Politique de confidentialité

Nous collectons uniquement les données nécessaires au fonctionnement du service :

• Données de compte : nom, adresse email, rôle (admin, mécanicien, propriétaire de bateau, etc.), mot de passe (stocké uniquement sous forme de hash bcrypt irréversible), photo de profil optionnelle.
• Connexion par empreinte (facultative) : pour chaque appareil enregistré, une clé publique et ses données techniques (identifiant de la clé, compteur de signatures, moyens de connexion, type de clé et indication de sauvegarde), son nom (« Android · Chrome ») et ses dates d'ajout et de dernière utilisation. Aucune donnée biométrique : l'empreinte (ou le visage) est vérifiée par l'appareil lui-même et ne le quitte jamais ; Captain Crews ne reçoit qu'une signature numérique. Ces données sont gardées jusqu'au retrait de l'appareil (par vous ou un administrateur), un changement ou une réinitialisation du mot de passe, la désactivation ou la suppression du compte. Le compte garde aussi la date à laquelle la connexion par empreinte vous a été proposée ou a été activée pour la première fois, pour ne vous la proposer qu'une fois ; elle est effacée avec le compte.
• Données métier saisies par l'utilisateur : fiches bateaux, interventions de maintenance, pointages, congés, factures fournisseurs uploadées, documents, notes.
• Documents lus par l'IA (quand vous utilisez « Remplir avec un document » ou « Lire des cartes grises » ; les autres envois de photos et de documents à l'IA sont décrits au §4) : la photo ou le PDF d'une carte grise ou d'un document de bateau (titre de navigation, plaques du constructeur et des moteurs). Une carte grise porte souvent le nom et l'adresse du titulaire du véhicule, qui peut être une autre personne que vous ; un titre de navigation, ceux des propriétaires du bateau. L'application n'en garde que les données techniques de l'unité que vous avez validées. Le document lui-même n'est gardé que si vous le joignez aux documents de l'unité ; il y est alors classé « privé ».
• Données techniques de session : adresse IP au moment de la connexion, navigateur, horodatage des dernières actions. Utilisées pour la sécurité (anti brute-force) et le rate-limiting des appels API.
• Voix et transcriptions (uniquement si vous utilisez l'assistant vocal) : votre voix est transcrite en texte par la reconnaissance vocale de votre navigateur ou de votre téléphone ; selon l'appareil, la transcription se fait sur l'appareil lui-même ou par le service en ligne de l'éditeur du navigateur ou du téléphone (par exemple Google, Apple ou Microsoft). Captain Crews ne reçoit que le texte, pas l'enregistrement de votre voix. Le texte de votre question est ensuite envoyé au moteur d'IA, avec les données que l'assistant consulte pour vous répondre (voir §4).
• Demande de démo (formulaire du site vitrine, avant toute création de compte) : nom, société, adresse email, téléphone et message que vous saisissez volontairement. Ces informations servent uniquement à vous répondre. Elles ne sont ni revendues, ni utilisées pour de la prospection non sollicitée. Avec votre demande, nous recevons aussi quelques informations sur votre visite, que vous n'avez pas à saisir : votre réponse facultative à « Comment nous avez-vous connus ? », la première page vue sur notre site, le nom du site qui vous y a mené (son domaine seulement, par exemple « google.com »), les paramètres de campagne de l'adresse (« utm »), la page vue juste avant le formulaire, la langue de votre navigateur et le pays que notre hébergeur estime à partir de votre adresse IP (seul le code du pays nous est transmis avec votre demande ; votre adresse IP n'y est ni jointe ni conservée). Rien n'est enregistré sur votre appareil : aucun cookie. Ces informations sont jointes à l'email qui nous transmet votre demande, sont conservées avec elle, et servent seulement à savoir comment on nous trouve.
• Rapports d'erreurs techniques : lorsqu'une erreur survient dans l'application ou sur le site, le message d'erreur, l'adresse de la page (paramètres sensibles masqués), le type de navigateur et d'appareil, et le fil des dernières actions techniques (pages ouvertes, élément cliqué décrit par sa structure et non par son libellé, appels réseau, adresses des fichiers stockés masquées). Dans l'application uniquement, pour une partie des écrans ouverts, des mesures de rapidité sont aussi collectées : durées de chargement et adresses techniques des ressources et des appels, sans leur contenu. Sur le site vitrine, rien n'est envoyé tant qu'aucune erreur ne survient. Ces rapports ne contiennent aucun enregistrement de votre écran et ne sont pas rattachés à votre compte.

• Exécution du contrat : faire fonctionner l'application, calculer les heures de travail, générer les rapports, stocker les documents.
• Mesures précontractuelles : répondre à une demande de démo, de devis ou d'information émanant d'un prospect.
• Intérêt légitime : prévenir les abus (anti-brute-force, détection de fraude), détecter et corriger les erreurs techniques de l'application et du site, améliorer le service.
• Obligation légale : conservation des documents comptables pendant la durée légale, réponse aux autorités sur demande judiciaire valide.

Nous ne vendons jamais vos données. Aucun traitement à des fins publicitaires.

• Base de données principale : Neon Postgres hébergé au Royaume-Uni (région eu-west-2, Londres). Chiffrement au repos et en transit (TLS).
• Fichiers uploadés (photos, PDF, factures) : Vercel Blob Storage au Royaume-Uni (région lhr1 — Londres). L'application n'affiche un fichier qu'après connexion et contrôle des droits ; il est stocké à une adresse secrète, impossible à deviner. Un stockage strictement privé est en préparation.
• Hébergement applicatif : Vercel (région lhr1 — Londres, Royaume-Uni).
• Sauvegardes : Neon effectue des point-in-time recovery sur les 7 derniers jours. En plus, la base est copiée chaque nuit, chiffrée avant tout envoi avec une clé que nous sommes seuls à détenir, vers Cloudflare R2 (stockage en Europe de l'Ouest) et vers un dépôt privé GitHub (États-Unis) ; les fichiers uploadés sont recopiés chez Cloudflare R2 trois fois par jour. Durées de conservation au §5.

Le Royaume-Uni bénéficie d'une décision d'adéquation de la Commission européenne : le transfert de données personnelles depuis l'Espace économique européen y est autorisé sans garantie supplémentaire.

Aucune donnée n'est transférée vers les États-Unis ou vers un pays hors de l'Espace économique européen et non reconnu adéquat sans garanties équivalentes (Clauses Contractuelles Types ou équivalent).

Certains traitements sont sous-traités à des partenaires spécialisés, chacun lié par un Data Processing Agreement (DPA) :

• Anthropic (États-Unis) — moteur d'intelligence artificielle Claude. Il sert à l'assistant conversationnel, à la lecture automatique des factures (OCR), à la lecture des cartes grises pour remplir la fiche d'un véhicule et à la lecture des documents d'un bateau (titre de navigation, plaques du constructeur et des moteurs) pour remplir sa fiche. Pour ces documents, la photo ou le PDF est envoyé à Anthropic pour la seule lecture. L'application n'en garde que des données techniques de l'unité (immatriculation, numéro de série, dates, dimensions, puissance, masses…). L'IA a pour consigne de ne jamais recopier le nom ni l'adresse du titulaire, et rien n'est enregistré sans votre vérification. Il en va de même pour les noms, adresses, parts et hypothèques des propriétaires d'un bateau. Captain Crews ne garde le document que si vous le joignez aux documents de l'unité. Le moteur sert aussi au classement d'une photo d'unité par zone (la photo est envoyée), au tri des documents déposés et à leur rattachement à une unité (le document est envoyé, avec la liste des unités de la flotte), à la lecture d'un document déposé pour en proposer le type, la date d'expiration et un résumé, à la lecture d'un tableau de flotte importé, à la traduction des textes saisis (par exemple les titres et notes d'intervention) pour un lecteur d'une autre langue et à l'analyse d'un travail dicté. Quand l'assistant répond sur le personnel, les résultats de ses recherches lui sont aussi envoyés : noms, adresses e-mail et fonctions des salariés, statistiques d'heures, horaires, congés et absences. Chez Anthropic, les requêtes et les réponses sont effacées sous 30 jours, sauf obligation légale ou contrôle d'un abus. Elles ne servent pas à entraîner les modèles d'Anthropic. Les données sont stockées aux États-Unis ; le calcul peut se faire dans d'autres pays (Europe, Asie, Australie). Anthropic agit comme sous-traitant, selon son accord de traitement des données (DPA), intégré à ses conditions commerciales ; cet accord comprend les clauses contractuelles types de l'Union européenne.
• ElevenLabs (USA) — synthèse vocale de la réponse de l'assistant. Désactivée par défaut : elle n'est activée pour une société qu'à la demande de celle-ci, puis ne sert que quand vous activez le mode voix. Le texte de réponse est envoyé puis le résultat audio est renvoyé.
• Resend (USA) — envoi des emails transactionnels : réinitialisation de mot de passe, alerte de sécurité quand une connexion par empreinte est ajoutée à votre compte ou que le code à 6 chiffres y est activé, demandes de démo (transmission à notre équipe et accusé de réception) et alertes internes de dépense d'IA adressées à l'équipe Captain Crews. Aucune donnée métier transmise. Resend agit comme sous-traitant, selon son accord de traitement des données (DPA), intégré à ses conditions de service.
• Vercel (USA, hébergement au Royaume-Uni) — hébergement applicatif et stockage des fichiers. Vercel agit comme sous-traitant, selon son accord de traitement des données (DPA), intégré à ses conditions de service.
• Neon (USA, hébergement au Royaume-Uni) — base de données.
• Cloudflare (USA, stockage en Europe de l'Ouest) et GitHub (USA) — conservation des sauvegardes (détail en §3 et §5). La copie de la base leur arrive chiffrée, avec une clé que ni l'un ni l'autre ne détient.
• Microsoft (USA) — Microsoft Clarity, mesure d'audience des pages publiques du site vitrine uniquement, chargé après acceptation du bandeau cookies et arrêté dès l'entrée dans l'application : aucun enregistrement de ses écrans ni de vos données métier (détail en §8). Microsoft agit comme sous-traitant, selon son accord de traitement des données (DPA), intégré à ses conditions de service.
• Dealfront / Leadfeeder (Finlande et Allemagne, UE) — identification de la société d'origine d'une visite sur le site vitrine uniquement, à partir de l'adresse IP publique, après acceptation du bandeau cookies.
• Sentry (USA, données hébergées dans l'Union européenne — Francfort, Allemagne) — détection et diagnostic des erreurs techniques de l'application et du site (rapports décrits en §1). Les rapports émis par votre navigateur transitent par notre propre domaine, sans cookie ; aucun usage publicitaire ; votre adresse IP et la localisation qui en est déduite ne sont pas conservées. Certaines métadonnées techniques peuvent être traitées aux États-Unis sous garanties contractuelles. La détection des erreurs depuis votre navigateur entre en service le 30 septembre 2026 (préavis de 14 jours, §10) ; côté serveur, elle est en place depuis mai 2026.

• Compte actif : tant que vous utilisez le service.
• Pour limiter les abus du formulaire de contact et de « mot de passe oublié », nous conservons une empreinte cryptographique de l’adresse IP, jamais l’adresse IP elle-même. Elle est effacée lors du ménage quotidien : nous la gardons environ 24 heures, davantage en cas de panne.
• Compte supprimé : les données métier sont conservées 30 jours après la résiliation pour permettre une récupération, puis effacées définitivement (sauf obligation légale de conservation comptable, ex. factures fournisseurs conservées 10 ans côté tenant). Elles subsistent dans les sauvegardes chiffrées jusqu'à l'expiration de celles-ci (voir « Sauvegardes » ci-dessous). Les fichiers déposés (photos, documents, pièces jointes) sont effacés quand la fiche, l'unité ou la société qui les contient est supprimée, ou quand ils sont supprimés directement dans l'application, sauf s'ils servent encore ailleurs (par exemple un document qui sert aussi de justificatif à une facture) ; la photo de profil d'un compte supprimé est effacée aussi. Une facture supprimée passe d'abord 30 jours dans la corbeille de l'application, où elle peut être restaurée, puis elle est effacée avec son fichier. Quand un compte utilisateur est supprimé, ses données personnelles sont effacées, mais ce qu'il a écrit pour les autres (comptes rendus de travaux, notes et messages avec leurs pièces jointes, signalements) reste visible des autres participants, signé « Compte supprimé ». Un fichier effacé est ensuite retiré des sauvegardes comme indiqué ci-dessous.
• Tentatives de connexion, sessions, rapports d'erreurs et journaux techniques : 90 jours maximum.
• Documents et questions envoyés à l'IA : Captain Crews ne garde pas une carte grise ou un document de bateau envoyés pour une lecture, sauf si vous les joignez aux documents de l'unité. Chez Anthropic, toute requête (carte grise ou document de bateau lus, facture lue, question à l'assistant…) est effacée sous 30 jours, sauf obligation légale (2 ans au plus si un contrôle d'abus la signale).
• Journal des actions (qui a fait quoi dans l'application : nom et adresse e-mail de l'auteur, action et élément concerné — par exemple le compte supprimé ; pour chaque connexion réussie, l'adresse IP et le navigateur utilisés ; pour chaque connexion refusée pour un mot de passe erroné, sa date et le compte visé, sans adresse IP ni navigateur) : 24 mois, y compris après la suppression du compte de l'auteur. Il sert à la sécurité du service et à retracer une opération en cas de litige. Seule exception à cette durée : la ligne qui prouve l'acceptation des conditions générales d'utilisation est gardée tant que le compte qui les a acceptées existe ; ensuite, la règle des 24 mois s'applique.
• Demande de démo restée sans suite : 3 ans à compter du dernier contact, puis effacement. Vous pouvez demander la suppression immédiate à tout moment.
• Sauvegardes chiffrées : 90 jours pour la base de données. Un fichier supprimé de l'application (photo, document) est retiré des sauvegardes environ 90 jours après sa suppression (jusqu'à 120 jours s'il avait été déposé moins d'un mois avant).

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données :

• Droit d'accès : obtenir une copie de vos données.
• Droit de rectification : corriger des données inexactes.
• Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données, sous réserve des obligations légales de conservation.
• Droit à la portabilité : recevoir vos données dans un format structuré et ouvert, sous la forme d'une archive ZIP qui réunit des tableaux CSV, des fiches texte, des PDF et vos fichiers d'origine (photos, documents).
• Droit d'opposition et droit à la limitation du traitement.
• Droit de retirer votre consentement à tout moment (sans effet sur les traitements antérieurs).

Pour exercer ces droits, contactez-nous à info@captaincrews.com en précisant l'objet de votre demande. Nous répondons sous 30 jours. Si la réponse ne vous satisfait pas, vous pouvez saisir l'autorité de contrôle compétente : la CNIL en France, le Data Protection Office à Maurice.

• Authentification par mot de passe haché en bcrypt (12 rounds).
• Double authentification (2FA) optionnelle via TOTP (Google Authenticator, Authy…).
• Connexion par empreinte optionnelle (clés d'accès, norme WebAuthn) : chaque clé est liée au domaine captaincrews.com et ne peut pas servir à un faux site.
• Sessions JWT signées HS256 avec révocation possible (kill switch global sur changement de mot de passe).
• Verrouillage temporaire du compte après des échecs de connexion successifs : 30 minutes dès 5 échecs en 24 heures, 2 heures dès 10 ; un blocage définitif n'est posé que par un administrateur.
• Rate-limiting des appels API sensibles.
• Headers de sécurité HTTP standards : HSTS, X-Frame-Options DENY, X-Content-Type-Options, Permissions-Policy restrictive ; Content-Security-Policy sur les fichiers téléversés servis par l'application.
• Signaler une faille de sécurité : écrivez à info@captaincrews.com (adresse publiée aussi dans /.well-known/security.txt), sans la rendre publique avant sa correction.

Dans l'application, Captain Crews n'utilise que des cookies nécessaires à son fonctionnement ou à vos préférences d'affichage, sans aucun traçage :

• anm_session — cookie de session authentifiée (httpOnly, secure, sameSite=lax, durée 30 jours).
• anm_pending_2fa — cookie temporaire entre la saisie du mot de passe et la validation 2FA (durée 5 minutes).
• locale, bandeau_langue, devise, cc_boat_hero — cookies de préférence d'affichage, sans traçage : langue de l'interface (aussi posée sur le site vitrine quand vous choisissez une langue), choix de ne plus voir la proposition de langue du site, devise des prix du site (euro ou dollar US) et affichage compact de la fiche d'une unité (durée 1 an).

Sur les pages publiques du site captaincrews.com uniquement, et seulement après votre acceptation du bandeau affiché à la première visite, deux outils de mesure d'audience sont chargés. Ils sont arrêtés dès que vous entrez dans l'application et n'enregistrent ni ses écrans ni vos données métier :

• Microsoft Clarity (Microsoft Corporation, USA) — mesure d'audience et enregistrement anonymisé des parcours de navigation sur les pages publiques, pour comprendre comment le site est utilisé et l'améliorer. À l'entrée dans l'application, Clarity s'arrête ; un dernier signal technique, sans contenu d'écran, peut encore transmettre l'adresse de la page de l'application alors ouverte (par exemple après un retour arrière ou une longue inactivité).
• Leadfeeder / Dealfront (Finlande et Allemagne, UE) — identification, à partir de l'adresse IP publique, de la société d'où provient une visite. Aucune personne physique n'est identifiée et aucune valeur saisie dans un formulaire ne lui est transmise. Dès que vous entrez dans l'application, l'outil est désactivé par un cookie technique (ldfdr_opt_out), qui efface aussi son identifiant de visite (_lfa) ; ce cookie est levé à votre retour sur le site.

Aucun cookie publicitaire, aucun cookie de reciblage, aucun pixel de réseau social, aucune revente de données. Si vous refusez le bandeau, aucun de ces deux outils n'est chargé et le site fonctionne à l'identique.

Détection d'erreurs (Sentry) — dans l'application comme sur le site, un module de détection d'erreurs fonctionne sans attendre le bandeau : il sert à la sécurité et au bon fonctionnement du service que vous utilisez, pas à la mesure d'audience. Sur le site vitrine, il n'envoie rien tant qu'aucune erreur ne survient. Il ne dépose aucun cookie et n'écrit rien dans le stockage de votre navigateur ; refuser le bandeau ne le désactive donc pas. Il repose sur notre intérêt légitime (§2). Ces rapports ne comportent ni cookie, ni adresse IP, ni identifiant de compte ; pour toute question sur ce traitement, écrivez-nous (voir §6).

Modifier mon choix de cookies

Captain Crews est un outil professionnel B2B destiné à des sociétés. Aucun accès n'est prévu pour les personnes de moins de 16 ans. Si nous apprenions qu'un compte a été créé pour un mineur, nous le supprimerions immédiatement.

Cette politique peut être modifiée pour refléter une évolution technique ou réglementaire. La date de mise à jour est indiquée en haut de page. Les modifications substantielles vous seront notifiées par email au moins 14 jours avant leur entrée en vigueur. Dernière notification : les sociétés clientes ont été prévenues par email le 16 septembre 2026 de l'activation de la détection des erreurs depuis le navigateur (voir §4, Sentry), entrée en vigueur le 30 septembre 2026. Mise à jour du 15 octobre 2026 : précisions, et un ajout au journal des actions : les connexions refusées pour un mot de passe erroné y sont notées (date et compte visé, sans adresse IP ni navigateur) ; elle n'a pas donné lieu à un e-mail.

Toute question, demande d'exercice de droit, signalement d'incident de sécurité :

Assistance Nautic Ltd
Avenue Shebeck, Albion 91001, Maurice
BRN : C18153647
Email : info@captaincrews.com