Conformité RGPD

Politique de confidentialité

Ce que Au Rapport collecte, pourquoi, chez quels sous-traitants, combien de temps, et comment exercer vos droits.

Version du 15 octobre 2026.

Responsable de traitement

Théophane Kiefer, entrepreneur individuel exerçant sous le nom commercial KFR Tech, dont les coordonnées figurent dans nos mentions légales, est responsable du traitement des données personnelles collectées via Au Rapport. Pour les données saisies par nos utilisateurs dans leurs rapports (clients finaux, sites inspectés, photos), l'utilisateur est responsable de traitement et Au Rapport agit en qualité de sous-traitant — voir notre accord de sous-traitance (DPA).

Traitements, bases légales et durées

Finalité	Données	Base légale	Durée
Création et gestion du compte	Email, mot de passe (haché), nom d’activité, SIRET, profil d’activité (usage du drone, moyens d’inspection, métier), n° de certificat DGAC (facultatif)	Exécution du contrat (art. 6.1.b)	Durée de l’abonnement + 3 ans après résiliation
Facturation et comptabilité	Raison sociale, adresse, SIRET, historique de facturation	Obligation légale (art. 6.1.c)	10 ans (obligation comptable et fiscale)
Production des rapports d’inspection	Contenu des rapports, photos téléversées, identité et adresse des sites inspectés	Exécution du contrat (art. 6.1.b) — Au Rapport agit en sous-traitant de l’utilisateur (voir DPA)	Durée de l’abonnement, puis suppression 30 jours après la résiliation ; essai partenaire non converti : 30 jours après la fin de l’essai. Une photo qu’aucun rapport n’utilise plus est supprimée automatiquement une fois passés 30 jours depuis son dépôt
Liste de diffusion (rapports d’exemple, nouveautés)	Email	Consentement (art. 6.1.a)	Jusqu’à la désinscription
Demandes de contact et de partenariat (formulaires des pages Contact et Partenaires)	Nom, email, téléphone (facultatif), objet et message	Intérêt légitime (art. 6.1.f) — répondre à la demande ; mesures précontractuelles (art. 6.1.b) pour une demande d’offre ou de partenariat	Supprimées sur demande ; au plus tard 3 ans après le dernier échange
Sécurité du service (journaux techniques)	Adresse IP, agent utilisateur, journal d’erreurs	Intérêt légitime (art. 6.1.f) — sécurité et prévention des abus	12 mois maximum
Mesure d’audience agrégée (Vercel Web Analytics)	Page consultée, page de provenance, pays, type d’appareil et navigateur. Aucun cookie, aucun identifiant enregistré sur votre appareil. Les espaces connectés et les liens de rapports partagés ne sont pas mesurés.	Intérêt légitime (art. 6.1.f) — connaître la fréquentation du site public	Statistiques agrégées, conservées par Vercel pour la durée de rétention de l’offre souscrite
Origine des inscriptions (attribution d’acquisition)	Code de centre partenaire, paramètres de campagne (UTM), page de provenance externe, page d’arrivée, date de la première visite. Sur votre appareil : le code partenaire seul sans votre accord (nécessaire pour appliquer la remise) ; le reste seulement après « Accepter » sur le bandeau cookies.	Code partenaire : exécution de l’offre demandée (art. 6.1.b). Provenance : consentement pour l’enregistrement sur l’appareil (art. 82 loi Informatique et Libertés), puis intérêt légitime (art. 6.1.f) pour son rattachement au compte créé	Sur l’appareil : 90 jours au plus ou jusqu’à l’inscription. Avec le compte : durée du compte
Mesure d’audience détaillée (PostHog)	Pages vues, interactions, données de navigation	Consentement (art. 6.1.a) — bandeau cookies	13 mois maximum

Le numéro de certificat DGAC est facultatif : il n’est collecté que si vous le renseignez, pour être affiché sur les rapports de vos missions au drone. Les données de paiement (carte bancaire) sont traitées exclusivement par Stripe et ne sont jamais stockées sur nos serveurs.

Sous-traitants et transferts

Pour fournir le service, nous faisons appel aux sous-traitants suivants, tous engagés contractuellement à respecter le RGPD. La liste détaillée (localisation, garanties de transfert) est tenue à jour sur la page DPA & sous-traitants :

Vercel Inc. — hébergement de l'application (société américaine, fonctions exécutées à Francfort, région fra1 ; transferts encadrés par les clauses contractuelles types) et mesure d'audience agrégée du site public (Vercel Web Analytics, sans cookie).
Neon — base de données, hébergée chez AWS à Francfort (Allemagne, région eu-central-1) ; Neon est une société américaine, et un accès éventuel depuis les États-Unis est encadré par les clauses contractuelles types.
Cloudflare — stockage des photos et PDF (R2) et, selon la configuration, rendu des documents PDF (Browser Rendering).
Upstash — protection contre les abus : compteurs de limitation de débit (adresse IP, identifiant de compte et, pour la connexion et la réinitialisation du mot de passe, adresse e-mail), conservés 2 heures au plus, et empreinte des sessions déconnectées, conservée jusqu’à l’expiration de la session (30 jours au plus). Ces données sont stockées à Francfort (Allemagne) ; Upstash est une société américaine, et les données qu’elle reçoit aux États-Unis sont encadrées par le Data Privacy Framework UE–États-Unis ou, à défaut, par les clauses contractuelles types.
Stripe — traitement des paiements.
Resend — envoi d'emails transactionnels (société américaine ; transferts encadrés par les clauses contractuelles types).
PostHog — mesure d'audience, instance PostHog Cloud EU (hébergement UE), activée uniquement après votre consentement.
Anthropic — copilote IA (analyse de photos d'inspection, lecture de devis pour pré-remplir un rapport, rédaction assistée) : les photos, documents ou données de rapport ne lui sont transmis que lors d'une action explicite de votre part, ne sont pas utilisés pour entraîner ses modèles et ne sont pas conservés par Au Rapport au-delà du traitement (société américaine ; transferts encadrés par les clauses contractuelles types).

En résumé : l'application est servie par Vercel, société américaine dont les fonctions s’exécutent à Francfort (région fra1) ; la base de données est chez Neon, à Francfort, les photos et les PDF chez Cloudflare (R2), les compteurs de limitation de débit chez Upstash, à Francfort. La région d’hébergement d’un prestataire, lorsqu’elle n’est pas indiquée ici, est communiquée sur demande ; les transferts éventuels hors de l’Union européenne sont encadrés par les clauses contractuelles types de la Commission européenne (pour Upstash, par le Data Privacy Framework et, à défaut, par ces clauses).

Vos droits

Conformément au RGPD, vous disposez des droits suivants :

Droit d'accès à vos données.
Droit de rectification.
Droit à l'effacement (« droit à l'oubli »).
Droit à la limitation du traitement.
Droit à la portabilité — vos rapports sont exportables à tout moment depuis votre espace.
Droit d'opposition.
Droit de retirer votre consentement à tout moment (newsletter, cookies d'analyse).

Pour exercer vos droits, écrivez-nous à contact@drone-rapport.com. Nous répondons sous un mois. Vous disposez également du droit d'introduire une réclamation auprès de la CNIL (cnil.fr).

Application mobile « Au Rapport »

L’application sert à utiliser un compte Au Rapport existant (essai ou abonnement) ; elle ne permet pas d’en créer un.

Sur l’appareil. Les rapports, leurs photos et votre profil (coordonnées, logo) sont enregistrés dans l’espace privé de l’application, y compris sans réseau. Ils y restent jusqu’à la déconnexion, qui les efface de l’appareil, et sont exclus des sauvegardes iCloud et Google.
Connexion. Seul un jeton de session est conservé, dans le stockage sécurisé du système (Keychain ou Keystore) ; votre mot de passe n’est pas enregistré.
Synchronisation. L’application envoie un rapport à votre espace, en HTTPS, quand vous l’enregistrez en étant connecté et avant chaque génération de PDF (le PDF est produit par nos serveurs) ; ses photos rejoignent alors le stockage des photos du site (Cloudflare R2). Votre profil (coordonnées, SIRET, assurance, signataire, logo) est envoyé à votre espace quand vous l’enregistrez en étant connecté : il sert à produire vos PDF. Les traitements et durées décrits plus haut s’appliquent ensuite à l’identique.
Copilote IA. La lecture d’un devis, l’analyse de photos et la rédaction assistée ne se lancent que sur votre action : le document, les photos ou le texte concernés sont alors transmis à Anthropic, qui ne les utilise pas pour entraîner ses modèles. Le devis n’est pas conservé sur nos serveurs ; les photos analysées sont stockées avec celles du rapport. Votre choix sur chaque suggestion (retenue ou écartée) est enregistré sur nos serveurs avec votre compte et le rapport concerné, sans photo ni texte, pour améliorer les suggestions.
Lien de consultation. Si vous en créez un, le rapport finalisé est lisible par toute personne qui détient le lien, jusqu’à ce que vous le révoquiez.
Autorisations. L’appareil photo et la galerie servent uniquement à joindre des photos à vos rapports, à faire lire un devis par le copilote IA et à fournir votre logo.
Ni publicité ni pistage. L’application n’intègre aucun outil de mesure d’audience, de publicité ou de suivi.
Suppression. Un rapport supprimé de votre espace l’est avec les photos qu’il contient, sauf celles qu’un autre de vos rapports utilise encore (copie d’un rapport dupliqué). Les photos qu’aucun rapport n’utilise plus (photo retirée, analysée puis écartée, ancienne copie remplacée lors d’une synchronisation) sont supprimées automatiquement une fois passés 30 jours depuis leur dépôt. Pour supprimer votre compte ou d’autres données, écrivez à contact@drone-rapport.com.

Cookies

Au Rapport utilise deux catégories de cookies :

Cookies strictement nécessaires (session d'authentification) — exemptés de consentement, indispensables au fonctionnement de votre espace.
Cookies de mesure d'audience (PostHog) — déposés uniquement après votre consentement via le bandeau cookies. Aucune requête PostHog n'est émise tant que vous n'avez pas cliqué sur « Accepter ». Durée de vie maximale : 13 mois.

Aucun cookie publicitaire n'est déposé. Vous pouvez retirer votre consentement à tout moment via le lien « Gérer les cookies » présent en pied de page.

Mesure d'audience sans cookie

Le site public (accueil, pages des modèles, exemples, contact…) est mesuré par Vercel Web Analytics, l'outil de l'hébergeur : aucun cookie n'est déposé et rien n'est enregistré sur votre appareil ; Vercel compte les visites à partir d'une empreinte calculée sur la requête et ne nous restitue que des totaux (pages vues, pages de provenance, pays, types d'appareil). Votre espace client, l'espace d'administration et les liens de rapports partagés ne sont pas mesurés, et les adresses transmises ne gardent que les paramètres de campagne (utm_…) et le modèle ou la formule choisis. Pour vous y opposer, activez « Do Not Track » ou « Global Privacy Control » dans votre navigateur : aucune mesure n'est alors envoyée.