Politique de confidentialité

Nous collectons uniquement les données nécessaires au fonctionnement du service :

• Données de compte : nom, adresse email, rôle (admin, mécanicien, propriétaire de bateau, etc.), mot de passe (stocké uniquement sous forme de hash bcrypt irréversible), photo de profil optionnelle.
• Connexion par empreinte (facultative) : pour chaque appareil enregistré, une clé publique et ses données techniques (identifiant de la clé, compteur de signatures, moyens de connexion, type de clé et indication de sauvegarde), son nom (« Android · Chrome ») et ses dates d'ajout et de dernière utilisation. Aucune donnée biométrique : l'empreinte (ou le visage) est vérifiée par l'appareil lui-même et ne le quitte jamais ; Captain Crews ne reçoit qu'une signature numérique. Ces données sont gardées jusqu'au retrait de l'appareil (par vous ou un administrateur), un changement ou une réinitialisation du mot de passe, la désactivation ou la suppression du compte. Le compte garde aussi la date à laquelle la connexion par empreinte vous a été proposée ou a été activée pour la première fois, pour ne vous la proposer qu'une fois ; elle est effacée avec le compte.
• Données métier saisies par l'utilisateur : fiches bateaux, interventions de maintenance, pointages, congés, factures fournisseurs uploadées, documents, notes.
• Documents lus par l'IA (uniquement si vous utilisez « Remplir avec un document » ou « Lire des cartes grises ») : la photo ou le PDF d'une carte grise ou d'un document de bateau (titre de navigation, plaques du constructeur et des moteurs). Une carte grise porte souvent le nom et l'adresse du titulaire du véhicule, qui peut être une autre personne que vous ; un titre de navigation, ceux des propriétaires du bateau. L'application n'en garde que les données techniques de l'unité que vous avez validées. Le document lui-même n'est gardé que si vous le joignez aux documents de l'unité ; il y est alors classé « privé ».
• Données techniques de session : adresse IP au moment de la connexion, navigateur, horodatage des dernières actions. Utilisées pour la sécurité (anti brute-force) et le rate-limiting des appels API.
• Voix et transcriptions (uniquement si vous utilisez l'assistant vocal) : votre voix est transcrite en texte par votre navigateur (Web Speech API, traitement local) ou par un service tiers, voir « Sous-traitants ». Le texte de votre question est ensuite envoyé au moteur d'IA.
• Demande de démo (formulaire du site vitrine, avant toute création de compte) : nom, société, adresse email, téléphone et message que vous saisissez volontairement. Ces informations servent uniquement à vous répondre. Elles ne sont ni revendues, ni utilisées pour de la prospection non sollicitée.
• Rapports d'erreurs techniques : lorsqu'une erreur survient dans l'application ou sur le site, le message d'erreur, l'adresse de la page (paramètres sensibles masqués), le type de navigateur et d'appareil, et le fil des dernières actions techniques (pages ouvertes, élément cliqué décrit par sa structure et non par son libellé, appels réseau, adresses des fichiers stockés masquées). Dans l'application uniquement, pour une partie des écrans ouverts, des mesures de rapidité sont aussi collectées : durées de chargement et adresses techniques des ressources et des appels, sans leur contenu. Sur le site vitrine, rien n'est envoyé tant qu'aucune erreur ne survient. Ces rapports ne contiennent aucun enregistrement de votre écran et ne sont pas rattachés à votre compte.

• Exécution du contrat : faire fonctionner l'application, calculer les heures de travail, générer les rapports, stocker les documents.
• Mesures précontractuelles : répondre à une demande de démo, de devis ou d'information émanant d'un prospect.
• Intérêt légitime : prévenir les abus (anti-brute-force, détection de fraude), détecter et corriger les erreurs techniques de l'application et du site, améliorer le service.
• Obligation légale : conservation des documents comptables pendant la durée légale, réponse aux autorités sur demande judiciaire valide.

Nous ne vendons jamais vos données. Aucun traitement à des fins publicitaires.

• Base de données principale : Neon Postgres hébergé au Royaume-Uni (région eu-west-2, Londres). Chiffrement au repos et en transit (TLS 1.3).
• Fichiers uploadés (photos, PDF, factures) : Vercel Blob Storage au Royaume-Uni (région lhr1 — Londres). L'application ne les sert qu'après authentification et contrôle des droits ; chaque fichier est stocké à une adresse secrète, impossible à deviner.
• Hébergement applicatif : Vercel (région lhr1 — Londres, Royaume-Uni).
• Sauvegardes : Neon effectue des point-in-time recovery sur les 7 derniers jours. En plus, la base est copiée chaque nuit, chiffrée avant tout envoi avec une clé que nous sommes seuls à détenir, vers Cloudflare R2 (stockage en Europe de l'Ouest) et vers un dépôt privé GitHub (États-Unis) ; les fichiers uploadés sont recopiés chez Cloudflare R2 trois fois par jour. Durées de conservation au §5.

Le Royaume-Uni bénéficie d'une décision d'adéquation de la Commission européenne : le transfert de données personnelles depuis l'Espace économique européen y est autorisé sans garantie supplémentaire.

Aucune donnée n'est transférée vers les États-Unis ou vers un pays hors de l'Espace économique européen et non reconnu adéquat sans garanties équivalentes (Clauses Contractuelles Types ou équivalent).

Certains traitements sont sous-traités à des partenaires spécialisés, chacun lié par un Data Processing Agreement (DPA) :

• Anthropic (États-Unis) — moteur d'intelligence artificielle Claude. Il sert à l'assistant conversationnel, à la lecture automatique des factures (OCR), à la lecture des cartes grises pour remplir la fiche d'un véhicule et à la lecture des documents d'un bateau (titre de navigation, plaques du constructeur et des moteurs) pour remplir sa fiche. Pour ces documents, la photo ou le PDF est envoyé à Anthropic pour la seule lecture. L'application n'en garde que des données techniques de l'unité (immatriculation, numéro de série, dates, dimensions, puissance, masses…). L'IA a pour consigne de ne jamais recopier le nom ni l'adresse du titulaire, et rien n'est enregistré sans votre vérification. Il en va de même pour les noms, adresses, parts et hypothèques des propriétaires d'un bateau. Captain Crews ne garde le document que si vous le joignez aux documents de l'unité. Chez Anthropic, les requêtes et les réponses sont effacées sous 30 jours, sauf obligation légale ou contrôle d'un abus. Elles ne servent pas à entraîner les modèles d'Anthropic. Les données sont stockées aux États-Unis ; le calcul peut se faire dans d'autres pays (Europe, Asie, Australie). Anthropic agit comme sous-traitant, selon son accord de traitement des données (DPA), intégré à ses conditions commerciales ; cet accord comprend les clauses contractuelles types de l'Union européenne.
• ElevenLabs (USA) — synthèse vocale de la réponse de l'assistant uniquement quand vous activez le mode voix. Le texte de réponse est envoyé puis le résultat audio est renvoyé. Pas de stockage long terme.
• Resend (USA) — envoi des emails transactionnels : réinitialisation de mot de passe, notifications, accusés de demande de démo. Aucune donnée métier transmise. Resend agit comme sous-traitant, selon son accord de traitement des données (DPA), intégré à ses conditions de service.
• Vercel (USA, hébergement au Royaume-Uni) — hébergement applicatif et stockage des fichiers. Vercel agit comme sous-traitant, selon son accord de traitement des données (DPA), intégré à ses conditions de service.
• Neon (USA, hébergement au Royaume-Uni) — base de données.
• Cloudflare (USA, stockage en Europe de l'Ouest) et GitHub (USA) — conservation des sauvegardes (détail en §3 et §5). La copie de la base leur arrive chiffrée, avec une clé que ni l'un ni l'autre ne détient.
• Microsoft (USA) — Microsoft Clarity, mesure d'audience des pages publiques du site vitrine uniquement, chargé après acceptation du bandeau cookies et arrêté dès l'entrée dans l'application : aucun enregistrement de ses écrans ni de vos données métier (détail en §8). Microsoft agit comme sous-traitant, selon son accord de traitement des données (DPA), intégré à ses conditions de service.
• Dealfront / Leadfeeder (Finlande et Allemagne, UE) — identification de la société d'origine d'une visite sur le site vitrine uniquement, à partir de l'adresse IP publique, après acceptation du bandeau cookies.
• Sentry (USA, données hébergées dans l'Union européenne — Francfort, Allemagne) — détection et diagnostic des erreurs techniques de l'application et du site (rapports décrits en §1). Les rapports émis par votre navigateur transitent par notre propre domaine, sans cookie ; aucun usage publicitaire ; votre adresse IP et la localisation qui en est déduite ne sont pas conservées. Certaines métadonnées techniques peuvent être traitées aux États-Unis sous garanties contractuelles. La détection des erreurs depuis votre navigateur entre en service le 30 septembre 2026 (préavis de 14 jours, §10) ; côté serveur, elle est en place depuis mai 2026.

• Compte actif : tant que vous utilisez le service.
• Compte supprimé : les données métier sont conservées 30 jours après la résiliation pour permettre une récupération, puis effacées définitivement (sauf obligation légale de conservation comptable, ex. factures fournisseurs conservées 10 ans côté tenant). Elles subsistent dans les sauvegardes chiffrées jusqu'à l'expiration de celles-ci (voir « Sauvegardes » ci-dessous).
• Tentatives de connexion, sessions, rapports d'erreurs et journaux techniques : 90 jours maximum.
• Documents et questions envoyés à l'IA : Captain Crews ne garde pas une carte grise ou un document de bateau envoyés pour une lecture, sauf si vous les joignez aux documents de l'unité. Chez Anthropic, toute requête (carte grise ou document de bateau lus, facture lue, question à l'assistant…) est effacée sous 30 jours, sauf obligation légale (2 ans au plus si un contrôle d'abus la signale).
• Journal des actions (qui a fait quoi dans l'application : nom et adresse e-mail de l'auteur, action et élément concerné — par exemple le compte supprimé ; pour chaque connexion réussie, l'adresse IP et le navigateur utilisés) : 24 mois, y compris après la suppression du compte de l'auteur. Il sert à la sécurité du service et à retracer une opération en cas de litige.
• Demande de démo restée sans suite : 3 ans à compter du dernier contact, puis effacement. Vous pouvez demander la suppression immédiate à tout moment.
• Sauvegardes chiffrées : 90 jours pour la base de données. Un fichier supprimé de l'application (photo, document) est retiré des sauvegardes environ 90 jours après sa suppression (jusqu'à 120 jours s'il avait été déposé moins d'un mois avant).

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données :

• Droit d'accès : obtenir une copie de vos données.
• Droit de rectification : corriger des données inexactes.
• Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données, sous réserve des obligations légales de conservation.
• Droit à la portabilité : recevoir vos données dans un format structuré (JSON / CSV).
• Droit d'opposition et droit à la limitation du traitement.
• Droit de retirer votre consentement à tout moment (sans effet sur les traitements antérieurs).

Pour exercer ces droits, contactez-nous à info@captaincrews.com en précisant l'objet de votre demande. Nous répondons sous 30 jours. Si la réponse ne vous satisfait pas, vous pouvez saisir l'autorité de contrôle compétente : la CNIL en France, le Data Protection Office à Maurice.

• Authentification par mot de passe haché en bcrypt (12 rounds).
• Double authentification (2FA) optionnelle via TOTP (Google Authenticator, Authy…).
• Connexion par empreinte optionnelle (clés d'accès, norme WebAuthn) : chaque clé est liée au domaine captaincrews.com et ne peut pas servir à un faux site.
• Sessions JWT signées HS256 avec révocation possible (kill switch global sur changement de mot de passe).
• Verrouillage temporaire du compte après des échecs de connexion successifs : 30 minutes dès 5 échecs, 2 heures dès 10 ; un blocage définitif n'est posé que par un administrateur.
• Rate-limiting des appels API sensibles.
• Headers de sécurité HTTP standards : HSTS, X-Frame-Options DENY, X-Content-Type-Options, Permissions-Policy restrictive ; Content-Security-Policy sur les fichiers téléversés servis par l'application.

Dans l'application, Captain Crews n'utilise que des cookies nécessaires à son fonctionnement ou à vos préférences d'affichage, sans aucun traçage :

• anm_session — cookie de session authentifiée (httpOnly, secure, sameSite=lax, durée 30 jours).
• anm_pending_2fa — cookie temporaire entre la saisie du mot de passe et la validation 2FA (durée 5 minutes).
• locale, cc_boat_hero — cookies de préférence d'affichage, sans traçage : langue de l'interface et affichage compact de la fiche d'une unité (durée 1 an).

Sur les pages publiques du site captaincrews.com uniquement, et seulement après votre acceptation du bandeau affiché à la première visite, deux outils de mesure d'audience sont chargés. Ils sont arrêtés dès que vous entrez dans l'application et n'enregistrent ni ses écrans ni vos données métier :

• Microsoft Clarity (Microsoft Corporation, USA) — mesure d'audience et enregistrement anonymisé des parcours de navigation sur les pages publiques, pour comprendre comment le site est utilisé et l'améliorer. À l'entrée dans l'application, Clarity s'arrête ; un dernier signal technique, sans contenu d'écran, peut encore transmettre l'adresse de la page de l'application alors ouverte (par exemple après un retour arrière ou une longue inactivité).
• Leadfeeder / Dealfront (Finlande et Allemagne, UE) — identification, à partir de l'adresse IP publique, de la société d'où provient une visite. Aucune personne physique n'est identifiée et aucune valeur saisie dans un formulaire ne lui est transmise. Dès que vous entrez dans l'application, l'outil est désactivé par un cookie technique (ldfdr_opt_out), qui efface aussi son identifiant de visite (_lfa) ; ce cookie est levé à votre retour sur le site.

Aucun cookie publicitaire, aucun cookie de reciblage, aucun pixel de réseau social, aucune revente de données. Si vous refusez le bandeau, aucun de ces deux outils n'est chargé et le site fonctionne à l'identique.

Détection d'erreurs (Sentry) — dans l'application comme sur le site, un module de détection d'erreurs fonctionne sans attendre le bandeau : il sert à la sécurité et au bon fonctionnement du service que vous utilisez, pas à la mesure d'audience. Sur le site vitrine, il n'envoie rien tant qu'aucune erreur ne survient. Il ne dépose aucun cookie et n'écrit rien dans le stockage de votre navigateur ; refuser le bandeau ne le désactive donc pas. Il repose sur notre intérêt légitime (§2). Ces rapports ne comportent ni cookie, ni adresse IP, ni identifiant de compte ; pour toute question sur ce traitement, écrivez-nous (voir §6).

Modifier mon choix de cookies

Captain Crews est un outil professionnel B2B destiné à des sociétés. Aucun accès n'est prévu pour les personnes de moins de 16 ans. Si nous apprenions qu'un compte a été créé pour un mineur, nous le supprimerions immédiatement.

Cette politique peut être modifiée pour refléter une évolution technique ou réglementaire. La date de mise à jour est indiquée en haut de page. Les modifications substantielles vous seront notifiées par email au moins 14 jours avant leur entrée en vigueur. Dernière notification : les sociétés clientes ont été prévenues par email le 16 septembre 2026 de l'activation de la détection des erreurs depuis le navigateur (voir §4, Sentry), entrée en vigueur le 30 septembre 2026.

Toute question, demande d'exercice de droit, signalement d'incident de sécurité :

Assistance Nautic Ltd
Avenue Shebeck, Albion 91001, Maurice
BRN : C18153647
Email : info@captaincrews.com