Politique de confidentialité

1. Objet

La présente politique décrit comment Corsala traite les données à caractère personnel dans le cadre du logiciel de gestion commerciale et de suivi de chantier (le « Service »), commercialisé sous la marque Corsala. Elle s’applique aux Utilisateurs du Service ainsi qu’aux personnes dont les données sont traitées par les Clients (Tenants) via le Service (prospects, clients des Clients).

2. Qui traite vos données

Deux qualités coexistent, selon la donnée concernée :

• Pour les Données de compte des Utilisateurs (identité, e-mail, rôle, connexions), Corsala agit en tant que responsable de traitement.
• Pour les Données clientes saisies par un Client au sujet de ses propres prospects et clients, le Client est responsable de traitement et Corsala agit en tant que sous-traitant au sens de l’article 28 du RGPD, dans les conditions décrites dans les CGU, §8. Toute demande relative à ces données doit être adressée en priorité au Client concerné.

3. Données collectées

• Données de compte : nom, e-mail professionnel, rôle, mot de passe (haché), identifiant de connexion Google ou Microsoft le cas échéant, journal de connexion.
• Données clientes saisies par le Client : informations sur ses prospects et clients, projets, devis, factures, photos et documents de chantier, échanges (e-mail, messagerie interne).
• Messages WhatsApp, si un Utilisateur connecte sa ligne (fonction « Appareils connectés » de WhatsApp) : les messages échangés avec les contacts de l’espace de travail sont enregistrés dans l’espace du Client ; pour une ligne personnelle, les conversations avec des numéros absents de l’espace sont lues pour être écartées et ne sont pas conservées ; la ligne d’équipe de l’espace conserve toutes ses conversations. Les messages et leurs fichiers sont conservés tant que le dossier auquel ils se rattachent existe et jusqu’à la fin de l’abonnement du Client ; aucune suppression automatique n’est appliquée pour le moment. Voir les CGU, §6 bis.
• Données techniques : journaux serveur, adresse IP, horodatage des actions, informations de navigateur, nécessaires au fonctionnement et à la sécurité du Service.
• Données issues des connexions tierces activées volontairement (Google, Microsoft, Facebook et Instagram) : voir §11, §12 et §13.

4. Finalités et bases légales

• Fourniture et exécution du Service (exécution du contrat, article 6.1.b du RGPD).
• Adaptation de notre accompagnement à la taille d’équipe que vous déclarez (mesures précontractuelles prises à votre demande, article 6.1.b) ; voir section 16.
• Sécurité, prévention de la fraude et journalisation technique (intérêt légitime, article 6.1.f).
• Amélioration du Service et support aux Utilisateurs (intérêt légitime).
• Respect d’obligations légales (comptabilité, réponse à une réquisition judiciaire, article 6.1.c).
• Communication commerciale relative aux évolutions du Service, sur la base du consentement lorsqu’il est requis.

5. Destinataires et sous-traitants

Les données sont accessibles à l’équipe de Corsala habilitée, ainsi qu’aux prestataires suivants, dans la stricte mesure nécessaire à leur mission :

• Hetzner Online · Hébergement des serveurs et de la base de données. Données concernées : Toutes les données stockées dans Corsala : base de données et fichiers de l’espace. Pays : Allemagne (Union européenne).
• IONOS · Copie externalisée et chiffrée des sauvegardes. Données concernées : Sauvegardes chiffrées de la base de données et des fichiers déposés dans Corsala. Pays : Allemagne (Union européenne).
• Anthropic · Services d’intelligence artificielle : assistant conversationnel, lecture de documents (OCR) et aide à la rédaction. Données concernées : Textes, documents et images que l’utilisateur soumet à une fonction d’intelligence artificielle, et les réponses produites. Pays : États-Unis.
• OpenAI · Transcription de la voix en repli, et génération d’images. Données concernées : Enregistrements audio à transcrire ; descriptions et images fournies pour une génération d’image. Pays : États-Unis.
• Groq · Transcription de la voix (dictée d’un devis, d’un compte rendu ou d’une question à l’assistant). Données concernées : Enregistrements audio à transcrire. Pays : États-Unis.
• Google · Génération d’images (Gemini), géocodage et saisie assistée d’adresses (Google Maps Platform), et connexion avec un compte Google. Données concernées : Descriptions et images fournies pour une génération d’image ; adresses saisies pour le géocodage ; nom et adresse e-mail de la personne qui se connecte avec Google. Pays : États-Unis.
• Microsoft · Envoi des e-mails de la plateforme (Microsoft Graph) et connexion avec un compte Microsoft. Données concernées : Adresses des destinataires, objet et contenu des e-mails envoyés par la plateforme ; nom et adresse e-mail de la personne qui se connecte avec Microsoft. Pays : États-Unis.
• Stripe · Paiement des jetons IA. Données concernées : Nom et coordonnées de facturation du payeur, montant et référence de l’achat ; les données de carte bancaire sont saisies sur la page de paiement de Stripe. Pays : États-Unis.
• WhatsApp (Meta Platforms) · Acheminement des messages WhatsApp : messages de la plateforme à une personne qui a donné son numéro avec la case de consentement, et numéros que les espaces connectent à leur espace de travail (appareil connecté). Données concernées : Numéro de téléphone et contenu des messages WhatsApp échangés. Pays : États-Unis.
• Services de notification push des navigateurs · Acheminement des notifications push vers le navigateur ou l’appareil de l’utilisateur ; le service dépend du navigateur (Google, Apple, Mozilla ou Microsoft, par exemple). Données concernées : Titre, texte et lien de la notification, et adresse technique de l’abonnement du navigateur. Pays : Plusieurs pays, selon le navigateur de l’utilisateur.

Paiement. Stripe assure le traitement des paiements des jetons IA et, lorsqu’ils sont ouverts, des abonnements. Les messages WhatsApp sont décrits aux §6 et §16.

Sur connexion volontaire de l’espace ou de l’utilisateur, avec son propre compte, d’autres services reçoivent les données strictement nécessaires à l’intégration configurée, sous la responsabilité de l’espace. Ces connexions sont décrites aux §11 (Google), §12 (Microsoft) et §13 (Meta Platforms · Pages Facebook, comptes Instagram professionnels et formulaires publicitaires, sur connexion volontaire) :

• Messagerie de l'espace (Gmail, Microsoft 365, serveur SMTP) · Envoi des e-mails de l’espace depuis sa propre adresse ; avec Microsoft 365, traitement des factures fournisseurs reçues dans la boîte que l’espace désigne. Données concernées : Adresses, objet, contenu et pièces jointes des e-mails envoyés par l’espace. Pays : Selon le service de messagerie choisi par l’espace.
• SharePoint, calendrier et Bookings de l'espace (Microsoft 365) · Dépôt de documents dans le SharePoint de l’espace, lecture et écriture de son calendrier et de ses réservations Bookings. Données concernées : Documents des dossiers, événements du calendrier et réservations. Pays : Selon la région Microsoft 365 de l’espace.
• Google Drive de l'espace · Dépôt de documents dans le Google Drive de l’espace, où le service n’accède qu’aux fichiers qu’il a créés ou que l’utilisateur a choisis ; et, pour la médiathèque, indexation du dossier de photos et vidéos que l’espace désigne, avec une autorisation plus large qui permet de lire un dossier existant et d’y créer l’arborescence. Données concernées : Documents des dossiers déposés dans le Drive de l’espace ; liste et métadonnées des fichiers du dossier de la médiathèque. Pays : États-Unis.
• Google Agenda de l'espace · Lecture des plages occupées de l’agenda, inscription de rendez-vous avec un lien Google Meet, et lecture des événements du jour de la personne qui connecte son agenda. Données concernées : Plages occupées, sans le contenu des événements ; rendez-vous inscrits (titre, description, horaire, invités) ; événements du jour de la personne. Pays : États-Unis.
• Qonto · Banque de l’espace : rapprochement bancaire et facturation fournisseurs ; avec la connexion Facturation électronique, plateforme agréée qui reçoit les factures émises par l’espace et lui remet les factures reçues. Données concernées : Transactions bancaires et factures fournisseurs de l’espace ; avec la facturation électronique, factures émises (identité et adresse du client, lignes, montants) et factures reçues. Pays : France.
• Super PDP · Plateforme agréée de facturation électronique que l’espace connecte avec son propre compte : dépôt des factures émises, réception des factures reçues, statuts de cycle de vie et e-reporting. Données concernées : Factures émises (Factur-X ou XML : identité et adresse du client, numéros d’identification, lignes, montants), factures reçues, statuts et données d’e-reporting. Pays : France (Union européenne).
• Plateforme agréée compatible AFNOR (choisie par l'espace) · Plateforme agréée que l’espace choisit parmi celles qui implémentent l’API AFNOR XP Z12-013 : dépôt des factures émises, réception des factures reçues, statuts et e-reporting. Données concernées : Factures émises (identité et adresse du client, numéros d’identification, lignes, montants), factures reçues, statuts et données d’e-reporting. Pays : Selon la plateforme choisie par l’espace.
• TronStride (Aigentrix) · Prestataire accrédité de facturation électronique aux Émirats que l’espace connecte pour son entité émirienne : dépôt des factures au format PINT AE, suivi de leurs statuts et réception des factures. Données concernées : Factures émises au format PINT AE (identité et adresse du client, numéros fiscaux, lignes, montants), statuts de transmission, factures reçues. Pays : Prestataire accrédité aux Émirats arabes unis.
• Mollie · Encaissement des acomptes et des paiements des clients de l’espace, sur le compte Mollie de l’espace. Données concernées : Montant, référence et statut des paiements des clients de l’espace. Pays : Pays-Bas (Union européenne).
• Stripe (compte de l'espace) · Encaissement par carte sur le propre compte Stripe de l’espace : sessions de paiement, liens de paiement, paiement des factures. Données concernées : Montant, référence et statut des paiements des clients de l’espace ; les données de carte bancaire sont saisies sur la page de paiement de Stripe. Pays : États-Unis.
• Instagram et Facebook (Meta Platforms) · Publication et animation des réseaux sociaux de l’espace, messages et commentaires reçus, et formulaires publicitaires (prospects). Données concernées : Pages Facebook et comptes Instagram professionnels choisis par l’espace, publications, commentaires, messages, statistiques, et réponses aux formulaires publicitaires. Pays : Plusieurs pays, dont hors de l’Union européenne.
• Conversions API de Meta (Meta Platforms) · Remontée des jalons commerciaux de l’espace (demande qualifiée, étude payée, devis signé) vers ses campagnes publicitaires Meta, par le relais serveur de l’espace. Données concernées : Adresse e-mail et numéro de téléphone du prospect hachés (SHA-256), identifiant de prospect haché, identifiant de clic Meta, et pour chaque jalon sa date, sa valeur et sa devise. Pays : Plusieurs pays, dont hors de l’Union européenne.
• Google Ads (conversions hors ligne) · Envoi à Google Ads des jalons commerciaux de l’espace qui prolongent un clic publicitaire, directement par l’API avec les identifiants Google Ads de l’espace, ou par le relais serveur de l’espace. Données concernées : Identifiant de clic Google, adresse e-mail et numéro de téléphone du prospect hachés (SHA-256), et pour chaque jalon sa date, sa valeur et sa devise ; annulation d’un jalon qui ne se confirme plus. Pays : États-Unis.
• Stape (relais serveur) · Relais serveur (conteneur Google Tag Manager server) que l’espace héberge chez Stape : il reçoit les jalons commerciaux envoyés par Corsala et les transmet à Meta et à Google Ads. Données concernées : Les données des jalons : adresse e-mail et numéro de téléphone du prospect hachés (SHA-256), identifiant de prospect haché, identifiants de clic, et pour chaque jalon sa date, sa valeur et sa devise. Pays : Selon la région du conteneur choisie par l’espace.
• TikTok · Publication et animation du compte TikTok de l’espace. Données concernées : Compte TikTok choisi par l’espace, vidéos publiées, commentaires et statistiques. Pays : Plusieurs pays, dont hors de l’Union européenne.
• LinkedIn · Publication sur le compte LinkedIn de l’espace et extension de prospection. Données concernées : Compte LinkedIn choisi par l’espace, publications et profils professionnels suivis par l’espace. Pays : Plusieurs pays, dont hors de l’Union européenne.
• Airtable · Reprise des bases de l’espace (prospects, dossiers, bibliothèque de prestations) dans Corsala : lecture seule, avec le jeton d’accès personnel de l’espace. Données concernées : Jeton d’accès de l’espace et identifiants des bases et des tables lues ; Corsala lit les enregistrements choisis par l’espace et n’écrit rien dans Airtable. Pays : États-Unis.
• Site WordPress de l'espace · Envoi en brouillon, sur le site WordPress de l’espace, des articles préparés dans Corsala, que l’espace relit et publie chez lui. Données concernées : Identifiant et mot de passe d’application de l’espace ; titre, texte et images des articles envoyés en brouillon. Pays : Selon l’hébergeur du site choisi par l’espace.

Le Service interroge aussi des sources publiques, qui ne reçoivent aucune autre donnée de l’espace que celle indiquée :

• Base Adresse Nationale (api-adresse.data.gouv.fr) · Saisie assistée et vérification des adresses en France. Données concernées : Texte de l’adresse saisie. Pays : France (Union européenne).
• Tuiles OpenStreetMap · Fond de carte affiché dans le navigateur. Données concernées : Adresse IP du navigateur et zone de carte demandée, sans autre donnée de l’espace. Pays : Plusieurs pays (réseau de diffusion de la fondation OpenStreetMap).

La liste à jour, avec la garantie de transfert de chaque prestataire, est publiée sur la page /cgu/sous-traitants (mise à jour le 25 octobre 2026).

Aucune donnée n’est vendue à des tiers, ni utilisée à des fins publicitaires.

6. Transferts hors Union européenne

Les serveurs et la base de données sont hébergés au sein de l’Union européenne. Les sous-traitants ultérieurs établis dans l’Union européenne, sans transfert hors de l’Union, sont : Hetzner Online, IONOS.

Les sous-traitants ultérieurs suivants sont établis, ou traitent des données, hors de l’Union européenne : leur recours implique un transfert de données hors de l’Union européenne, pour les données indiquées.

• Anthropic (États-Unis) · Données concernées : Textes, documents et images que l’utilisateur soumet à une fonction d’intelligence artificielle, et les réponses produites.
• OpenAI (États-Unis) · Données concernées : Enregistrements audio à transcrire ; descriptions et images fournies pour une génération d’image.
• Groq (États-Unis) · Données concernées : Enregistrements audio à transcrire.
• Google (États-Unis) · Données concernées : Descriptions et images fournies pour une génération d’image ; adresses saisies pour le géocodage ; nom et adresse e-mail de la personne qui se connecte avec Google.
• Microsoft (États-Unis) · Données concernées : Adresses des destinataires, objet et contenu des e-mails envoyés par la plateforme ; nom et adresse e-mail de la personne qui se connecte avec Microsoft.
• Stripe (États-Unis) · Données concernées : Nom et coordonnées de facturation du payeur, montant et référence de l’achat ; les données de carte bancaire sont saisies sur la page de paiement de Stripe.
• WhatsApp (Meta Platforms) (États-Unis) · Données concernées : Numéro de téléphone et contenu des messages WhatsApp échangés.
• Services de notification push des navigateurs (Plusieurs pays, selon le navigateur de l’utilisateur) · Données concernées : Titre, texte et lien de la notification, et adresse technique de l’abonnement du navigateur.

Garantie de transfert : décision d’adéquation de la Commission européenne (pour les États-Unis, le Data Privacy Framework) lorsque le fournisseur y est certifié, à défaut clauses contractuelles types de la Commission (décision d’exécution (UE) 2021/914). Le contact WhatsApp pour démarrer est décrit au §16. Les services que l’espace connecte avec son propre compte relèvent du contrat de l’espace avec ces services.

7. Durées de conservation

Les Données de compte sont conservées pendant la durée d’utilisation du Service par l’Utilisateur, puis supprimées à la fermeture du compte, sous réserve des obligations légales de conservation (notamment comptables). Les Données clientes sont conservées pendant la durée du contrat avec le Client, puis supprimées après résiliation selon les modalités des CGU, §13.

Les données sont conservées pendant la durée de la relation contractuelle, puis supprimées après la fermeture du compte ou la résiliation, sous réserve des obligations légales de conservation. Les journaux techniques et les sauvegardes sont conservés pour la seule durée nécessaire à la sécurité et à la continuité du Service.

Les demandes d’assistance (Aide) sont supprimées 24 mois après leur clôture, notes de suivi de l’équipe comprises ; la fiche de contact associée est conservée pendant la relation avec l’équipe et supprimée sur demande (voir la section 15).

Le numéro WhatsApp et la taille d’équipe saisis à l’inscription ou sur la liste d’attente suivent la durée décrite à la section 16.

8. Sécurité des données

Les secrets d’intégration (jetons d’accès tiers) sont chiffrés (AES-256-GCM). Les données de chaque Client sont isolées des autres Clients au niveau de la base de données (Row Level Security, un Tenant ne peut techniquement pas accéder aux données d’un autre Tenant). L’accès aux données par l’équipe Corsala est restreint et journalisé.

9. Vos droits

Conformément au RGPD, toute personne dispose d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité de ses données, ainsi que du droit d’introduire une réclamation auprès de la CNIL (www.cnil.fr).

Pour une Donnée cliente (prospect ou client d’un Client du Service), la demande doit être adressée en priorité au Client concerné, responsable de traitement. Pour une Donnée de compte, la demande peut être adressée à support@corsala.com.

Toute demande relative aux données personnelles se fait à cette même adresse ; elle est traitée dans le délai d’un mois prévu par le RGPD.

10. Cookies et traceurs

Le Service utilise des cookies strictement nécessaires à l’authentification et au fonctionnement technique (session, préférences d’affichage). Aucun cookie publicitaire ou de mesure d’audience tiers n’est déposé sans consentement préalable.

Si des cookies non essentiels venaient à être ajoutés, un bandeau de consentement serait affiché avant leur dépôt et la présente politique mise à jour.

11. Utilisation des données Google (Limited Use)

Le Service permet, à l’initiative de l’Utilisateur, de se connecter avec un compte Google pour :

• s’identifier (openid, e-mail, profil) ;
• envoyer des e-mails depuis l’adresse Gmail de l’Utilisateur (portée gmail.send) · le Service n’a jamais accès en lecture à la boîte de réception Gmail ;
• inscrire dans Google Agenda les rendez-vous pris depuis le Service, les modifier ou les annuler, et afficher dans le Service les événements de l’agenda principal de l’Utilisateur sur la période consultée (portée calendar.events) ;
• lire les plages occupées et libres de l’agenda, sans titre ni contenu des événements, pour proposer des créneaux disponibles (portée calendar.freebusy) ;
• créer et gérer des fichiers dans Google Drive : import de pièces, rangement des photos et vidéos des dossiers dans un dossier créé par le Service ou choisi par l’Utilisateur dans le sélecteur de fichiers de Google (portée drive.file) · le Service n’accède qu’aux fichiers qu’il a lui-même créés, ou que l’Utilisateur a explicitement sélectionnés, jamais à l’ensemble du Drive de l’Utilisateur.

L’utilisation et le transfert, par Corsala, des informations reçues des API Google respectent la Google API Services User Data Policy, y compris les exigences relatives à l’utilisation limitée (« Limited Use »). Concrètement : ces données ne sont jamais vendues, jamais utilisées à des fins publicitaires, et jamais utilisées pour entraîner des modèles d’intelligence artificielle ou d’apprentissage automatique à usage général (y compris pour entraîner ou améliorer des modèles d’IA generative non liés à l’exécution de la demande de l’Utilisateur). Ces données ne sont lues par un humain que dans les cas strictement prévus par cette politique : avec le consentement de l’Utilisateur, pour des raisons de sécurité (par exemple enquête sur un abus), ou pour se conformer à une obligation légale.

12. Utilisation des données Microsoft

Sur connexion volontaire de l’administrateur du Client, le Service peut accéder, via des permissions applicatives Microsoft Graph accordées depuis l’annuaire Microsoft Entra du Client, à une boîte e-mail désignée (envoi et traitement des factures fournisseurs reçues), à un espace SharePoint, au calendrier et à Bookings. Ces permissions sont visibles et révocables à tout moment par l’administrateur du Client depuis son propre annuaire Entra. Elles ne sont utilisées que pour les fonctionnalités du Service explicitement activées par le Client.

13. Utilisation des données Facebook et Instagram

Sur connexion volontaire d’un administrateur de l’espace de travail (bouton « Connecter Meta en 1 clic » de Paramètres > Intégrations, par Facebook Login for Business), le Service accède aux seules Pages Facebook et aux seuls comptes Instagram professionnels que cet administrateur choisit dans la fenêtre de Meta. L’espace peut ainsi publier et animer ses réseaux sociaux depuis le Service, et recevoir les prospects de ses formulaires publicitaires.

Données lues et écrites, avec les autorisations Meta correspondantes :

• Pages et comptes : liste des Pages accordées (nom, identifiant), compte Instagram professionnel relié (nom d’utilisateur, photo de profil, médias) et jeton d’accès délivré par Meta (pages_show_list, business_management, instagram_basic).
• Publications : lecture des publications de la Page et du compte Instagram pour le calendrier éditorial ; publication et planification des textes, photos, vidéos, carrousels, reels et stories validés dans le Service (pages_read_engagement, pages_manage_posts, instagram_content_publish).
• Commentaires et messages : lecture des commentaires et mentions laissés sur la Page et sur le compte Instagram, réponse, « J’aime », masquage ou suppression ; lecture des messages directs Instagram et réponse depuis la boîte de réception du Service. Ces échanges contiennent le nom public, l’identifiant et le texte de la personne qui écrit (pages_read_user_content, pages_manage_engagement, instagram_manage_comments, instagram_manage_engagement, instagram_manage_messages, pages_messaging, et pages_manage_metadata pour les recevoir en temps réel).
• Statistiques : portée, interactions et abonnés de la Page, du compte et de chaque publication ; nom, nombre d’abonnés et de publications des comptes Instagram professionnels publics que l’espace choisit de suivre pour sa veille (read_insights, instagram_manage_insights).
• Prospects des formulaires publicitaires (Lead Ads) : réponses aux formulaires instantanés des publicités de la Page (nom, coordonnées, réponses aux questions du formulaire) et publicité d’origine de chaque prospect (leads_retrieval, ads_read).

Finalité : publier et animer les réseaux sociaux au nom de l’espace, répondre à sa communauté, mesurer les résultats de ses publications et faire entrer ses prospects dans son CRM. Par défaut, une personne de l’espace valide chaque publication et chaque réponse avant son envoi, y compris les textes proposés par l’assistant IA. Un espace peut choisir d’envoyer automatiquement certaines réponses, selon des règles qu’il écrit et active lui-même (par exemple un message d’accueil).

Rôles : ces données sont des Données clientes ; l’espace en est responsable de traitement et Corsala agit en tant que sous-traitant (§2). Les contenus que l’espace publie sont transmis à Meta Platforms, qui les traite selon ses propres conditions.

Ce que nous ne faisons jamais : ces données ne sont ni vendues, ni louées, ni transmises à des courtiers en données ou à des régies publicitaires. Elles ne servent ni à de la publicité ciblée, ni à entraîner des modèles d’intelligence artificielle, ni à prendre une décision d’éligibilité sur une personne (logement, emploi, crédit, assurance). Elles ne servent qu’aux fonctionnalités que l’espace a activées, dans le respect des Conditions de la plateforme Meta et des règles Meta pour les développeurs.

Conservation : le jeton d’accès est chiffré (§8) et conservé tant que la connexion est active. Les publications, commentaires, messages et statistiques importés sont conservés tant que l’espace les utilise, puis supprimés avec ses Données clientes (§7). Un prospect importé devient un dossier du CRM de l’espace et suit la durée de conservation que l’espace applique à ses prospects.

Révocation : à tout moment, un administrateur de l’espace peut désactiver la connexion Meta dans Paramètres > Intégrations. Chacun peut aussi retirer l’accès du Service depuis Facebook (Paramètres et confidentialité > Paramètres > Intégrations professionnelles) ou depuis les paramètres de son portefeuille business Meta : le jeton cesse alors de fonctionner et le Service ne lit ni ne publie plus rien.

Suppression : la marche à suivre pour obtenir la suppression des données reçues de Facebook et d’Instagram est décrite sur la page Suppression des données Facebook et Instagram.

14. Mesure d'usage

Pour vous aider à prendre le Service en main, Corsala mesure, pour chaque espace de travail, quelques signes simples d’appropriation de l’outil. Cette mesure ne sert qu’à vous proposer le bon coup de main au bon moment (une démonstration, une formation, un conseil pour découvrir un module que vous n’avez pas encore ouvert).

Votre solde et votre consommation de jetons IA peuvent conduire notre équipe à vous proposer une recharge, et un besoin particulier que vous nous signalez vous-même (plusieurs sociétés, reprise de données, intégrations) à vous proposer une offre sur mesure. Jamais le contenu de votre espace.

• Données concernées : les dates de connexion à votre espace, les modules que vous avez ouverts, et des compteurs (nombre de prospects créés, d’utilisateurs invités, de devis ou de liens de portail envoyés, avec la date du premier de chacun), ainsi que la date du premier devis signé.
• Ce qui n’est jamais mesuré : le contenu de vos dossiers, le nom ou les coordonnées de vos clients, les montants de vos devis et de vos factures, vos documents et vos messages. Seul le fait qu’une action a eu lieu est compté.
• Finalité : vous accompagner dans la prise en main du Service, vous proposer une recharge de jetons IA adaptée à votre usage (prospection commerciale de notre propre offre), et l’améliorer. Ces données ne sont ni vendues ni utilisées à des fins publicitaires.
• Base légale : l’intérêt légitime d’accompagnement des utilisateurs (article 6.1.f du RGPD).
• Durée : ces indicateurs sont conservés pendant la durée de votre essai ou de votre abonnement. Ils sont effacés à la clôture de votre espace, ou au plus tard 90 jours après sa suspension. Les signaux commerciaux qui en découlent sont gardés au plus 365 jours après leur traitement, et 90 jours après la clôture ou la suspension de l’espace.
• Vos droits et contact : vous pouvez vous opposer à cette mesure à tout moment en écrivant à hello@corsala.com ; notre équipe applique votre opposition à la main : les indicateurs déjà recueillis sont effacés, la mesure s’arrête pour votre espace, les alertes qui en dépendent (jetons IA) sont fermées, et la fiche de suivi qui en découlait dans notre outil commercial est supprimée. Une demande d’offre sur mesure que vous formulez vous-même reste une demande, traitée comme telle.

15. Demandes d'aide

Le bouton « Aide » de votre espace vous permet d’écrire à l’équipe de Corsala. Cette section décrit ce que nous faisons de ces demandes.

• Données concernées : l’objet et le texte que vous saisissez, votre nom et votre adresse e-mail, et, si vous la joignez, une capture d’écran. Sont aussi joints, et affichés avant l’envoi : le nom de votre espace, votre rôle, la page où vous vous trouviez (sans identifiant ni terme recherché), la version de l’application, votre navigateur et l’étape de prise en main de votre espace. Aucune donnée de vos clients, de vos devis ou de vos dossiers n’est transmise automatiquement : vérifiez votre capture et votre message avant l’envoi.
• Finalité et base légale : répondre à votre demande d’assistance, dans le cadre de l’exécution du contrat (article 6.1.b du RGPD). Pour que l’équipe puisse vous répondre et suivre l’échange, votre nom, votre adresse e-mail et le nom de votre espace sont enregistrés comme fiche de contact dans le CRM de l’équipe, avec une note reprenant votre demande. Cette fiche ne sert pas à vous proposer de produits : elle reste attachée à votre demande d’assistance.
• Destinataires : l’équipe de Corsala, et le dirigeant de votre espace, qui voit les demandes de son équipe.
• Durée : une demande close est supprimée au bout de 24 mois, capture comprise, ainsi que les notes et tâches du CRM de l’équipe qui la reprennent. La fiche de contact est conservée tant que dure la relation avec l’équipe, et supprimée sur simple demande. Une demande répondue restée sans suite pendant 7 jours est close automatiquement.
• Vos droits et contact : écrivez à hello@corsala.com pour accéder à une demande ou en demander la suppression.

16. Contact WhatsApp pour démarrer

À l’inscription et sur la liste d’attente, vous nous laissez un numéro WhatsApp, celui d’un mobile, et cochez la case de consentement. Depuis le 7 octobre 2026, ce numéro et cette case sont demandés pour s’inscrire : nous accompagnons chaque nouveau compte sur WhatsApp.

• Données : votre numéro, la date et la version du texte que vous avez accepté.
• Finalité : vous aider à prendre en main Corsala et vous relancer pendant votre essai.
• Base légale : votre consentement (article 6.1.a du RGPD), que vous pouvez retirer à tout moment, sans effet sur votre espace.
• Durée : tant que votre dossier commercial existe, et jusqu’à votre retrait ; si le dossier est supprimé, le numéro l’est avec lui. À votre retrait, nous effaçons votre numéro de votre fiche et de nos registres d’inscription. Nous ne gardons que la trace de votre consentement et de son retrait, et le numéro dans une liste de suppression, pour ne plus jamais vous écrire avec ce numéro, quelle que soit l’adresse e-mail avec laquelle il serait de nouveau donné.
• Retrait : à tout moment, en répondant STOP à un message, ou en écrivant à hello@corsala.com ; notre équipe applique votre demande à la main, pour tous les numéros recueillis par nos formulaires à cette adresse.
• Destinataire : Meta (WhatsApp Business), pour l’acheminement des messages ; voir §5 et §6.

Taille d’équipe. À l’ouverture d’un espace et sur la liste d’attente, vous indiquez la taille de votre équipe : cette information est obligatoire. Elle sert à adapter notre accompagnement à votre équipe. Elle ne dépend pas de la case WhatsApp : sa base légale est celle de mesures précontractuelles prises à votre demande (article 6.1.b du RGPD), et elle est conservée avec votre dossier commercial.

Numéros recueillis avant le 4 octobre 2026. Jusqu’à cette date, le formulaire de la liste d’attente demandait un numéro de téléphone obligatoire, sans case de consentement. Ces numéros ne valent pas consentement à être contactés sur WhatsApp. Ils restent dans nos registres d’inscription et dans notre outil commercial tant que vous n’en demandez pas l’effacement ; vous pouvez l’obtenir à tout moment en écrivant à hello@corsala.com.

17. Modification de la politique

Cette politique peut être mise à jour, notamment pour refléter l’évolution du Service ou de la réglementation applicable. Toute modification substantielle sera portée à la connaissance des Utilisateurs avant son entrée en vigueur.

18. Contact

Pour toute question relative à la présente politique de confidentialité : support@corsala.com.