Politique de confidentialité de Marceau

Version du 8 novembre 2026.

Article 1 – Objet

1.1. La présente politique informe les personnes concernées des traitements de données personnelles dont la société MARCEAU est responsable, conformément aux articles 13 et 14 du règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 (« loi Informatique et Libertés »). Les personnes concernées sont :

• les visiteurs du site hellomarceau.fr ;
• les personnes qui écrivent à MARCEAU ;
• les professionnels qui s'inscrivent ou s'abonnent au service Marceau (les « Artisans »), ainsi que les représentants et utilisateurs de leur entreprise.

1.2. Elle ne régit pas les données des clients des Artisans. Pour ces données, l'Artisan est responsable de traitement et MARCEAU agit en qualité de sous-traitant, dans les conditions du contrat de sous-traitance annexé aux conditions générales de vente (article 3 ci-dessous).

Article 2 – Responsable de traitement et contact

MARCEAU, société par actions simplifiée à associé unique (SASU), au capital de 1 000 euros, dont le siège social est situé 471 chemin de Montperet, 38410 Vaulnaveys-le-Haut, immatriculée au RCS de Grenoble sous le numéro 912 996 709, représentée par son président, M. Jérémy Bourgeois.

Pour toute question relative aux données personnelles ou pour exercer vos droits : contact@hellomarceau.fr.

MARCEAU n'a pas désigné de délégué à la protection des données. Au regard des critères de l'article 37 du RGPD, ses activités de base ne consistent ni en un suivi régulier et systématique à grande échelle des personnes, ni en un traitement à grande échelle de données sensibles.

Article 3 – Les deux qualités de MARCEAU

3.1. Responsable de traitement. MARCEAU agit comme responsable de traitement pour ses relations commerciales, les comptes et abonnements, sa facturation et la sécurité de ses propres services, ainsi que pour le site et les échanges avec les visiteurs. La présente politique s'y applique.

3.2. Sous-traitant. Lorsqu'elle traite les contenus d'un Espace pour fournir le Service ou assister l'Artisan, MARCEAU agit pour le compte de celui-ci, conformément au contrat de sous-traitance. Ces contenus comprennent notamment l'identité, les coordonnées, l'adresse du chantier, les notes et photographies des clients de l'Artisan. La qualification dépend de la finalité du traitement. Une personne dont les données figurent dans un devis préparé par un Artisan exerce ses droits auprès de cet Artisan (article 10.5).

Article 4 – Traitements réalisés par MARCEAU en qualité de responsable

Bases légales. Lorsque la personne concernée est personnellement partie au contrat, les opérations strictement nécessaires à son exécution reposent sur cette base. Pour les représentants et utilisateurs d'une société cliente, les données professionnelles nécessaires reposent sur l'intérêt légitime de MARCEAU à gérer la relation et les accès, sous réserve des droits des personnes. La facturation et la conservation légale reposent sur les obligations légales applicables ; la sécurité et la preuve reposent sur l'intérêt légitime, dans la mesure nécessaire. Les tableaux ci-dessous indiquent une base par finalité.

4.1. Visite du site hellomarceau.fr

Le site ne dépose aucun cookie sans votre accord et n'utilise aucun outil de publicité. Avec votre accord seulement, il mesure sa fréquentation avec Google Analytics : pages consultées, site ou campagne d'origine, type d'appareil et de navigateur, ville approximative, identifiant aléatoire du cookie. Finalité : connaître la fréquentation du site pour l'améliorer. Base légale : votre consentement, retirable à tout moment par le lien « Cookies » en bas de chaque page. Durée : celle réglée dans Google Analytics pour ces statistiques, quatorze (14) mois au plus (article 11).

4.2. Formulaire de contact et liste d'attente

4.3. Inscription, compte et Espace de l'Artisan

4.4. Abonnement, paiement et facturation

4.5. Usage, sécurité et assistance

Article 5 – Ce que reçoit l'intelligence artificielle

5.1. Pour préparer un devis ou une facture, Marceau transmet au prestataire d'intelligence artificielle OpenAI, dont le contractant désigné par ses conditions publiques pour un client établi dans l'Espace économique européen est OpenAI Ireland Ltd. :

• la note de l'Artisan ;
• les photographies, plans et documents qui y sont joints ;
• les éléments utiles du dossier.

Lorsque l'Artisan parle avec Marceau ou qu'un enregistrement est transcrit, sa voix transite également par OpenAI. Lors d'une conversation vocale, Marceau ouvre la session auprès d'OpenAI. Le flux audio circule ensuite directement entre le navigateur ou l'application de l'Artisan et OpenAI. Sur la voie GPT-Live, Marceau joint à la session un identifiant technique pseudonyme (une empreinte), et non le nom de l'Artisan ; sur la voie Realtime, aucun identifiant de ce type n'est joint. Des traitements peuvent avoir lieu aux États-Unis, selon les garanties décrites à l'article 6.2.

5.2. Conservation. MARCEAU recourt au prestataire OpenAI pour les opérations décrites à l'article 6.2 et demeure responsable de sa sélection, de sa configuration et du suivi de ses obligations. Le paramètre store: false est transmis pour la rédaction, la lecture des photographies et documents, l'assistance « M » et la voie vocale GPT-Live. Aucun paramètre équivalent n'est transmis pour la transcription audio ni pour la voie vocale Realtime. Ce paramètre limite certains stockages applicatifs ; il ne garantit pas l'absence de conservation pour la sécurité ou la prévention des abus. Les photographies et documents sont joints à la requête ; l'interface de fichiers d'OpenAI n'est pas utilisée. Les conditions publiques d'OpenAI ne fixent pas de durée par opération et laissent ces réglages à la charge de son client (accord de traitement, art. 3.3). Selon sa documentation publique, qui n'est pas un engagement contractuel, les journaux anti-abus sont conservés jusqu'à trente (30) jours, ou davantage si la loi ou la protection des services l'exige, sauf pour la transcription audio. MARCEAU ne revendique aucune option de conservation particulière. À la fin du contrat entre MARCEAU et OpenAI, celui-ci supprime les contenus sous trente (30) jours, sauf obligation légale, et peut conserver plus longtemps les contenus contraires à ses règles (Services Agreement, art. 11.3).

5.3. Pas d'entraînement. Les conditions publiques d'OpenAI lui interdisent d'utiliser les contenus pour développer ou améliorer ses services sans l'accord explicite de son client. Elles lui permettent de les utiliser pour fournir le service, respecter la loi, faire respecter ses règles et prévenir les abus (Services Agreement, art. 4.2). MARCEAU n'active aucune option autorisant l'utilisation des données pour entraîner les modèles du prestataire : les trois options de partage de son compte étaient désactivées au 4 novembre 2026. MARCEAU n'utilise pas non plus ces données pour entraîner un modèle, ni pour améliorer le service rendu à d'autres Artisans.

5.4. L'assistance « M » ne voit que le nom de l'écran ouvert, jamais son contenu. Pour rédiger sa réponse, elle peut transmettre la question à OpenAI. Il est demandé de n'y écrire ni données personnelles, ni mot de passe, ni clé.

5.5. Case de création du compte et information avant l'échange. À la création du compte, sur le site comme dans l'application, l'Artisan coche une case unique, décochée par défaut : « J'accepte les conditions générales et la politique de confidentialité, dont l'envoi de mes données à OpenAI. » Sans cette case, le compte n'est pas créé.

Pour la présente politique, cette case atteste que l'Artisan en a pris connaissance et autorise la transmission à OpenAI décrite au présent article. Elle ne constitue ni la base légale des traitements de l'article 4, ni le consentement des clients de l'Artisan, ni un mécanisme de transfert international.

L'assistant vocal et l'assistance « M » sont des intelligences artificielles, dont les réponses peuvent contenir des erreurs. Un message dans l'interface est à venir.

5.6. Aucune décision automatisée. Marceau prépare des brouillons. Aucune décision produisant des effets juridiques à l'égard d'une personne, ou l'affectant de manière significative, n'est prise sur le seul fondement d'un traitement automatisé (art. 22 RGPD). L'Artisan relit, corrige et décide.

Article 6 – Destinataires et sous-traitants

6.1. Au sein de MARCEAU, les accès sont réservés aux personnes individuellement habilitées exerçant des fonctions d'administration technique ou d'assistance, dans la stricte mesure nécessaire. Le dirigeant de MARCEAU est lié par un engagement écrit de confidentialité ; toute personne habilitée y est tenue. L'accès aux contenus d'un Espace pour aider l'Artisan suppose son accord explicite et écrit, valable quarante-huit (48) heures au plus (contrat de sous-traitance, article 4 bis).

6.2. Sous-traitants de MARCEAU :

L'accord de traitement d'OpenAI est public. Toute demande relative aux garanties de transfert peut être adressée à contact@hellomarceau.fr : MARCEAU transmet les éléments dont il dispose.

6.3. Prestataires de paiement. Les prestataires de paiement (Stripe pour le site, Apple pour l'application iPhone et Google si une application Android est proposée) traitent certaines données pour leurs propres finalités, notamment leurs obligations légales et la lutte contre la fraude, et peuvent traiter d'autres données pour le compte de MARCEAU. Les rôles et garanties sont précisés selon les services et contrats effectivement utilisés. MARCEAU ne reçoit pas les numéros complets des cartes bancaires.

6.4. Services choisis par l'Artisan. Les données sont transmises aux services suivants uniquement à la demande de l'Artisan :

• son logiciel de devis ou de facturation (Sellsy, Axonaut, Pennylane, Abby, Henrri ou autre) ;
• ses comptes fournisseurs.

Ces services sont des destinataires que l'Artisan désigne ; leur qualification dépend de leurs traitements et du contrat qu'il a conclu avec eux. Les sites fournisseurs ne reçoivent aucune donnée des clients de l'Artisan.

6.5. Service public. L'API « Recherche d'entreprises » de l'État peut être interrogée avec un nom d'entreprise ou un numéro SIREN, afin de pré-remplir une fiche.

6.6. Autorités. Les données peuvent être communiquées aux autorités habilitées, sur réquisition légale.

6.7. MARCEAU ne vend, ne loue ni ne cède aucune donnée personnelle.

Article 7 – Hébergement et séparation des Espaces

7.1. Le Service est hébergé chez Infomaniak, à Genève (Suisse). La Commission européenne reconnaît que la Suisse assure un niveau de protection adéquat.

7.2. Les Espaces utilisent une infrastructure et une application partagées. Les données de chaque Artisan sont rangées dans un dossier qui lui est propre ; ses secrets (identifiants fournisseurs, connexions aux logiciels) sont placés dans un coffre chiffré avec une clé propre à son Espace. Des tests automatisés vérifient qu'un Espace ne peut pas accéder aux données d'un autre. L'accès à un Espace n'autorise pas l'accès aux données d'un autre Artisan. Le détail figure dans les mesures de sécurité du contrat de sous-traitance.

Article 8 – Sécurité

8.1. MARCEAU met en œuvre des mesures techniques et organisationnelles appropriées au risque (art. 32 RGPD). Ces mesures sont notamment les suivantes :

• connexions chiffrées (HTTPS) ;
• mots de passe hachés ;
• second facteur facultatif ;
• limitation des tentatives de connexion ;
• sessions signées à durée limitée ;
• protection contre la falsification de requêtes ;
• secrets de chaque Espace chiffrés avec une clé propre à l'Espace ;
• séparation des Espaces vérifiée par des tests automatisés ;
• accès d'assistance soumis à l'accord explicite et écrit de l'Artisan ;
• sauvegardes quotidiennes chiffrées hors du serveur ;
• purge automatique des éléments échus ;
• expurgation des signalements.

8.2. Aucune mesure n'offre une sécurité absolue. Les données métier des Espaces ne sont pas chiffrées individuellement sur le disque du serveur. MARCEAU fait évoluer ses mesures à mesure que le Service grandit.

Article 9 – Durées de conservation

Les données supprimées des systèmes actifs peuvent subsister dans des sauvegardes isolées, chiffrées et à accès restreint jusqu'à leur rotation. Elles servent exclusivement à la restauration après incident. MARCEAU veille à ne pas remettre en service des données dont l'effacement a été demandé.

La conservation de la preuve et des pièces comptables ne s'étend ni aux notes, ni aux photographies, ni aux conversations.

Article 10 – Vos droits

10.1. Selon les conditions prévues par le RGPD, vous disposez des droits suivants sur vos données :

• accès ;
• rectification ;
• effacement ;
• limitation ;
• opposition aux traitements fondés sur l'intérêt légitime ;
• portabilité, pour les données que vous avez fournies et qui sont traitées automatiquement sur le fondement du consentement ou d'un contrat.

Vous pouvez retirer à tout moment votre consentement lorsqu'il fonde le traitement ; ce retrait ne remet pas en cause la licéité du traitement antérieur. Vous pouvez aussi définir des directives relatives au sort de vos données après votre décès (art. 7 §3, 12 §3 et 15 à 22 RGPD ).

10.2. Vous exercez ces droits par courriel à contact@hellomarceau.fr. Une réponse vous est apportée dans un délai d'un mois. Ce délai peut être prolongé de deux mois pour une demande complexe ou nombreuse ; toute prolongation est annoncée et motivée dans le premier mois. Une justification d'identité n'est demandée qu'en cas de doute raisonnable.

10.3. Les champs obligatoires sont nécessaires au traitement de la demande ou à la fourniture du Service ; leur absence peut empêcher d'y donner suite.

10.4. L'Artisan peut exercer lui-même plusieurs de ces droits depuis son Espace :

• consulter et corriger ses données ;
• télécharger toutes ses données (export) ;
• supprimer son compte.

10.5. Clients des Artisans. Si vos données figurent dans Marceau parce qu'un Artisan a préparé un devis à votre intention, adressez-vous à cet Artisan, responsable du traitement. Si vous écrivez à MARCEAU, votre demande lui est transmise sans retard injustifié.

10.6. Réclamation. Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

Article 11 – Cookies et stockage sur l'appareil

11.1. Site hellomarceau.fr. Le site n'utilise ni publicité, ni réseau social intégré. Il ne dépose aucun cookie tant que vous n'avez pas accepté la mesure d'audience dans le bandeau affiché à votre première visite : refuser est aussi simple qu'accepter. Si vous acceptez, Google Analytics dépose les cookies _ga et _ga_151LDB8YD0, pour treize (13) mois au plus, et le script de Google est chargé depuis ses serveurs ; les signaux publicitaires de Google restent désactivés. Votre choix est gardé six (6) mois dans le stockage local de votre navigateur, puis vous est redemandé. Le lien « Cookies » en bas de chaque page permet de le changer : un refus coupe la mesure et efface ces cookies.

11.2. Application Marceau. Les dispositifs d'authentification et de sécurité strictement nécessaires au service demandé sont utilisés sans consentement, au titre de l'article 82 de la loi Informatique et Libertés. Les autres lectures ou écritures sur l'appareil sont soumises au consentement préalable lorsqu'aucune exemption ne s'applique.

Le stockage nécessaire à une saisie en cours ou à une fonction hors connexion expressément demandée est limité aux données et à la durée nécessaires. L'utilisateur est informé des données clients présentes sur son appareil. Les lectures gardées sur l'appareil sont effacées à la déconnexion et à l'expiration de la session. Un bouton d'effacement à la demande est à venir.

La base locale contient une copie des écrans consultés, et donc des données des clients de l'Artisan. L'Artisan protège l'appareil qu'il utilise (verrouillage, session personnelle) ; il efface ces lectures en se déconnectant.

11.3. Portail des comptes. Le portail compte.hellomarceau.fr dépose deux cookies strictement nécessaires : marceau_attente, pendant la préparation de l'Espace après l'inscription (deux heures au plus), et un cookie de session réservé à l'administration de MARCEAU.

11.4. Application Marceau pour téléphone. L'application ouvre l'Espace de l'Artisan, hébergé sur les serveurs de MARCEAU. La présente politique s'y applique à l'identique, avec les précisions suivantes.

Données gardées sur le téléphone. L'application conserve sur le téléphone :

• l'adresse de son Espace, pour l'ouvrir directement au lancement suivant ;
• sa session de connexion, jusqu'à sa déconnexion ou son expiration ;
• l'identifiant de son compte et un secret propre à l'appareil, conservé dans le coffre sécurisé du téléphone, qui servent à suivre la préparation du compte et à en demander la suppression depuis l'application ;
• une copie des derniers écrans consultés, avec les données de ses clients qu'ils affichent, dans les conditions de l'article 11.2 ;
• le brouillon d'une note et les notes enregistrées sans réseau, jusqu'à leur envoi ;
• un fichier temporaire lorsqu'il partage un PDF, le temps de le confier à la feuille de partage du téléphone.

Désinstaller l'application efface ces données ; seul le secret propre à l'appareil peut subsister dans le trousseau d'iOS. Elle ne supprime pas le compte et ne résilie pas un abonnement pris chez Apple ou Google.

Autorisations. L'application demande une autorisation au moment où l'Artisan utilise la fonction correspondante. Il peut la refuser ou la retirer à tout moment dans les réglages du téléphone : seule cette fonction cesse de marcher.

Face ID, empreinte et code du téléphone. Si l'Artisan active une clé d'accès, son visage, son empreinte et son code ne quittent jamais le téléphone et ne sont jamais transmis à MARCEAU : le téléphone s'en sert pour signer la demande de connexion. MARCEAU ne reçoit qu'une clé publique. La clé d'accès est conservée par le système du téléphone, selon les réglages de l'Artisan (par exemple le trousseau iCloud).

Ce que l'application ne fait pas. Elle ne contient ni publicité, ni mesure d'audience, ni traceur, ni identifiant publicitaire. Elle ne suit pas la position de l'Artisan et ne lit ni ses contacts, ni son agenda, ni ses autres fichiers.

Abonnement dans l'application. Le paiement est traité par Apple ou Google : MARCEAU ne reçoit jamais le numéro de carte. RevenueCat, prestataire de suivi des abonnements, reçoit l'identifiant du compte Marceau, l'état de l'abonnement (formule, dates, essai) et l'origine de l'achat.

Suppression du compte. Dans l'application : Paramètres, Compte et données, Supprimer mon compte, puis confirmation par le mot de passe. La suppression peut être annulée pendant trente (30) jours ; les données sont ensuite effacées dans les conditions de l'article 9. La marche à suivre est détaillée sur hellomarceau.fr/supprimer-mon-compte.

Article 12 – Violation de données

En cas de violation de données personnelles dont MARCEAU est responsable, MARCEAU la notifie à la CNIL dans les meilleurs délais et, si possible, soixante-douze (72) heures au plus tard après en avoir pris connaissance, lorsqu'elle est susceptible d'engendrer un risque pour les droits et libertés des personnes ; tout dépassement est motivé. Si le risque est élevé, MARCEAU en informe également les personnes concernées dans les meilleurs délais, sauf exceptions prévues par l'article 34 du RGPD (art. 33 et 34 RGPD). Pour les données traitées en qualité de sous-traitant, MARCEAU alerte l'Artisan dans les conditions du contrat de sous-traitance.

Article 13 – Modification de la politique

La présente politique peut évoluer, notamment en cas de changement de sous-traitant. La date de mise à jour figure en tête. Toute modification substantielle est portée à la connaissance des Artisans par courriel avant son entrée en vigueur.