Politique de confidentialité

Données d'identification et de compte

• Adresse e-mail et mot de passe (gardé sous une forme hachée, jamais en clair).

• Nom et prénom, et photo de profil si vous en ajoutez une.

• Si vous vous connectez avec Google : l'identifiant de votre compte Google, votre adresse e-mail et votre nom, que Google nous transmet.

• Si vous invitez une personne dans votre organisation, ou si vous lui envoyez un questionnaire : son adresse e-mail.

Données de business plan

Les informations saisies dans les 4 phases du business plan :

• Identité : nom du projet, description d'activité, code NAF, fondateurs, localisation.

• Étude de marché : données de marché, concurrents, positionnement, analyse SWOT.

• Étude juridique : forme juridique sélectionnée, régime fiscal, paramètres de rémunération.

• Étude financière : chiffre d'affaires prévisionnel, charges, investissements, emprunts.

• Les fichiers que vous importez pour remplir votre dossier, comme le CV ou l'export LinkedIn d'un fondateur.

Ces données sont nécessaires à la fourniture du service et constituent le cœur de la prestation.

Données bancaires et comptables

Seulement si vous connectez un compte bancaire, ou si vous importez votre comptabilité :

• Compte bancaire : le nom de votre banque, le nom du compte, un identifiant de compte masqué, les soldes et les opérations (date, montant, libellé, contrepartie).

• Fichier des écritures comptables (FEC) : ses écritures, et le fichier d'origine.

Les libellés de vos opérations ne sont envoyés à aucun service d'intelligence artificielle.

Données de conversation avec l'assistant

• Les messages que vous échangez avec l'assistant, dans l'application ou sur Telegram.

• L'historique de ces échanges, enregistré dans notre base de données et rattaché à votre dossier.

L'assistant est une intelligence artificielle : ses réponses sont rédigées par un modèle de langage, et elles peuvent contenir des erreurs. Elles ne remplacent pas l'avis d'un expert-comptable ou d'un avocat.

Avant d'envoyer le contenu de votre dossier à un modèle d'intelligence artificielle, nous en retirons les coordonnées (adresse e-mail, téléphone, IBAN, adresse postale, et numéros SIREN et SIRET sauf si vous les demandez), et nous remplaçons le nom des fondateurs et des associés par un repère (« Fondateur 1 »).

Ce que vous écrivez vous-même dans la conversation, et les fichiers, photos ou messages vocaux que vous envoyez, partent tels quels : n'y mettez que ce qui est utile à votre question.

Données de Telegram

Seulement si vous liez votre compte Telegram à InovCrea :

• L'identifiant de votre conversation avec notre bot, la date de la liaison et le dossier que vous y suivez.

• Les messages que vous envoyez au bot. Ils rejoignent la conversation de votre dossier, que vous retrouvez dans l'application.

• Un message vocal est transcrit en texte par OpenAI. L'enregistrement n'est pas conservé ; le texte transcrit rejoint la conversation.

• Une photo ou un PDF que vous envoyez au bot est lu par Google (Gemini), ou par OpenAI si Gemini ne répond pas, pour en relever les dates, repérer un courrier douteux ou, pour un document de recettes (un ticket Z, un export de caisse, un carnet de recettes), trouver le chiffre d'affaires du mois. Le fichier est lu en mémoire et n'est pas conservé. Seuls sont enregistrés les dates que vous choisissez d'inscrire à votre échéancier et ce chiffre d'affaires : il est gardé avec votre dossier comme une proposition, et n'entre dans votre suivi que si vous l'acceptez.

• Si vous activez les réponses vocales, le texte de chaque réponse est lu à voix haute par OpenAI.

Ce que l'agent vous signale

L'agent repère dans votre dossier des points qui demandent votre attention (une échéance proche, une alerte de votre prévisionnel, une aide qui ferme, les chiffres d'un mois à valider). Il vous les signale dans l'application et, seulement si vous l'avez accepté pour cette famille de sujets, sur Telegram. Chaque message est signé comme venant de l'agent IA d'InovCrea, et dit pourquoi vous le recevez.

• Nous gardons chaque signalement avec votre dossier : ses chiffres, ses dates et ses sources, le texte qui vous a été montré, et ce que vous en avez fait (traité, plus tard, moins de ça).

• Vos préférences pour l'agent (les familles de sujets que vous coupez dans l'application ou que vous activez sur Telegram, les sujets que vous lui avez demandé de ne plus signaler, vos horaires et votre pause) sont enregistrées pour chaque dossier, avec vos choix pour les rappels d'échéances et le résumé mensuel.

• La veille des registres : si votre dossier porte le numéro SIREN de votre société, l'agent lit chaque jour les annonces du BODACC (le journal officiel des annonces d'entreprises) qui la concernent, et celles des concurrents de votre étude de marché qui sont des sociétés. Il n'envoie pour cela que des numéros SIREN, jamais un nom. D'une annonce, il ne garde que ce qu'il vous signale : sa nature, sa date et son adresse sur bodacc.fr.

• Votre société au registre : si votre dossier est une société sans numéro SIREN et que vous avez indiqué votre date d'ouverture, l'agent cherche dans l'annuaire des entreprises de l'État (la DINUM) une société récente à ce nom dans votre commune ; il n'envoie que le nom de la société, jamais un nom qui contient celui d'un fondateur, et le code de la commune. S'il en trouve une, il vous demande si c'est la vôtre : il ne la rattache à votre dossier que si vous le confirmez (dans l'identité, ou par « C'est ma société », avec dix minutes pour annuler). Une fois votre SIREN rattaché, il compare le registre national des entreprises (l'INPI) avec votre dossier — le capital, le code d'activité, le code postal du siège — en n'envoyant que ce numéro, et vous signale seulement les différences.

• La veille de votre convention collective : si votre dossier relève d'une convention collective et que votre plan prévoit des salariés, l'agent lit chaque jour au Journal officiel (Légifrance) les arrêtés qui rendent obligatoire un nouveau texte de cette convention sur les salaires. Il n'envoie pour cela que le numéro de la convention.

• La veille des marques : avant que votre société soit rattachée à son numéro SIREN, l'agent vérifie une fois auprès de l'INPI si le nom de votre projet est déjà déposé comme marque, puis regarde chaque semaine si une marque proche vient d'être publiée. Il envoie pour cela le nom de votre projet et la catégorie de produits de votre activité, et jamais un nom qui contient le prénom ou le nom d'un fondateur. La trace de la vérification est gardée avec votre dossier.

• La veille des nouveaux concurrents : si votre activité est locale ou régionale, l'agent lit chaque mois au répertoire Sirene de l'Insee les sociétés de votre métier créées le mois précédent dans votre département. Il n'envoie pour cela que le code d'activité et le département, et ne retient que des sociétés, jamais une entreprise individuelle.

• Pour trier ces deux dernières veilles, l'agent (le modèle d'Anthropic) lit le nom de votre projet, son activité et sa description, et le nom, l'activité et la commune de chaque marque ou société trouvée. Il ne garde que ce qui ressemble vraiment à votre projet ; son tri n'est jamais un avis juridique.

Données du Pitch Room

• Scripts de pitch générés par l'IA.

• Enregistrements vidéo et leurs sous-titres.

• Messages de contact laissés sur votre page publique (le nom, l'adresse e-mail et le message du visiteur).

• Événements d'audience anonymisés (vues de page, lectures vidéo).

Questionnaires d'enquête

Si vous publiez un questionnaire d'enquête de marché, il est hébergé par Tally, et les réponses des personnes interrogées nous reviennent pour alimenter votre étude.

Données techniques et de navigation

• Adresse IP, pour limiter le nombre de requêtes et protéger le Site.

• Rapports d'erreur (Sentry) : la page, le navigateur et l'erreur rencontrée. Pour une partie des erreurs, un enregistrement de la page où les textes sont masqués et les images bloquées.

• Événements d'usage (PostHog), envoyés par nos serveurs : les étapes que vous franchissez dans l'application, rattachées à l'identifiant de votre compte.

• Si vous l'acceptez dans le bandeau de consentement : la mesure d'audience de Plausible (sans cookie) et celle de PostHog dans votre navigateur (pages vues et, le cas échéant, un enregistrement de la session où les champs de saisie sont masqués).

Exécution du contrat (Art. 6.1.b)

• Création et gestion de votre compte utilisateur.

• Fourniture du service de création de business plan (saisie, calcul, export).

• Fonctionnement de l'assistant, dans l'application et, si vous liez votre compte, sur Telegram, y compris la lecture des fichiers et des messages vocaux que vous lui envoyez.

• Les signalements de l'agent dans l'application : ils font partie du service, et vous pouvez couper chaque famille de sujets dans les Paramètres, onglet « Votre associé ».

• Synchronisation de vos comptes bancaires et import de votre comptabilité, à votre demande.

• Génération de scripts de pitch, hébergement des pages publiques et transmission des messages de leurs visiteurs.

• Publication de vos questionnaires d'enquête et collecte de leurs réponses.

• Envoi d'e-mails de service (vérification de l'adresse, réinitialisation du mot de passe, invitations, partage d'un questionnaire).

Consentement (Art. 6.1.a)

• Mesure d'audience dans votre navigateur (Plausible, PostHog), si vous l'acceptez dans le bandeau.

• Rappels d'échéances par e-mail ou sur Telegram, et résumé mensuel sur Telegram : ils ne partent que si vous les activez pour un dossier dont vous êtes le propriétaire, et vous pouvez les couper à tout moment. Sur Telegram, les rappels d'échéances vont avec les alertes « Échéances et fiscal » de l'agent : un seul choix pour les deux.

• Les messages de l'agent sur Telegram : ils ne partent que pour les familles de sujets que vous avez activées, pour un dossier dont vous êtes le propriétaire, et vous pouvez les couper à tout moment (Paramètres, onglet « Votre associé », ou /notifications sur Telegram).

Intérêt légitime (Art. 6.1.f)

• Sécurité du Site, prévention de la fraude et des abus, limitation du nombre de requêtes.

• Suivi des erreurs et surveillance applicative (Sentry).

• Mesure de l'usage de l'application par nos serveurs, pour l'améliorer (PostHog).

• Recherche dans des données publiques (registres d'entreprises, données de marché et de territoire) à partir des informations de votre dossier.

Vous pouvez vous opposer à ces traitements (voir § 9).

Obligation légale (Art. 6.1.c)

• Conservation des données comptables et fiscales selon la législation en vigueur.

Hébergement et infrastructure

• Vercel (Vercel Inc., États-Unis) — hébergement de l'application : toutes les données échangées avec le Site passent par ses serveurs.

• Neon (Databricks, Inc., États-Unis) — base de données de l'application, hébergée dans l'Union européenne (Francfort, Allemagne).

• Upstash (Upstash, Inc., États-Unis) — cache et compteurs : les réponses des services externes, les limites de requêtes, l'état d'un échange en cours avec le bot Telegram et la clé de votre connexion bancaire.

• Cloudflare (Cloudflare, Inc., États-Unis) — stockage des fichiers : vos exports, vos vidéos de pitch, votre photo de profil, les fichiers FEC importés et les copies des données publiques citées.

• Inngest (Inngest Inc., États-Unis) — exécution des tâches en arrière-plan (calculs, rappels, échanges avec le bot Telegram) : il reçoit les données de chaque tâche, dont le texte des messages que vous envoyez au bot.

• Browserless (browserless.io, Inc., États-Unis) — mise en page des exports en PDF : il reçoit le contenu du document à produire.

Intelligence artificielle

• Anthropic (Anthropic Ireland, Limited) — le modèle principal de l'assistant, dans l'application et sur Telegram. Il rédige aussi les messages que l'agent vous envoie sur Telegram : il ne reçoit alors que les faits du signalement (des chiffres, des dates, des sources) et le titre de votre dossier, jamais un libellé bancaire ni l'identité d'un tiers. Il trie aussi ce que trouvent la veille des marques et celle des nouveaux concurrents : il reçoit alors le nom de votre projet, son activité et sa description, et le nom, l'activité et la commune de chaque marque ou société trouvée, jamais une entreprise individuelle. Données conservées aux États-Unis, et 30 jours au plus, sauf signalement au titre de sa politique d'usage ou obligation légale ; jamais utilisées pour entraîner ses modèles.

• Google (Gemini, Google Cloud France) — les propositions automatiques de votre dossier, le secours de l'assistant (et de la rédaction des messages de l'agent, avec les mêmes faits), l'import d'un CV ou d'un export LinkedIn, et la lecture des photos et des PDF envoyés au bot. Vos données ne servent pas à entraîner ses modèles.

• OpenAI (OpenAI Ireland Ltd) — le secours des propositions automatiques et de la lecture des documents (il reçoit alors le même contenu, fichier compris), la transcription des messages vocaux envoyés au bot et, si vous les activez, les réponses vocales. Vos données ne servent pas à entraîner ses modèles ; elles sont conservées 30 jours au plus pour la détection des abus, et un message vocal n'est pas conservé.

• Perplexity (Perplexity AI, Inc., États-Unis) — recherche documentée de marché et de concurrents, avec ses sources. Vos données ne servent pas à entraîner ses modèles.

• TinyFish (Tiny Fish, Inc., États-Unis) — recherche web de l'assistant et des propositions automatiques de votre dossier (marché et secteur, positionnement, clientèle, chiffre d'affaires et salaires), et lecture des pages dont vous donnez le lien ou que la recherche a trouvées. Seules lui sont envoyées des requêtes de recherche, formées à partir du secteur, de la commune ou d'une profession et après masquage des données personnelles, et l'adresse des pages à lire ; ni vos chiffres ni vos textes n'y sont joints. Ses conditions l'autorisent à utiliser ces requêtes pour entraîner ses modèles.

Banque

• Enable Banking (Enable Banking Oy, Finlande) — l'accès à vos comptes, si vous connectez une banque. Enable Banking est un prestataire de services d'information sur les comptes, enregistré auprès de l'autorité de surveillance financière finlandaise (FIN-FSA). Vous lui donnez votre consentement, auprès de votre banque, au moment de la connexion ; pour cet accès, il est lui aussi responsable de traitement, selon ses propres conditions. Il nous transmet vos comptes, vos soldes et vos opérations, et indique ne pas les conserver.

Messagerie et e-mail

• Telegram (Telegram Messenger Inc.) — si vous liez votre compte : les rappels, le résumé mensuel, les échanges avec l'assistant et les exports que vous demandez passent par Telegram. Telegram n'est pas notre sous-traitant : il traite ces messages en responsable de traitement distinct, selon sa propre politique de confidentialité. Une conversation avec un bot n'est pas chiffrée de bout en bout ; pour un compte ouvert depuis l'Union européenne, Telegram indique stocker les données aux Pays-Bas.

• Resend (Plus Five Five, Inc., États-Unis) — envoi des e-mails : vérification de l'adresse, mot de passe oublié, invitations, partage d'un questionnaire et, si vous les activez, rappels d'échéances.

Connexion

• Google, si vous vous connectez avec votre compte Google : Google Ireland Limited nous transmet votre identifiant, votre adresse e-mail et votre nom, en responsable de traitement distinct.

Observabilité et analyse

• Sentry (Functional Software, Inc., États-Unis) — suivi des erreurs. Les rapports d'erreur sont stockés dans l'Union européenne (Francfort, Allemagne) ; nous en retirons les cookies et les données personnelles que nous savons reconnaître.

• PostHog (PostHog, Inc., États-Unis) — analyse de l'usage, hébergée dans l'Union européenne (Francfort, Allemagne).

• Plausible (Plausible Insights OÜ, Estonie) — mesure d'audience sans cookie, hébergée dans l'Union européenne, si vous l'acceptez.

Données publiques et recherche

• Google (Google Maps Platform, Google Ads, Google Suggest et Google Trends) — la recherche des concurrents autour de votre implantation et des mots-clés de votre activité : il reçoit le secteur, la commune ou la position de l'implantation, et des mots-clés. Pour Google Maps Platform et Google Ads, Google agit en responsable de traitement distinct.

• Des administrations et organismes publics, dont nous interrogeons les données ouvertes à partir de votre dossier (le SIREN, le code d'activité, la commune ou l'adresse de l'implantation, le département, le numéro de la convention collective, et pour l'INPI le nom du projet) : l'Insee, l'INPI, la DILA (Légifrance, et le BODACC servi par Opendatasoft), France Travail, l'Urssaf, l'IGN, la Banque de France, le ministère de l'Économie, la DINUM (l'annuaire des entreprises et data.gouv.fr) et CMA France (le service aides-entreprises.fr).

• Tally (Tally BV, Belgique) — les questionnaires d'enquête de marché que vous publiez, et les réponses des personnes interrogées, hébergés en Europe.

Contenus chargés par votre navigateur

• Des services dont votre navigateur charge directement des images ou des cartes, et qui voient donc votre adresse IP : CARTO (CartoDB Inc., États-Unis, fonds de carte en mode sombre, notre sous-traitant, qui tronque l'adresse IP et garde ses journaux 30 jours), l'IGN (fonds de carte), Unsplash (Unsplash Inc., images d'illustration), DiceBear (Allemagne, avatars des personas, dessinés à partir du nom du persona) et unpkg (icônes de la carte, servies par le réseau de Cloudflare). Sur la page d'accueil, le diagnostic interroge depuis votre navigateur l'annuaire des entreprises, la liste des communes et le BODACC.

Aucune donnée personnelle n'est vendue ou cédée à des tiers à des fins commerciales.

Cookies strictement nécessaires (exemptés de consentement)

• Cookie de session d'authentification : permet de maintenir votre connexion.

• Cookie de votre choix sur la mesure d'audience : retient votre réponse au bandeau de consentement.

Ces cookies sont indispensables au fonctionnement du Site et ne peuvent pas être désactivés.

Votre choix entre le mode clair et le mode sombre est gardé dans le stockage local de votre navigateur, pas dans un cookie.

Mesure d'audience (sur votre accord)

Plausible Analytics : solution européenne de mesure d'audience qui ne dépose aucun cookie et ne suit pas les visiteurs d'un site à l'autre. Elle ne se charge que si vous acceptez la mesure d'audience dans le bandeau de consentement.

Analyse produit

PostHog : dans votre navigateur, seulement si vous acceptez la mesure d'audience ; il garde alors un identifiant dans le stockage local de votre navigateur, pas dans un cookie. Nos serveurs lui envoient aussi des événements d'usage (voir § 3).

Aucun cookie publicitaire ou de traçage tiers n'est utilisé sur le Site.