Politique de confidentialité

Notre engagement

MovUP est conçu en Europe, hébergé en Europe, et traite les données personnelles dans le strict respect du règlement (UE) 2016/679 (RGPD) et de la loi n° 78-17 du 6 janvier 1978 modifiée. Nous appliquons les principes de minimisation, de finalité, d'exactitude, de limitation de conservation, d'intégrité et de transparence.

Nous ne vendons pas vos données. Nous ne les exploitons pas à des fins publicitaires. Nous ne les transférons pas à des courtiers en données. Nous ne les utilisons pas pour entraîner des modèles d'IA tiers.

1. Responsable de traitement

Le responsable de traitement des données collectées via MovUP est :

MovUP n'est pas tenu de désigner un délégué à la protection des données (DPO) au sens de l'article 37 du RGPD. Toutefois, un point de contact dédié est mis en place : dpo@movup.io.

2. Données collectées

2.1 Données d'inscription et de compte

• Adresse email professionnelle
• Mot de passe (stocké sous forme hachée et salée, jamais en clair)
• Nom et prénom
• Nom de l'entreprise, fonction
• Téléphone (facultatif)
• Préférences linguistiques et de notification

2.2 Données de facturation

• Raison sociale, SIRET, adresse de facturation
• Numéro de TVA intracommunautaire le cas échéant
• Historique des paiements et factures

Les coordonnées bancaires (numéro de carte, IBAN) ne transitent jamais par nos serveurs. Elles sont collectées et stockées directement par Stripe, certifié PCI-DSS niveau 1.

2.3 Données d'usage

• Logs techniques (date, heure, adresse IP, navigateur, action)
• Statistiques d'utilisation des fonctionnalités
• Identifiant de session

2.4 Données saisies par l'Utilisateur

L'Utilisateur saisit ou importe dans MovUP des données relatives à des prospects et clients : raisons sociales, contacts professionnels, adresses, historique des échanges, devis, factures. Pour ces données, l'Utilisateur agit en tant que responsable de traitement et MovUP intervient en qualité de sous-traitant au sens de l'article 28 du RGPD. Les modalités sont précisées dans le DPA (Data Processing Agreement).

2.5 Géolocalisation approximative

Lors de votre inscription, nous récupérons une géolocalisation approximative à partir de votre adresse IP : ville, région, code postal et coordonnées géographiques approximatives. Aucune adresse exacte n'est stockée. Cette donnée est traitée sur la base de notre intérêt légitime à personnaliser nos communications commerciales (article 6.1.f du RGPD). Vous pouvez nous demander la suppression de cette donnée à tout moment en écrivant à dpo@movup.io.

2.6 Consentement marketing

Lors de votre inscription, nous vous proposons de recevoir nos communications commerciales par email. Cette case n'est pas pré-cochée et votre consentement est strictement optionnel. Si vous consentez, nous conservons la date et l'heure de votre consentement. Vous pouvez retirer votre consentement à tout moment via le lien de désinscription présent dans chaque email, ou en écrivant à dpo@movup.io.

2.7 Historique de vos recherches

Lorsque vous utilisez la fonction de recherche de prospects, nous conservons l'historique de vos requêtes : secteur d'activité (code NAF), zone géographique (région, département, ville), nombre de résultats obtenus et date. Cette donnée nous permet de vous fournir le service, de retrouver vos recherches passées, et de personnaliser nos communications avec votre accord. Bases légales : exécution du contrat (article 6.1.b RGPD) et intérêt légitime (article 6.1.f RGPD). Vous pouvez nous demander la suppression de cet historique à tout moment en écrivant à dpo@movup.io.

3. Finalités et bases légales

4. Destinataires et sous-traitants

Vos données sont accessibles uniquement aux personnels de l'Éditeur strictement nécessaires à la fourniture du Service, et à ses sous-traitants techniques. La liste détaillée et actualisée est disponible sur la page Sous-traitants.

Aucune donnée n'est transmise à des tiers à des fins commerciales. En cas d'obligation légale (réquisition judiciaire, autorité fiscale), l'Éditeur informera l'Utilisateur dans les meilleurs délais, sauf interdiction légale.

5. Transferts hors Union européenne

MovUP privilégie les sous-traitants européens. Toutefois, certains prestataires sont établis en dehors de l'UE (Railway et Cloudflare aux États-Unis, Resend aux États-Unis). Pour ces transferts, l'Éditeur s'appuie sur les garanties suivantes :

• Adhésion au Data Privacy Framework UE-USA pour les prestataires éligibles
• Clauses contractuelles types (SCC) approuvées par la Commission européenne
• Mesures techniques complémentaires (chiffrement en transit et au repos, pseudonymisation lorsque possible)
• Évaluation d'impact des transferts (TIA) documentée

Les régions d'hébergement sont configurées en Europe (Amsterdam pour Railway, Dublin pour SurrealDB Cloud) afin de minimiser les flux transfrontaliers.

6. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès (art. 15) : obtenir la confirmation que vos données sont traitées et en recevoir une copie.
• Droit de rectification (art. 16) : faire corriger des données inexactes.
• Droit à l'effacement (art. 17) : demander la suppression de vos données.
• Droit à la limitation (art. 18) : demander que le traitement soit suspendu.
• Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré et lisible par machine (CSV, JSON).
• Droit d'opposition (art. 21) : vous opposer au traitement fondé sur l'intérêt légitime.
• Directives post-mortem (art. 85 LIL) : organiser le sort de vos données après votre décès.
• Droit de retrait du consentement à tout moment, sans rétroactivité.

Pour exercer ces droits : dpo@movup.io. Une réponse vous sera apportée sous un mois maximum, prorogeable de deux mois en cas de demande complexe.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez déposer une réclamation auprès de la CNIL.

7. Sécurité

MovUP applique des mesures techniques et organisationnelles proportionnées au risque, conformément à l'article 32 du RGPD :

• Chiffrement TLS 1.3 systématique en transit
• Chiffrement au repos des bases de données
• Hachage des mots de passe (bcrypt, coût ≥ 12)
• Authentification multi-facteurs proposée
• Cloisonnement des données par compte (multi-tenant strict)
• Sauvegardes chiffrées quotidiennes avec rétention 30 jours
• Journalisation des accès administrateurs
• Tests de sécurité réguliers et mises à jour des dépendances
• Procédure documentée de gestion des incidents et de notification CNIL sous 72h en cas de violation (art. 33 RGPD)

Pour signaler une vulnérabilité : securite@movup.io. Une politique de divulgation responsable est en place.

8. Mineurs

Le Service est exclusivement destiné aux professionnels majeurs. L'Éditeur ne collecte pas sciemment de données concernant des mineurs. Si un mineur a néanmoins créé un compte, son représentant légal peut demander la suppression à dpo@movup.io.

9. Modifications

La présente politique peut être modifiée pour refléter l'évolution du Service ou de la réglementation. Toute modification substantielle sera notifiée par email et par bandeau d'information dans le Service au moins 15 jours avant son entrée en vigueur.

10. Contact

Pour toute question relative à la protection de vos données :

• Email : dpo@movup.io
• Courrier : EI Benoît Fouquet — nom commercial « So Paradi », 18 place du Marchix, 22100 Dinan, France