation et l’adresse IP utilisée avec le compte, et les supprimons avec lui ; aucune adresse postale exacte n’en est déduite. Cette donnée est traitée sur la base de notre intérêt légitime (article 6.1.f du RGPD) à personnaliser nos communications commerciales et à situer la météo de votre tableau de bord lorsque vous n’avez indiqué aucune autre position. Vous pouvez nous demander la suppression de cette donnée à tout moment en écrivant à dpo@movup.io.

2.5 bis Position de votre appareil

Lorsque vous l’autorisez dans votre navigateur, MovUP lit la position de votre appareil sur la Carte, la Prospection, le Pipeline et le tableau de bord mobile.

Finalités : centrer la carte, fixer le point de départ de vos tournées et calculer les itinéraires, trier vos prospects par distance, afficher la météo de l’endroit où vous êtes.

Base légale : exécution du contrat (article 6.1.b du RGPD), ces fonctions étant celles que vous utilisez.

Quand : à votre demande, puis, tant que l’autorisation donnée à votre navigateur est active, à l’ouverture de la Carte, de la Prospection et du tableau de bord mobile. Vous pouvez retirer cette autorisation à tout moment dans les réglages de votre navigateur.

Destinataires : pour le tri par distance, la position reste dans votre navigateur. Pour la Carte, elle est transmise par nos serveurs, qui ne la conservent pas, à l’API Adresse de l’État (nom de la commune) et à l’IGN (calcul d’itinéraire). Pour la météo, votre navigateur envoie une position arrondie à environ un kilomètre à Open-Meteo (Suisse, pays reconnu adéquat), qui efface ses journaux au bout de 90 jours.

Durée : MovUP ne l’enregistre pas sur ses serveurs. Votre navigateur la garde 24 heures pour la météo (clé mup_meteo_position) et, pour le tri du Pipeline, jusqu’à ce que vous la retiriez (clé mup_pipeline_position).

2.6 Consentement marketing

Lors de votre inscription, nous vous proposons de recevoir nos communications commerciales par email. Cette case n’est pas pré-cochée et votre consentement est strictement optionnel. Si vous consentez, nous conservons la date et l’heure de votre consentement. Vous pouvez retirer votre consentement à tout moment depuis la page Mon profil ou la page Vos données de votre compte, quel que soit l’état de votre abonnement, ou en écrivant à dpo@movup.io.

2.7 Historique de vos recherches

Lorsque vous utilisez la fonction de recherche de prospects, nous conservons l’historique de vos requêtes : secteur d’activité (code NAF), zone géographique (région, département, ville), nombre de résultats obtenus et date. Cette donnée nous permet de vous fournir le service, de retrouver vos recherches passées, et de personnaliser nos communications avec votre accord. Bases légales : exécution du contrat (article 6.1.b RGPD) et intérêt légitime (article 6.1.f RGPD). Cet historique est conservé pendant la durée de votre compte et supprimé avec lui. Vous pouvez nous demander la suppression de cet historique à tout moment en écrivant à dpo@movup.io.

2.8 Journal d’usage de votre compte

Lorsque vous modifiez la fiche d’un prospect, nous enregistrons l’opération : votre compte, la fiche concernée, les champs modifiés, la recherche dont la fiche provient le cas échéant, et la date. Ce journal nous permet de mesurer l’usage réel du Service et d’en diagnostiquer les défauts. Base légale : intérêt légitime (article 6.1.f RGPD). Il est conservé pendant la durée de votre compte et supprimé avec lui. Vous pouvez en obtenir une copie ou en demander la suppression à tout moment en écrivant à dpo@movup.io.

2.9 Apports des abonnés

Les coordonnées professionnelles de sociétés apportées par les abonnés (import, saisie, factures, justificatifs de frais) peuvent enrichir la base MovUP et être affichées aux autres abonnés qui suivent la même société. Les coordonnées d’un entrepreneur individuel ne sont pas mises en commun. Une adresse électronique professionnelle qui contient le nom d’une personne peut l’être : cette personne en est informée et peut s’y opposer dans les conditions de la section 11. Pour ce traitement, MovUP agit en qualité de responsable de traitement. Les coordonnées d’un entrepreneur individuel apportées par un abonné ne sont pas mises en commun. Les notes, montants et éléments de relation commerciale de l’abonné ne sont jamais mutualisés. Ces apports ne sont jamais vendus.

Lorsqu’un frais est supprimé, seul ou avec le compte, la photo de son justificatif est effacée, sauf si elle prouve la source d’une coordonnée que la base MovUP propose encore : elle est alors gardée, détachée de tout compte, pour le seul compte de MovUP (intérêt légitime, article 6.1.f du RGPD, à pouvoir justifier la source d’une coordonnée), et effacée dès que cette coordonnée n’est plus proposée.

3. Finalités et bases légales

Finalité	Base légale	Durée
Création et gestion du compte	Exécution du contrat (art. 6.1.b RGPD)	Durée du compte, puis suppression automatique : 37 jours au plus après la fin de la dernière période de facturation (7 jours de lecture seule, puis 30 jours), ou 7 jours après une demande de suppression du compte
Compte d’essai sans souscription	Mesures précontractuelles (art. 6.1.b RGPD)	30 jours après la fin de l’essai, et au moins 7 jours après le courriel d’avertissement
Fourniture du Service (prospects, contacts, agenda, documents, échanges, journal d’usage, historique de recherche)	Exécution du contrat ; intérêt légitime pour le journal d’usage	Durée du compte ; supprimés avec lui
Factures émises, devis et frais de l’Utilisateur (données de son activité, saisies dans MovUP)	Exécution du contrat (MovUP sous-traitant)	Durée du compte ; effacés avec lui. La conservation légale de ses pièces (art. L. 123-22 C. com.) incombe à l’Utilisateur, qui peut les télécharger à tout moment et en est averti avant chaque échéance
Facturation de l’abonnement MovUP (factures de MovUP, références des paiements Stripe)	Obligation légale (art. 6.1.c)	10 ans chez Stripe (art. L. 123-22 C. com.), y compris après la suppression du compte
Photos de justificatifs gardées comme preuve de la source d’une coordonnée (2.9)	Intérêt légitime (art. 6.1.f)	Détachées de tout compte ; effacées dès que la coordonnée n’est plus proposée, au plus tard à la péremption de la base (section 11.7)
Sécurité, lutte contre la fraude (journal d’audit : connexions, inscriptions, adresse IP, navigateur)	Intérêt légitime (art. 6.1.f)	12 mois ; le lien avec le compte est retiré à sa suppression
Sessions de connexion (cookie `mup_session`)	Exécution du contrat	30 jours, prolongés à chaque utilisation ; supprimées chaque jour à leur échéance
Liens de vérification et de réinitialisation	Exécution du contrat	Valables 24 heures (vérification de l’adresse) ou 1 heure (mot de passe, changement d’adresse) ; supprimés avec le compte
Mesure d’audience du site public, sans cookie	Intérêt légitime (art. 6.1.f) à connaître la fréquentation du site, pour le seul compte de MovUP	Une page vue est comptée quand la page, une fois chargée et exécutée par votre navigateur, la signale à nos serveurs : l’adresse de la page, sans ses paramètres. Pour la première page d’une visite s’y ajoutent le seul nom de domaine du site d’où vous venez (par exemple linkedin.com, jamais l’adresse complète de la page d’origine) et, s’ils figurent dans le lien suivi, les paramètres de campagne utm_source, utm_medium et utm_campaign ; nos serveurs en déduisent une provenance (LinkedIn, moteur de recherche, courriel de MovUP, autre site, accès direct). Sur la page d’accueil, la page signale aussi à nos serveurs, quand vous la quittez ou la mettez en arrière-plan, les sections affichées et le délai d’arrivée de chacune, les boutons et liens utilisés, le temps passé à l’écran et la page suivante du site ; le jour et l’heure (sans les minutes), le type d’appareil déduit de la largeur de l’écran et la famille du navigateur y sont joints, sous un numéro tiré au hasard pour cette seule page et jamais conservé dans votre navigateur. Ni l’adresse IP, ni le navigateur exact, ni l’empreinte du jour ne sont enregistrés avec ces informations, qui ne sont reliées à aucun compte. Ce détail est conservé 30 jours, puis effacé. Pour compter les visiteurs distincts du jour, une empreinte est calculée à partir de l’adresse IP tronquée et du navigateur, avec une clé propre à movup.io renouvelée chaque jour et jamais enregistrée ; l’adresse IP et le navigateur ne sont pas enregistrés. L’empreinte est gardée jusqu’au lendemain avec la provenance de la première page de la visite et l’indication que la page qui suit une inscription a été affichée ; elle n’est reliée ni aux autres pages vues ni à un compte, puis elle est effacée. Pour les pages vues antérieures au 13 octobre 2026 à 20 h 37, l’empreinte demeure enregistrée avec la page et l’heure de la visite, jusqu’à l’effacement de ce détail. Le détail des pages vues (page, jour et heure) est conservé 90 jours, puis effacé ; les dernières lignes qui portent une empreinte le seront le 12 janvier 2027. Totaux anonymes par jour (pages vues, pages les plus vues, visiteurs distincts, visiteurs et inscriptions par provenance, domaines de provenance et campagnes) conservés sans limite. Aucun destinataire. Opposition : lien Ne plus être compté (choix conservé 6 mois).
Mesure d’audience Plausible	Consentement	Choix conservé 6 mois ; aucune donnée personnelle conservée par MovUP
Communications commerciales MovUP	Consentement ou intérêt légitime (B2B)	3 ans après le dernier contact
Base des entreprises (section 11)	Intérêt légitime (art. 6.1.f)	3 ans à compter de la collecte ou de la dernière mise à jour à partir de la source, conformément au référentiel de la CNIL relatif à la gestion des activités commerciales
Demandes d’opposition et liste d’opposition	Obligation légale (art. 6.1.c et 21 RGPD)	Au moins 3 ans, conformément au référentiel de la CNIL relatif à la gestion des activités commerciales, et aussi longtemps que nécessaire pour que l’opposition reste respectée ; l’adresse électronique ou le numéro concerné est conservé tel quel, pour que l’opposition puisse être appliquée

4. Destinataires et sous-traitants

Vos données sont accessibles uniquement aux personnels de l’Éditeur strictement nécessaires à la fourniture du Service, et à ses sous-traitants techniques. La liste détaillée et actualisée est disponible sur la page Sous-traitants.

Parmi les sous-traitants : Mistral AI (lecture des justificatifs), Open-Meteo (météo, position arrondie), l’API Adresse et l’IGN (position de l’appareil pour la Carte, sans conservation).

Aucune donnée n’est transmise à des tiers à des fins commerciales, sous réserve des apports décrits en 2.9. En cas d’obligation légale (réquisition judiciaire, autorité fiscale), l’Éditeur informera l’Utilisateur dans les meilleurs délais, sauf interdiction légale.

5. Transferts hors Union européenne

MovUP privilégie les prestataires européens. Certains sont toutefois établis ou opèrent hors de l’Union européenne :

aux États-Unis : Railway (hébergement), Cloudflare (stockage des fichiers, relais de la visio, résolution de noms de domaine), Resend (courriels et Messagerie), Kloudend, Inc. (ipapi.co, géolocalisation de l’adresse IP à l’inscription des comptes créés avant le 5 octobre 2026), Google LLC (serveur de mise en relation de la visio, résolution de noms de domaine), ainsi que les sociétés du groupe Stripe pour les transferts internes à ce groupe ;
au Royaume-Uni, pays reconnu adéquat par la Commission européenne, décision renouvelée jusqu’en 2031 : SurrealDB Ltd, la Fondation OpenStreetMap (Nominatim) et OVH, qui héberge à Erith le serveur de notre robot de visite MovUPBot ;
en Suisse, pays reconnu adéquat par la Commission européenne : Open-Meteo ;
dans le monde entier : le réseau de distribution jsDelivr, qui sert au navigateur les bibliothèques libres de lecture de fichiers au premier import de factures (adresse IP du navigateur seulement, aucun contenu du Client).

Le détail de chaque prestataire figure sur la page Sous-traitants. Pour les transferts vers les États-Unis, l’Éditeur s’appuie sur les garanties suivantes :

Certification du prestataire au cadre de protection des données UE-États-Unis (Data Privacy Framework) lorsqu’elle existe
À défaut, clauses contractuelles types de la Commission européenne (décision 2021/914)
Mesures techniques complémentaires (chiffrement en transit et au repos, pseudonymisation lorsque possible)
Évaluation d’impact des transferts (TIA) documentée

Les données des comptes sont hébergées dans l’Union européenne : région europe-west4 de Google Cloud (Pays-Bas) pour les serveurs de Railway, région eu-west-1 d’Amazon Web Services (Irlande) pour la base SurrealDB, juridiction Union européenne pour les fichiers Cloudflare R2.

6. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

Droit d’accès (art. 15) : obtenir la confirmation que vos données sont traitées et en recevoir une copie.
Droit de rectification (art. 16) : faire corriger des données inexactes.
Droit à l’effacement (art. 17) : demander la suppression de vos données.
Droit à la limitation (art. 18) : demander que le traitement soit suspendu.
Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré et lisible par machine (archive ZIP : un fichier JSON et vos fichiers dans leur format d’origine, depuis la page Vos données de votre compte, quel que soit l’état de votre abonnement, 5 fois par 24 heures).
Droit d’opposition (art. 21) : vous opposer au traitement fondé sur l’intérêt légitime.
Droit d’opposition à la prospection (art. 21.2) : vous opposer à tout moment, sans avoir à vous justifier, à l’utilisation de vos données à des fins de prospection.
Directives post-mortem (art. 85 LIL) : organiser le sort de vos données après votre décès.
Droit de retrait du consentement à tout moment, sans rétroactivité.

Pour exercer ces droits : dpo@movup.io. Une réponse vous sera apportée sous un mois maximum, prorogeable de deux mois en cas de demande complexe.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez déposer une réclamation auprès de la CNIL.

7. Sécurité

MovUP applique des mesures techniques et organisationnelles proportionnées au risque, conformément à l’article 32 du RGPD :

Chiffrement TLS 1.2 et 1.3 systématique en transit
Chiffrement au repos des bases de données
Hachage des mots de passe (argon2id)
Cloisonnement des données entre comptes : pipeline, devis, factures et frais ne sont accessibles qu’au compte qui les a créés
Sauvegardes automatiques chiffrées, quotidiennes, conservées sept jours

Pour signaler une vulnérabilité : securite@movup.io.

8. Mineurs

Le Service est exclusivement destiné aux personnes majeures. L’Éditeur ne collecte pas sciemment de données concernant des mineurs. Si un mineur a néanmoins créé un compte, son représentant légal peut demander la suppression à dpo@movup.io.

9. Modifications

La présente politique peut être modifiée pour refléter l’évolution du Service ou de la réglementation. Toute modification substantielle sera notifiée par courriel au moins 30 jours avant son entrée en vigueur.

10. Contact

Pour toute question relative à la protection de vos données :

Email : dpo@movup.io
Courrier : EI Benoit Fouquet, 18 place du Marchix, 22100 Dinan, France

11. La base des entreprises de MovUP

Cette section s’adresse aux personnes dont les données figurent dans la base des entreprises de MovUP sans qu’elles nous les aient communiquées : entrepreneurs individuels, dirigeants et mandataires sociaux, et personnes dont le nom figure dans une adresse électronique professionnelle publiée par leur entreprise.

11.1 Responsable de traitement

EI Benoit Fouquet, 18 place du Marchix, 22100 Dinan, France. Contact : dpo@movup.io.

11.2 Finalités et base légale

MovUP constitue et tient à jour une base des entreprises françaises et la met à disposition de ses abonnés pour leur prospection entre professionnels. Ce traitement repose sur l’intérêt légitime de MovUP et de ses abonnés à prospecter des professionnels au sujet de leur activité (article 6.1.f du RGPD).

11.3 Données traitées

identité de l’entreprise : dénomination, SIREN, SIRET, activité, adresse de l’établissement, état administratif ;
nom, prénom et fonction des dirigeants, tels que publiés aux registres légaux ;
coordonnées professionnelles publiées par l’entreprise : téléphone, adresse électronique, site internet.

11.4 Sources

Registres et données publiques (Insee Sirene, INPI Registre national des entreprises, BODACC, Annuaire des entreprises, annuaire RGE de l’ADEME, Atout France, FINESS, RNA, listes de la DGAL, données ouvertes de l’Afnic), Overture Maps, sites internet des entreprises lus par notre robot MovUPBot, et apports des abonnés de MovUP (saisies, imports, factures et justificatifs de frais). La liste détaillée et les licences figurent dans les mentions légales. La source de chaque coordonnée est conservée et indiquée à ceux qui la reçoivent.

11.5 Entrepreneurs individuels

Aucune coordonnée d’un entrepreneur individuel n’est communiquée à un abonné avant qu’il ait reçu un courriel d’information et disposé d’un mois pour s’y opposer. Les choix exprimés auprès de l’Insee (diffusion partielle) et de l’INPI (opposition à la réutilisation commerciale) sont respectés.

11.6 Destinataires

Les abonnés de MovUP, et nos sous-traitants (page Sous-traitants). Le serveur du robot MovUPBot est hébergé par OVH au Royaume-Uni, pays reconnu adéquat par la Commission européenne jusqu’en 2031.

11.7 Durée de conservation

Les données sont conservées trois ans à compter de leur collecte ou de leur dernière mise à jour à partir de leur source, conformément au référentiel de la CNIL relatif à la gestion des activités commerciales.

11.8 Vos droits

Vous pouvez à tout moment, sans justification, vous opposer à ce traitement sur la page Opposition : dès la confirmation de votre adresse, vos coordonnées ne sont plus proposées aux abonnés de MovUP. Vous disposez aussi des droits d’accès, de rectification, d’effacement et de limitation, auprès de dpo@movup.io. Vous pouvez introduire une réclamation auprès de la CNIL.