Politique de confidentialité

Dernière mise à jour : 27 octobre 2026 · conforme au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés.

• Responsable
• Données traitées
• Finalités
• Destinataires
• Durées
• Sécurité
• Cookies
• Vos droits

1. Qui est responsable de vos données ?

SAM'PARTNERS, éditeur de Cibly, est responsable de traitement pour les données des comptes utilisateurs et la gestion du service. Pour les données que vous saisissez dans votre espace (contacts d’acheteurs, notes, pipeline, références), Cibly agit en sous-traitant de votre entreprise, qui reste responsable de leur traitement : Cibly ne les utilise que pour vous rendre le service.

2. Quelles données traitons-nous ?

• Compte : nom, adresse e-mail professionnelle, rôle, mot de passe (jamais stocké en clair : seule une empreinte scrypt salée est conservée), dates de connexion.
• Entreprise : raison sociale, SIREN, siège, secteur, métiers et mots-clés, capacité, équipe commerciale (noms, fonctions, e-mails professionnels).
• Activité commerciale : opportunités suivies, statuts, montants, notes, coordonnées des contacts acheteurs que vous saisissez, journal des e-mails d’approche et de relance.
• Connexions de messagerie et d’agenda (facultatives) : adresse du compte relié et jetons d’accès chiffrés. Cibly envoie des e-mails et crée des événements à votre demande ; il ne lit pas le contenu de votre boîte de réception.
• Documents de consultation déposés dans l’assistant de réponse (Bid-Copilot) : ils restent dans votre espace jusqu’à ce que vous les supprimiez.
• Références de votre entreprise : pour chaque chantier que vous enregistrez, les coordonnées professionnelles d’un contact chez votre client (nom, fonction, téléphone, e-mail) et, si vous la déposez, l’attestation de bonne exécution, qui peut comporter le nom et la signature de son auteur. Ces informations sont facultatives.
• Assistant IA : l’activation de l’assistant par un administrateur de votre entreprise (date, auteur), et le nombre d’appels à l’assistant par mois, sans donnée personnelle.
• Journaux techniques : adresse IP, date et page demandée (journal d’accès du serveur web), pour la sécurité du service.
• Accès support : codes d’accès temporaires et journal des sessions support, ouverts uniquement par un administrateur de votre entreprise.
• Mesure d’audience : le nombre de vues de chaque page, par jour, sans cookie, sans adresse IP et sans identifiant.

Les annonces d’appels d’offres proviennent de sources publiques (BOAMP, JOUE/TED, DECP, APProch, plateformes acheteurs) diffusées sous licence ouverte.

3. Pourquoi et sur quelle base ?

Cibly ne vend pas vos données, ne fait pas de publicité ciblée et ne prend aucune décision produisant des effets juridiques à votre égard sur le seul fondement d’un traitement automatisé : le score des opportunités est une aide au tri, pas une décision.

Pour les personnes citées dans vos références, votre entreprise est responsable de traitement ; il lui appartient de les informer de l’enregistrement de leurs coordonnées et de la possibilité de s’y opposer.

4. Qui reçoit vos données ?

• Les utilisateurs de votre entreprise : chaque espace est cloisonné.
• OVHcloud (OVH SAS, France), hébergeur : hébergement du site, des données, des sauvegardes et de la messagerie de Cibly.
• Google ou Microsoft, si vous connectez Gmail, Outlook ou un calendrier, pour l’envoi d’e-mails et la création d’événements ; Apple (iCloud), si vous connectez le Calendrier Apple.
• Anthropic (fournisseur du modèle d’IA Claude, États-Unis), si l’assistant de réponse est utilisé : voir Assistant IA ci-dessous.
• Stripe, prestataire de paiement : si votre offre est payée par Stripe, il enregistre votre carte ou votre mandat de prélèvement SEPA, gère les paiements et émet les factures. Cibly ne reçoit ni ne stocke jamais vos données de carte.
• Brevo (France), pour les e-mails envoyés par la plateforme : confirmation d’adresse, mot de passe oublié, alertes de veille, rappels de fin d’essai ou de fin d’accès gratuit, devis et accusés de réception.
• L’annuaire officiel des entreprises (recherche-entreprises.api.gouv.fr), interrogé avec le nom saisi lors de l’accueil pour pré-remplir SIREN et siège.
• Sur code d’accès que vous générez, l’équipe support de Cibly (lecture seule, durée limitée). Les contacts de vos références et les attestations ne sont pas affichés pendant une session support.

Assistant IA (Bid-Copilot)

L’assistant IA n’est utilisé qu’après son activation par un administrateur de votre entreprise, dans les réglages du Bid-Copilot. Cette activation vaut instruction documentée de votre entreprise : pour les documents et données qu’elle confie à l’assistant, Cibly agit comme sous-traitant, conformément à l’accord de traitement des données (article 28 du RGPD). L’activation est enregistrée (date, auteur) dans le journal de votre espace, au titre de l’exécution du contrat ; un administrateur peut désactiver l’assistant à tout moment au même endroit, et aucun document n’est alors plus envoyé.

Lorsque vous lancez une analyse, le texte des documents de consultation déposés et les informations de votre entreprise utiles à la réponse sont transmis à Anthropic (États-Unis). Les contacts de vos références et les attestations de bonne exécution ne lui sont jamais transmis. Lorsque vous marquez une référence comme non citable, le nom du client et sa ville sont remplacés par une désignation générique (par exemple « un centre hospitalier d’Île-de-France ») avant tout envoi.

Ce transfert hors de l’Union européenne est encadré par les clauses contractuelles types de la Commission européenne (décision d’exécution (UE) 2021/914), intégrées à l’accord de traitement des données d’Anthropic.

Données issues des services Google

Si vous connectez Gmail ou Google Agenda, Cibly n’utilise que les autorisations nécessaires : envoyer les e-mails que vous déclenchez (gmail.send) et créer ou lire les événements de votre agenda (calendar.events). Cibly ne lit pas le contenu de votre boîte de réception. L’utilisation et le transfert vers toute autre application des informations reçues des API Google respectent les règles relatives aux données utilisateur des services d’API Google, y compris les exigences d’utilisation limitée (« Limited Use »). Ces données ne sont jamais vendues, ni utilisées à des fins publicitaires, ni pour entraîner des modèles d’IA.

5. Combien de temps ?

• Compte et données d’espace : pendant l’abonnement. À la fin d’une offre payante, ou d’un accès gratuit sans devis accepté, l’espace reste en lecture seule pendant quatre-vingt-dix (90) jours ; les administrateurs de l’espace sont prévenus par e-mail trente jours puis sept jours avant l’échéance ; l’espace est ensuite supprimé, après vérification par un administrateur de la plateforme, sauf obligation légale.
• Copies de sauvegarde : 30 jours glissants ; une donnée supprimée en disparaît au plus tard 30 jours après.
• Documents de consultation : jusqu’à ce que vous les supprimiez, ou avec l’espace de votre entreprise.
• Contacts et attestations de vos références : tant que la référence est enregistrée ; supprimés avec elle, ou avec l’espace de votre entreprise.
• Activation de l’assistant IA (date, auteur) : jusqu’à la suppression de l’espace.
• Journal d’accès du serveur web : 6 mois.
• Quitter un espace : Réglages → Sécurité → « Quitter cet espace » retire aussitôt vos accès à l’espace ouvert et y ferme vos sessions ; votre compte reste utilisable dans vos autres espaces. S’il s’agit de votre seul espace, votre compte est supprimé. Un Dirigeant peut, au même endroit, supprimer l’espace et toutes ses données, sans archive ; le seul Dirigeant d’un espace où travaillent d’autres personnes doit d’abord transmettre ce statut pour le quitter.
• Suppression immédiate de votre compte : Réglages → Sécurité → « Supprimer mon compte Cibly » efface aussitôt, sans archive et dans tous vos espaces, votre e-mail, vos identifiants, vos préférences, ainsi que les invitations et demandes vous concernant ; votre nom et votre adresse sont retirés des journaux de vos espaces. Les espaces et leurs données restent à leurs autres membres. Si vous êtes le seul Dirigeant d’un espace, vous transmettez d’abord ce statut ou supprimez l’espace. Seules les factures déjà émises sont conservées par Stripe au titre des obligations comptables.
• Sessions de connexion : 12 heures (2 heures pour l’administration).
• Codes d’accès support : 30 minutes à 2 heures, à usage unique.
• Mesure d’audience sans traceur : pour connaître la fréquentation du site et l’améliorer, Cibly ne conserve que des totaux de pages vues par page et par jour, pendant 90 jours ; rien n’est lu ni écrit sur votre appareil, et ni adresse IP, ni identifiant, ni empreinte de l’appareil ne sont enregistrés. Ces données agrégées ne permettent pas de vous identifier ; leur traitement repose sur l’intérêt légitime de Cibly.
• Pièces comptables : 10 ans (obligation légale).

6. Comment sont-elles protégées ?

Connexion chiffrée (HTTPS imposé, HSTS), mots de passe hachés avec scrypt, cookies de session HttpOnly et SameSite, jetons de messagerie et d’agenda chiffrés, cloisonnement strict entre entreprises, limitation des tentatives de connexion, en-têtes de sécurité (CSP, anti-clickjacking) et accès support en lecture seule sur autorisation explicite.

7. Cookies et traceurs

Aucun cookie publicitaire ni outil de mesure tiers. Les cookies et le stockage ci-dessus servent seulement à la connexion et aux préférences que vous choisissez dans l’application : aucun consentement n’est requis, c’est pourquoi aucun bandeau ne vous est présenté.

8. Vos droits

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité de vos données, ainsi que du droit de définir des directives sur leur sort après votre décès. Écrivez à rgpd@ciblyy.fr ; nous répondons sous un mois. Pour les données saisies par une entreprise cliente (contacts, références), adressez-vous d’abord à cette entreprise, responsable de leur traitement.

Un administrateur de votre entreprise peut désactiver l’assistant IA à tout moment. Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (Commission nationale de l’informatique et des libertés).