EN · NL · UK · PL · DE · FR · ES · TR · AR · RO · IT

Politique de confidentialité

En vigueur : 23 avril 2026 · Version 1.4 · Dernière mise à jour : 25 octobre 2026 (sections 14 et 15 ajoutées, puis sections 5, 6, 14 et 15 mises à jour) · AstraNL.com

En termes simples : nous collectons le minimum de données nécessaire au fonctionnement d'AstraNL. Nous ne vendons pas vos données. Vous pouvez tout supprimer à tout moment. Cette page explique exactement ce qu'il advient de vos informations.

1. Qui sommes-nous

AstraNL (enregistré sous le nom AstraNL ZZP, KvK 88449335, BTW NL004604224B69). Infrastructure de coordination opérant depuis les Pays-Bas. Contact : hello@astranl.com.

Cette politique s'applique à astranl.com et à tous ses sous-domaines.

2. Les données personnelles que nous collectons

Catégorie	Données	Quand
Compte	E-mail, nom affiché, URL de l'avatar, langue préférée	Lors de la connexion
Identité OAuth	Identifiant du fournisseur (Google/GitHub/Telegram), statut de vérification de l'e-mail	Lors de l'utilisation d'OAuth
Contenu	Messages du forum, questions, réponses, messages de chat que vous envoyez	Lorsque vous publiez
Technique	IP hachée (SHA-256), résumé du user-agent, préférence de langue	À chaque requête
Cookies	`astra_lang` (langue), `astra_session` (état de connexion)	À la première visite / à la connexion

Les adresses IP brutes ne sont jamais enregistrées. Elles sont hachées en SHA-256 avant toute écriture en base de données. Les journaux Nginx anonymisent les adresses IP au réseau /24 (par ex. 93.158.90.70 → 93.158.90.0) conformément à l'avis 4/2007 du groupe de travail « Article 29 ».

3. Pourquoi nous traitons vos données (bases juridiques, art. 6 RGPD)

Contrat (art. 6(1)(b)) — pour fournir le service de coordination demandé (compte, publication, mise en relation).
Intérêt légitime (art. 6(1)(f)) — prévention de la fraude (IP hachées), observation du service (brain events).
Obligation légale (art. 6(1)(c)) — comptabilité ZZP néerlandaise (7 ans pour les documents financiers), obligations fiscales.
Consentement (art. 6(1)(a)) — actuellement non utilisé, car nous n'utilisons pas de cookies d'analyse ou de marketing.

4. Durée de conservation

Journaux du serveur (IP anonymisées) : 30 jours, puis suppression automatique.
Données du compte : jusqu'à la suppression de votre compte.
Contenu du forum : jusqu'à ce que vous le supprimiez (ou demandiez l'effacement).
Messages de chat : 30 jours en stockage actif, puis archive compressée accessible à vous seul.
Documents financiers (factures, preuves de paiement) : 7 ans selon le droit néerlandais (BW 2:10).
Brain events (observation) : le champ acteur ne contient que des identifiants hachés, supprimés après 90 jours.

5. Où se trouvent vos données

Toutes les données personnelles sont stockées sur des serveurs à Amsterdam, Pays-Bas (centre de données DigitalOcean AMS3). Les sauvegardes sont chiffrées au repos. Certains sous-traitants de la section 6 sont situés hors de l’UE ; lorsqu’ils traitent vos données, celles-ci sont transférées hors de l’UE. Ces transferts et la garantie de chacun sont indiqués ci-dessous.

Groq (États-Unis): transcription de la parole en texte pour la saisie vocale et les devis vidéo (section 15). Garantie : en cours de mise en place (clauses contractuelles types de l’UE dans un accord de traitement des données).
Anthropic (États-Unis): modèle d’IA pour les questions, les documents et les étapes de devis. Garantie : en cours de mise en place (clauses contractuelles types de l’UE dans un accord de traitement des données).
OpenAI (États-Unis): vérification des devis. Garantie : en cours de mise en place (clauses contractuelles types de l’UE dans un accord de traitement des données).
xAI (États-Unis): seconde vérification des devis. Garantie : en cours de mise en place (clauses contractuelles types de l’UE dans un accord de traitement des données).
Google (États-Unis): connexion avec Google et modèle de recherche Gemini. Garantie : certifié au titre du EU-U.S. Data Privacy Framework (cadre de protection des données UE–États-Unis).
Stripe (États-Unis): paiements, lorsque vous payez. Garantie : certifié au titre du EU-U.S. Data Privacy Framework (cadre de protection des données UE–États-Unis).
GitHub (États-Unis): connexion avec GitHub, si vous l’utilisez. Garantie : certifié au titre du EU-U.S. Data Privacy Framework (cadre de protection des données UE–États-Unis).
DigitalOcean (États-Unis): hébergement ; vos données restent stockées à Amsterdam. Garantie : certifié au titre du EU-U.S. Data Privacy Framework (cadre de protection des données UE–États-Unis).

Tant que les garanties en cours de mise en place ne sont pas prêtes, ces fournisseurs ne reçoivent que les données minimales dont ils ont besoin. AstraNL n’envoie pas le texte que vous donnez à Astra à un fournisseur d’IA en Chine.

6. Les tiers auxquels nous faisons appel

Sous-traitant	Finalité	Données partagées
DigitalOcean	Hébergement des serveurs (Amsterdam)	Toutes les données, chiffrées au repos
Stripe	Traitement des paiements	E-mail, informations de paiement (lorsque vous payez)
Brevo (anciennement Sendinblue)	E-mails transactionnels (liens magiques)	Adresse e-mail uniquement
Google	Connexion OAuth (si vous l'utilisez)	Nom, e-mail, avatar (ensemble minimal)
GitHub	Connexion OAuth (si vous l'utilisez)	Nom, e-mail, avatar (ensemble minimal)
Telegram	Notifications d'administration uniquement	Aucune de vos données
Groq	Transcription de la parole en texte (section 15)	Audio de la saisie vocale et des devis vidéo
Mistral AI	Modèle de langage d’IA (France)	Texte que vous écrivez ou dites à l’assistant, calculateurs et étapes de devis
Anthropic	Modèle d’IA	Questions au Vraagbaak, documents que vous envoyez pour lecture (par exemple des factures), étapes de devis
OpenAI	Vérification des devis	Dossiers de devis
xAI	Seconde vérification des devis	Dossiers de devis
Google (Gemini)	Recherche sur le site	Les mots que vous saisissez dans la recherche

Des accords de traitement des données (DPA) avec les sous-traitants cités ici sont en cours de mise en place. Les sous-traitants sont : DigitalOcean (hébergement), Stripe (paiements), Brevo (e-mail), Google (connexion et modèle de recherche Gemini), GitHub (connexion), Groq (transcription de la parole en texte), Mistral AI (modèle de langage d’IA) ainsi qu’Anthropic, OpenAI et xAI (modèles d’IA pour les questions, les documents et la vérification des devis). En attendant ces accords, nous n’envoyons à chaque sous-traitant que les données minimales nécessaires à sa tâche.

7. Vos droits (RGPD, chapitre III)

À tout moment, vous pouvez :

Accès — demander une copie de toutes vos données (art. 15)
Rectification — corriger des informations inexactes (art. 16)
Effacement — supprimer votre compte et votre contenu (art. 17, « droit à l'oubli »)
Limitation — suspendre le traitement pendant la résolution d'un litige (art. 18)
Portabilité — recevoir vos données au format JSON (art. 20)
Opposition — refuser un traitement fondé sur l'intérêt légitime (art. 21)
Réclamation — auprès de l'Autoriteit Persoonsgegevens (autorité néerlandaise de protection des données)

Pour exercer ces droits : écrivez à hello@astranl.com en précisant votre demande. Nous répondons dans un délai de 30 jours (art. 12(3) RGPD). Vous pouvez aussi utiliser les points d'accès en libre-service :

GET /api/user/export — export immédiat des données (connexion requise)
POST /api/user/delete — suppression du compte et anonymisation du contenu

8. Cookies

Nous n'utilisons que des cookies strictement nécessaires, qui ne requièrent pas de consentement selon la directive ePrivacy :

astra_lang (1 an) — mémorise la langue de l'interface
astra_session (30 jours, utilisateurs connectés uniquement) — vous garde connecté

Nous n'utilisons PAS : Google Analytics, Facebook Pixel, traceurs publicitaires, enregistrement de session, cartes de chaleur ni aucun outil d'analyse tiers. Si cela change, nous ajouterons au préalable une véritable bannière de consentement.

9. Enfants

AstraNL n'est pas destiné aux personnes de moins de 16 ans. Nous ne collectons pas sciemment de données d'enfants. Si vous pensez que nous avons collecté par inadvertance les données d'un enfant, contactez-nous immédiatement et nous les supprimerons.

10. Sécurité

TLS 1.3 pour toutes les connexions (certificats Let's Encrypt, renouvelés automatiquement)
Hachage équivalent à Bcrypt/Argon2 pour les jetons de session
Hachage SHA-256 des adresses IP avant stockage
Base de données chiffrée au repos (chiffrement de volume DigitalOcean)
Secrets stockés dans des fichiers en mode 600, propriété de root
Mises à jour de sécurité automatiques (unattended-upgrades) sous Ubuntu
Toutes les clés d'API renouvelées tous les 90 jours

11. Notification des violations

Dans le cas peu probable d'une violation de données personnelles présentant un risque pour vos droits, nous la notifierons à l'Autoriteit Persoonsgegevens dans les 72 heures et informerons directement les utilisateurs concernés, conformément aux articles 33 et 34 du RGPD.

12. Modifications de cette politique

Nous vous informerons des modifications importantes par e-mail (si vous avez un compte) ou par un bandeau sur le site au moins 30 jours avant leur entrée en vigueur. L'historique complet des versions est conservé dans notre dépôt public.

13. Contacter le délégué à la protection des données

Pour toute question de confidentialité :
E-mail : hello@astranl.com
Courrier : AstraNL ZZP, Pays-Bas — adresse communiquée sur demande
Autorité de contrôle : Autoriteit Persoonsgegevens

14. Devis de livraison mesurés pour les projets

En termes simples : pour un projet réel, une fois que l'administrateur du projet a saisi l'adresse du chantier et le destinataire de la livraison, AstraNL peut demander à un fournisseur de matériaux de construction combien coûtera la livraison et quand elle peut avoir lieu. Pour obtenir cette réponse, nous envoyons au fournisseur la rue, la ville et le nom de famille du destinataire. Nous ouvrons une commande en ligne uniquement pour lire les options de livraison. Nous ne la finalisons jamais : rien n'est commandé ni payé.

Sujet	Détails
Quelles données	Rue et numéro, ville, code postal et pays (NL) du chantier, et nom de famille du destinataire, tels que saisis pour la livraison par l'administrateur du projet ; ainsi que les articles et quantités prévus. Jamais envoyés : prénom, ligne d'adresse supplémentaire, adresse e-mail, numéro de téléphone ou données de paiement.
Quand	Uniquement pour un projet réel, pas pour une estimation rapide ni un test. Uniquement si le propriétaire ou un administrateur désigné du projet (jamais un agent IA) a saisi l'adresse du chantier et le destinataire dans une liste d'achats, avec le même code postal que le chantier, aux Pays-Bas. Dans tous les autres cas, seuls le code postal et le pays sont envoyés.
Comment	AstraNL crée une commande dans la boutique en ligne du fournisseur uniquement pour lire les options, coûts et dates de livraison. La commande n'est jamais finalisée, modifiée ni payée. Au maximum 3 commandes de ce type par fournisseur et par jour, et une par envoi prévu.
Finalité	Préparation de la commande : un prix et une date de livraison exacts pour la commande que prépare le projet. Ce sont les mêmes données que celles que contiendra la commande elle-même.
Base juridique	Art. 6(1)(b) RGPD : mesures de préparation de la commande (contrat) du projet.
Destinataires	Catégorie : fournisseurs de matériaux de construction dont la boutique en ligne le permet. Destinataires possibles aujourd'hui : Bouwmaat, Hubo, Houtdirect et Isolatie Online. Leurs boutiques en ligne fonctionnent sur Shopify. Le fournisseur traite les données selon sa propre politique de confidentialité. De notre côté : DigitalOcean (hébergement, Amsterdam).
Conservation	AstraNL ne conserve pas la rue, la ville ni le nom de famille pour la mesure : ils sont lus dans la liste d'achats du projet au moment de l'envoi et envoyés une seule fois. Nous gardons seulement une indication du cas appliqué (adresse complète du chantier ou code postal seul). L'enregistrement de mesure (référence du projet, code postal du chantier, articles, résultat, options de livraison lues et une référence de commande abrégée) est supprimé automatiquement 30 jours après sa création. L'adresse reste dans la liste d'achats du projet, où elle a été saisie pour la commande. La commande non finalisée reste dans le système du fournisseur, selon sa politique de confidentialité.
Vos droits	Les droits de la section 7 s'appliquent. Pour les données détenues par le fournisseur, vous pouvez aussi contacter le fournisseur. Si aucune adresse de chantier ni aucun destinataire ne sont saisis, seul le code postal est envoyé.

15. Saisie vocale et l'assistant Astra

En termes simples : Astra, le bouton d'assistant sur nos pages, est un assistant IA : ses réponses sont produites automatiquement par un logiciel, en partie par des modèles d'IA d'autres entreprises. Vous pouvez toujours écrire au lieu de parler, et vous pouvez toujours joindre une personne (voir 15.3).

15.1 Comment la parole est transformée en texte

D'abord la reconnaissance vocale de votre navigateur. Lorsque vous maintenez le bouton du micro, Astra utilise d'abord la reconnaissance vocale intégrée à votre navigateur. AstraNL ne reçoit pas cet audio, seulement le texte obtenu. Dans Google Chrome, cette reconnaissance envoie normalement votre audio à Google ; d'autres navigateurs peuvent l'envoyer à leur propre éditeur. L'éditeur du navigateur le fait selon ses propres conditions de confidentialité.
Sinon, transcription par AstraNL. Si votre navigateur n'a pas de reconnaissance vocale ou si elle échoue, votre navigateur enregistre l'audio et l'envoie à notre serveur. Nous l'envoyons à Groq (modèle Whisper) pour le transformer en texte. Si Groq n'est pas disponible, la transcription se fait sur notre propre serveur à Amsterdam.
Vidéos pour une estimation. Si vous envoyez une vidéo pour une estimation, son son est également transcrit par Groq.
Les notes vocales de projet du tableau de bord sont transcrites uniquement sur notre propre serveur et ne sont jamais envoyées à un service externe.

15.2 Ce que nous traitons, pourquoi et combien de temps

Données	Ce qui se passe et pendant combien de temps
Audio pour Astra	Non conservé. Il n'est gardé en mémoire que pendant la transcription ; le fichier temporaire de la solution locale de secours est supprimé juste après. Le journal de transcription ne contient que l'heure, la durée, la langue détectée et le nombre de caractères, pas vos paroles.
Texte de votre question (écrite ou dite)	Traité par l'assistant sur notre serveur. Pour le comprendre, il peut être envoyé à un modèle d'IA de Mistral AI (France). Si Mistral n'est pas disponible, Astra vous dit qu'il ne peut pas répondre maintenant et vous propose de contacter une personne (15.3) ; votre texte n'est alors envoyé à aucun autre fournisseur d'IA. Notre propre serveur répond à certaines questions sans modèle externe.
Conversation sur un travail que vous souhaitez faire réaliser	Conservée jusqu'à 7 jours dans la base de données de l'assistant, puis supprimée automatiquement. Lorsque vous avez donné tous les détails, la demande est enregistrée comme demande de travaux avec les coordonnées fournies, afin de pouvoir être traitée. Une demande de travaux est supprimée automatiquement après 30 jours, sauf si un projet ou une commande qui en est issu en a encore besoin.
Copie d'apprentissage	Aucune. Depuis le 25 octobre 2026, AstraNL ne garde aucune copie de vos questions ni des réponses pour entraîner ou améliorer ses propres systèmes. Les copies antérieures à cette date ont été supprimées le 25 octobre 2026 ; la seule copie de sauvegarde protégée faite par sécurité pendant cette suppression sera également supprimée.
Vidéo pour une estimation	Conservée avec votre demande de devis dans un dossier privé sur notre serveur. La vidéo, son son et les images fixes qui en sont tirées sont supprimés automatiquement après 30 jours. La transcription est supprimée automatiquement après 90 jours, sauf si votre dossier de devis est encore actif (par exemple encore en cours de traitement ou lié à un projet).
Note vocale de projet	L'enregistrement et sa transcription sont conservés sur notre serveur comme pièce justificative du projet.
Cookie `as2_ik`	Identifiant aléatoire, 2 heures, envoyé uniquement à l'assistant, pour qu'une conversation en cours reste groupée.

Finalité : comprendre votre question, y répondre et traiter votre demande ; la transcription transforme votre demande orale en texte.
Base juridique : art. 6(1)(b) RGPD : la transcription et le traitement de votre demande sont des mesures que vous demandez, avant ou dans le cadre d'un contrat. La reconnaissance vocale de votre navigateur est effectuée par l'éditeur du navigateur selon ses propres conditions.
Destinataires : fournisseur de transcription vocale : Groq, Inc. (États-Unis) ; fournisseur du modèle de langage d'IA : Mistral AI (France) ; hébergement : DigitalOcean (Amsterdam). Non pas via AstraNL mais via votre navigateur : l'éditeur du navigateur, par exemple Google dans Chrome. Groq est une entreprise hors de l'UE ; l'audio qui lui est envoyé peut donc être traité hors de l'UE. AstraNL n'envoie pas vos questions à des fournisseurs d'IA en Chine.

15.3 IA et accès à une personne

Astra est un assistant IA. Ses réponses sont générées automatiquement et peuvent être erronées ; vérifiez les prix et les faits avant de vous y fier.
Astra ne prend aucune décision vous concernant. Astra répond, affiche des liens et peut enregistrer une demande de travaux. Astra n'approuve, ne commande et ne paie rien.
Accès à une personne : écrivez à hello@astranl.com. Les questions envoyées à cette adresse sont transmises à une personne.
Si le modèle d'IA ne peut pas répondre, Astra vous le dit poliment dans votre langue et vous oriente vers hello@astranl.com.

15.4 Comment éviter la voix

Écrivez votre question dans le champ de texte de la fenêtre Astra au lieu d'appuyer sur le micro. Le texte écrit est traité comme décrit au point 15.2 ; aucun audio n'est traité.
Pour une estimation, décrivez les travaux par écrit au lieu d'envoyer une vidéo.
Vous pouvez bloquer l'accès au micro pour astranl.com dans les paramètres de votre navigateur ; tout continue de fonctionner par écrit.
Astra lit une réponse à voix haute avec la voix intégrée de votre navigateur uniquement après une question orale. Selon le navigateur, cette voix peut utiliser un service en ligne de l'éditeur du navigateur.

15.5 Vos droits

Les droits de la section 7 s'appliquent : accès, rectification, effacement, limitation, opposition, portabilité et réclamation auprès de l'Autoriteit Persoonsgegevens. Comme AstraNL ne conserve pas l'audio d'Astra, il n'existe aucun enregistrement que nous pourrions vous remettre. Pour l'audio traité par la reconnaissance vocale de votre navigateur, contactez l'éditeur du navigateur (par exemple Google).