Dernière mise à jour : 3 novembre 2026
Cette politique s'adresse (1) aux utilisateurs de Devivox, pour lesquels Devivox est responsable de traitement, et (2) aux clients de ces utilisateurs, destinataires et signataires des devis, pour lesquels le professionnel qui leur adresse le devis est responsable de traitement et Devivox agit en qualité de sous-traitant (art. 28 du RGPD).
Le responsable du traitement des données personnelles collectées via Devivox est ALVARADO (entrepreneur individuel — micro-entreprise), 56 Impasse du Grézac, 34080 Montpellier, joignable à contact@devivox.fr.
| Catégorie de données | Finalité | Base légale |
|---|---|---|
| Identité et contact (nom, email, téléphone) | Création et gestion du compte utilisateur | Exécution du contrat |
| Informations professionnelles (SIREN/SIRET, adresse entreprise, RIB) | Génération des devis, conformité légale des documents émis | Exécution du contrat |
| Données vocales (enregistrements de dictée) | Transcription automatique en texte (via prestataire tiers) | Exécution du contrat |
| Données clients de l'utilisateur (saisies par lui) | Génération des devis pour le compte de l'utilisateur | Exécution du contrat — l'utilisateur agit en qualité de responsable de traitement pour ces données, Devivox agissant en sous-traitant |
| Données de paiement | Facturation de l'abonnement souscrit | Exécution du contrat (traitement délégué à Stripe) |
| Données de navigation et d'usage (via PostHog) | Amélioration du Service, mesure d'audience | Intérêt légitime / consentement selon configuration |
| Empreinte hachée de l'adresse IP (essai sans inscription) | Limiter le nombre d'essais par visiteur et par jour, prévenir les abus et les robots | Intérêt légitime (sécurité du Service et maîtrise des coûts) |
| Date, heure et adresse IP du signataire d'un devis (signature électronique) | Preuve de l'acceptation du devis | Intérêt légitime du professionnel (art. 6.1.f) — le professionnel émetteur est responsable de traitement ; Devivox agit en qualité de sous-traitant |
Précision sur les données vocales : Vos enregistrements vocaux sont transmis à notre prestataire de transcription (OpenAI) pour être convertis en texte. Ils sont conservés au plus 30 jours par le prestataire pour la surveillance des abus, puis supprimés, et jamais utilisés pour entraîner ses modèles. Devivox ne conserve aucun enregistrement.
Essai sans inscription : pour limiter les abus, nous comptons les essais par visiteur sans conserver son adresse IP. Nous ne stockons que l'empreinte hachée de l'adresse IP (HMAC-SHA256 calculé avec un secret et la date du jour : l'empreinte d'une même adresse change chaque jour et ne permet pas de suivre un visiteur dans le temps ; pour une adresse IPv6, seul le préfixe de réseau est pris en compte). Cette empreinte est supprimée au plus tard après 48 heures. Elle repose sur notre intérêt légitime à protéger le Service et à maîtriser ses coûts. Comme pour toute connexion à un site, l'adresse IP reste visible de notre hébergeur au niveau de l'infrastructure réseau et du service anti-robot décrit au §4. Pendant un essai, aucun devis ni aucun client n'est enregistré sur nos serveurs : le résultat est conservé uniquement dans votre navigateur (24 heures au maximum) et repris dans votre compte si vous vous inscrivez.
Signature électronique d'un devis : lorsque vous signez un devis envoyé par un professionnel utilisant Devivox, la date, l'heure et l'adresse IP de l'appareil utilisé sont enregistrées et inscrites sur le devis signé. Elles servent uniquement à prouver votre acceptation. Le professionnel émetteur est responsable de ce traitement ; Devivox le réalise pour son compte, en qualité de sous-traitant (art. 28 du RGPD). Base légale : l'intérêt légitime du professionnel à disposer d'une preuve de votre acceptation (art. 6.1.f du RGPD). Ces données sont conservées avec le devis signé, au plus 10 ans à compter de la signature, puis supprimées. Pour exercer vos droits, adressez-vous au professionnel émetteur ; vous pouvez aussi nous contacter via le formulaire de contact de Devivox.
Dans le cadre de la fourniture du Service, certaines données sont transmises aux sous-traitants suivants, chacun lié par un accord de traitement des données conforme à l'article 28 du RGPD :
Les données du Service — comptes, devis, factures, fichiers — sont hébergées au sein de l'Union européenne, à Francfort. Les traitements d'intelligence artificielle, de paiement et d'acheminement des courriers électroniques sont opérés par des prestataires situés aux États-Unis, dans les conditions détaillées à l'Annexe 1 des Conditions générales d'utilisation.
| Sous-traitant | Rôle | Localisation des données |
|---|---|---|
| Supabase (infrastructure AWS) | Hébergement base de données, authentification, stockage fichiers | Union européenne (Francfort) |
| Vercel Inc. | Hébergement applicatif | Données hébergées à Francfort (UE). Vercel Inc. est une société américaine : transfert encadré par le EU-US Data Privacy Framework (certification de Vercel) et, à titre complémentaire, par les clauses contractuelles types |
| OpenAI (Whisper) | Transcription vocale | États-Unis — transferts hors UE encadrés par les Clauses Contractuelles Types |
| Anthropic (Claude) | Traitement et structuration du contenu des devis par IA | États-Unis — transferts hors UE encadrés par les Clauses Contractuelles Types |
| Resend | Envoi d'emails transactionnels | États-Unis — DPA signé intégrant les Clauses Contractuelles Types (SCC) de la Commission européenne (réf. : resend.com/legal/dpa) |
| Stripe | Traitement des paiements | Union européenne / États-Unis — certifié PCI-DSS, CCT en place |
| PostHog (instance EU) | Mesure d'audience et analytics | Union européenne |
| Cloudflare, Inc. (Turnstile) | Protection anti-robot de la page d'essai sans inscription (vérification que le visiteur est un humain) | États-Unis — transferts hors UE encadrés par les Clauses Contractuelles Types |
Vos enregistrements vocaux sont transmis à notre prestataire de transcription (OpenAI) pour être convertis en texte. Ils sont conservés au plus 30 jours par le prestataire pour la surveillance des abus, puis supprimés, et jamais utilisés pour entraîner ses modèles. Devivox ne conserve aucun enregistrement. Les données transmises au service de structuration automatisée sont supprimées dans un délai de trente jours. Aucune de ces données n'est utilisée pour entraîner les modèles d'intelligence artificielle des prestataires concernés.
Conformément au RGPD et à la loi Informatique et Libertés, toute personne dispose d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de ses données, ainsi que du droit de définir des directives relatives à leur sort après son décès.
Ces droits s'exercent par email à contact@devivox.fr ou depuis l'espace personnel du compte pour les actions disponibles en libre-service (export, suppression de compte).
Toute personne dispose également du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) — www.cnil.fr.
L'éditeur met en œuvre les mesures techniques et organisationnelles appropriées pour assurer la sécurité des données, notamment :
Le Site utilise trois catégories de traceurs :
Dès votre première visite d'une page qui charge la mesure d'audience (application connectée ou page d'essai sans inscription), une bannière vous propose d'accepter ou de refuser ces statistiques. Vous pouvez modifier votre choix à tout moment depuis la section Préférences de votre compte (rubrique « Autoriser les statistiques d'usage anonymisées »). En cas de refus ou d'absence de choix, aucune donnée de navigation n'est collectée. Les pages publiques du site, y compris la page d'essai sans inscription, ne déposent aucun traceur de mesure d'audience tant que vous n'avez pas donné votre accord.
Pour toute question relative à la présente politique ou à l'exercice de vos droits : contact@devivox.fr