POLITIQUE DE CONFIDENTIALITÉ DE ÇAVAOÙ

Dernière mise à jour : 19 août 2026

1. Qui sommes-nous ?

Cette politique explique comment Saasak traite les données utilisées par le site vitrine, l'application Çavaoù, ses widgets et ses parcours dédiés aux territoires et aux déchèteries.

Responsable du traitement : SAASAK, SAS
Siège social : 229 rue Solférino, 59000 Lille, France
SIREN : 910 034 081
Contact données personnelles : contact@saasak.com
Support produit : contact@cavaou.fr

Les particuliers utilisent Çavaoù sans créer de compte. Pour l'espace professionnel, les comptes sont créés et administrés par Saasak à la demande d'une organisation, puis utilisés pour accéder à des fonctionnalités avancées de gestion, d'administration ou d'exploitation.

2. Données traitées

Selon les fonctionnalités utilisées, nous pouvons traiter :

pour un particulier sans compte : image ou texte saisi, résultat de tri, commune, collectivité, date, heure et paramètres techniques de la demande ;
un identifiant technique métier aléatoire, conservé localement lorsque cela est nécessaire aux fonctionnalités utilisées, ainsi qu'un identifiant de session distinct pour mesurer l'utilisation du produit ;
pour le site et les widgets : pages consultées, clics, navigation, referrer, paramètres de campagne, erreurs et performances ;
pour les notifications : jeton technique, plateforme, langue, commune et préférences choisies ;
pour les formulaires, rendez-vous ou listes de visite : les coordonnées et réponses que vous choisissez de saisir, notamment nom, prénom, adresse, email, téléphone, message ou réponses au formulaire ;
pour les comptes professionnels créés à la demande d'une organisation : email, identité professionnelle, organisation, rôle, données de connexion et préférences nécessaires à la gestion du compte ;

L'identifiant technique métier utilisé pour les particuliers ne contient pas leur nom ou leur email et n'est pas directement rattaché à une identité civile. Il peut toutefois être conservé pour assurer certaines fonctionnalités, notamment les notifications ou la continuité de données anonymes. Il n'est pas utilisé comme identifiant PostHog.

3. Images, textes et intelligence artificielle

Les images et textes envoyés pour une analyse sont transmis de manière sécurisée à des services d'intelligence artificielle sélectionnés par Saasak. L'infrastructure utilise notamment OpenRouter pour router les demandes vers des modèles comme Google Gemini ou OpenAI, selon le traitement et la disponibilité.

Les images brutes ne sont pas envoyées à PostHog pour mesurer l'utilisation du produit. Les résultats, métadonnées de traitement et éventuels identifiants de scan peuvent en revanche être conservés pour fournir le service, suivre les erreurs et améliorer la qualité.

Les conditions de conservation et de réutilisation applicables aux prestataires d'IA dépendent de leur configuration et de leurs engagements contractuels. Les contenus transmis ne sont pas utilisés par Saasak pour créer de la publicité ciblée ou identifier les utilisateurs.

4. Localisation et notifications

Une adresse, une commune ou une localisation peut être utilisée pour déterminer le territoire compétent et afficher les consignes ou calendriers correspondants. L'adresse brute n'est pas utilisée comme identifiant de compte ; le résultat peut conserver la commune, la collectivité ou le secteur de service nécessaires au fonctionnement du produit.

Si vous activez les notifications, un jeton technique est utilisé pour envoyer les alertes et rappels demandés. Les permissions de caméra, de localisation et de notifications sont gérées séparément par le système d'exploitation de votre appareil.

5. Finalités et bases légales

fournir les résultats de tri, consignes, cartes et calendriers locaux demandés ;
gérer les demandes de formulaire, rendez-vous et listes de visite ;
gérer les comptes professionnels créés pour les organisations et leurs fonctionnalités avancées ;
envoyer les notifications et rappels activés par l'utilisateur ;
sécuriser le service, détecter les erreurs et prévenir les abus ;
mesurer l'utilisation et améliorer l'ergonomie et la performance du produit.

Les bases légales sont l'exécution du service demandé, l'intérêt légitime de Saasak à maintenir et améliorer le service, et, lorsque la loi l'exige, votre consentement.

Lorsqu'un consentement ou un choix est nécessaire pour une fonctionnalité particulière, il est demandé au moment concerné et peut être retiré selon les modalités proposées.

6. Mesure d'utilisation du produit

Nous utilisons PostHog pour comprendre comment les fonctionnalités sont utilisées et améliorer le service. Cette mesure est interne à Saasak et n'a pas de finalité publicitaire.

Les événements peuvent inclure les ouvertures, scans, clics, résultats, erreurs, temps de réponse, type d'entrée, collectivité et identifiant technique. L'identifiant transmis à PostHog est distinct de l'identifiant métier. Selon l'événement, il est limité à la session en cours, propre à un scan ou généré pour une seule requête ; il n'est pas réutilisé pour suivre une même personne entre plusieurs sessions. Sur le site, PostHog est configuré pour conserver cet identifiant uniquement en mémoire, sans cookie ou stockage local PostHog. Les données techniques transmises peuvent aussi inclure l'adresse IP, le type d'appareil, le navigateur, l'agent utilisateur, l'URL consultée, le referrer et les paramètres de campagne.

Le projet Çavaoù utilise PostHog Cloud EU. Sa configuration demande l'anonymisation des adresses IP : l'adresse IP brute n'est pas conservée avec les événements. Des informations techniques de localisation ou de contexte peuvent toutefois être générées à partir des données techniques nécessaires à la réception d'un événement.

Les données de mesure ne sont pas utilisées pour identifier les particuliers par leur nom ou leur email et aucun profil publicitaire n'est créé à partir de ces données.

7. Partage, conservation et hébergement

Les données peuvent être traitées par Saasak et par les prestataires nécessaires au service : hébergeurs de l'application et de la base de données, PostHog pour la mesure produit, OpenRouter et les fournisseurs de modèles d'IA, ainsi que les prestataires d'email ou de notifications nécessaires à une fonctionnalité demandée.

Les collectivités partenaires peuvent recevoir des résultats et statistiques liés à leur territoire. Elles ne reçoivent pas l'identifiant technique PostHog et n'ont pas accès aux coordonnées saisies dans les formulaires, rendez-vous ou listes de visite, sauf si la fonctionnalité ou votre demande prévoit explicitement leur transmission.

Lorsqu'une collectivité ou un syndicat de collectivités demande des données personnelles et les utilise pour ses propres finalités, cet organisme est responsable du traitement correspondant : il doit notamment définir les finalités et les moyens de ce traitement, informer les personnes concernées et répondre à leurs demandes d'exercice de droits. La qualification des rôles dépend des traitements réellement mis en œuvre ; Saasak reste responsable des traitements dont elle définit les finalités et les moyens et peut, selon le cadre applicable, intervenir comme sous-traitant pour le compte de l'organisme destinataire.

Par exemple, pour un formulaire de demande de composteur proposé à la demande d'une collectivité ou d'un syndicat, les champs saisis peuvent comprendre le nom, le prénom, l'adresse, l'email, le téléphone et toute information nécessaire à la demande. Ces données peuvent être utilisées par cet organisme pour instruire la demande, organiser la remise du composteur et assurer son suivi. La collectivité ou le syndicat est alors responsable de ce traitement ; Saasak peut fournir la plateforme technique comme sous-traitant, sur leurs instructions et dans les limites prévues par le cadre contractuel applicable.

Les données sont conservées pendant la durée nécessaire à la finalité pour laquelle elles ont été collectées, puis supprimées, agrégées ou anonymisées lorsque cela est possible. Les listes de visite de déchèterie arrivent automatiquement à expiration après trois mois. Les données de compte professionnel sont conservées tant que le compte est actif ou que l'organisation le demande, puis selon les délais applicables aux obligations légales et contractuelles.

Transmission sécurisée : les communications sont chiffrées (HTTPS).
Accès restreint : les accès sont limités aux personnes et prestataires qui en ont besoin.
Transferts : lorsque certains prestataires traitent des données hors de l'Espace économique européen, Saasak met en place les garanties prévues par le RGPD.

8. Vos droits

Conformément au RGPD, vous pouvez, selon la situation :

demander l'accès, la rectification ou l'effacement de vos données ;
demander la limitation du traitement ou vous opposer à un traitement fondé sur l'intérêt légitime ;
demander la portabilité des données lorsque ce droit s'applique ;
retirer un consentement à tout moment lorsqu'un traitement repose sur celui-ci.

Les demandes peuvent être adressées à contact@saasak.com. Vous pouvez également introduire une réclamation auprès de la CNIL.

9. Informations sur les prestataires

10. Contact

Pour toute question ou pour exercer vos droits :

contact@saasak.com

Saasak — Éditeur de l'application Çavaoù