Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement est Vibecoder Labs, SASU au capital de 100 euros, dont le siège social est situé au 47 rue Vivienne, 75002 Paris, immatriculée au RCS de Paris sous le numéro 130 789 530.

Contact données personnelles : contact@tenderfindr.com

2. Données collectées

Nous pouvons collecter les catégories de données suivantes :

• Données d'identification - nom, prénom, adresse e-mail, identifiant de compte ;
• Données de facturation - informations de souscription, historique de paiements (traités par Stripe) ;
• Données d'usage - journaux de connexion, actions réalisées dans l'application, préférences ;
• Profil de votre entreprise - informations que vous renseignez sur votre entreprise (SIRET, certifications, moyens, personnels clés, références), ainsi que les marchés publics déjà attribués à votre entreprise, récupérés dans les données essentielles de la commande publique (DECP) à partir de votre SIRET ;
• Téléphone professionnel (obligatoire pour configurer votre entreprise) - celui que vous renseignez ou, à défaut, le numéro professionnel public de votre entreprise ou celui fourni par une base de contacts professionnels (lemlist). Il est repris dans les documents de candidature que vous générez et utilisé pour vous contacter afin de vous accompagner dans l'utilisation du service, jamais communiqué à des tiers ni utilisé à des fins publicitaires ;
• Documents et contenus - dossiers de consultation importés, mémoires techniques, pièces jointes et tout contenu que vous déposez dans votre espace.

3. Finalités et bases légales

Vos données sont traitées pour les finalités suivantes :

• Fourniture et amélioration du service (exécution du contrat) ;
• Gestion des comptes, de la facturation et du support client (exécution du contrat, intérêt légitime) ;
• Envoi de communications transactionnelles ou, avec votre accord, de messages informatifs (consentement ou intérêt légitime) ;
• Respect des obligations légales et comptables (obligation légale) ;
• Sécurité du service et prévention de la fraude (intérêt légitime) ;
• Vous contacter au sujet de votre utilisation du service, par exemple pour vous aider à démarrer ou vous signaler un appel d'offres correspondant à votre activité, à partir d'indicateurs d'usage uniquement (intérêt légitime). Vous pouvez vous y opposer à tout moment en répondant au message ou en nous écrivant.

Les analyses et mémoires techniques sont générés automatiquement par intelligence artificielle, sous forme de propositions que vous relisez. Aucune décision produisant des effets juridiques à votre égard n'est prise sur le seul fondement d'un traitement automatisé.

4. Accès par notre équipe

Le contenu de votre espace (profil d'entreprise, dossiers de consultation, mémoires, bibliothèque) est confidentiel. Notre équipe ne le consulte pas à des fins commerciales. L'accès est limité au strict nécessaire : à votre demande pour du support, pour corriger un incident technique, pour assurer la sécurité du service, ou pour répondre à une obligation légale.

Pour le suivi de nos clients, nous utilisons uniquement des indicateurs d'usage (date de création du compte, nombre de dossiers créés, dernière activité), jamais le contenu que vous avez renseigné.

5. Documents privés et durée de conservation

Les dossiers de consultation, mémoires techniques et pièces jointes que vous importez dans TenderFindr sont traités comme des documents privés. Ils ne sont pas rendus publics et ne sont accessibles qu'à votre compte et aux personnes que vous autorisez le cas échéant.

Vous pouvez supprimer vos documents à tout moment depuis l'application (bibliothèque, dossiers ou paramètres de compte). La suppression entraîne l'effacement des fichiers concernés de nos systèmes de stockage, sous réserve des sauvegardes techniques éventuelles purgées selon nos cycles de rotation, généralement sous trente jours.

Les documents que vous transmettez via TenderFindr ne sont pas utilisés pour entraîner les modèles d'intelligence artificielle, conformément aux conditions commerciales de l'API Anthropic, qui prévoient qu'Anthropic n'entraîne pas ses modèles sur le contenu client (Customer Content) issu de ses services.

Les comptes sans aucune connexion pendant trois ans sont supprimés, après un préavis envoyé par e-mail trente jours avant ; une seule connexion suffit pour conserver votre compte. Les données de compte sont effacées lors de la suppression de votre compte. Les données de facturation (factures et enregistrements Stripe associés) sont conservées dix ans au titre des obligations comptables (article L123-22 du Code de commerce). Tout le reste des données personnelles associées à votre compte - y compris le profil et vos dossiers (consultations, mémoires générés et pièces jointes) - est effacé. Seule exception supplémentaire : une empreinte chiffrée et irréversible de votre adresse email, conservée 12 mois dans le seul but d'empêcher l'utilisation répétée de l'offre gratuite, sur la base de notre intérêt légitime. Aucune autre donnée n'y est associée (pas d'email en clair, pas d'identifiant de compte).

6. Sous-traitants

Nous faisons appel aux sous-traitants suivants, qui traitent vos données uniquement pour notre compte et selon nos instructions :

• Clerk - authentification et gestion des comptes utilisateurs ;
• Supabase - hébergement de la base de données et stockage des fichiers ;
• Stripe - traitement des paiements et facturation (pour les clients en Europe, via l'entité irlandaise de Stripe) ;
• Resend - envoi d'e-mails transactionnels ;
• Anthropic - traitement des contenus transmis aux modèles d'intelligence artificielle pour générer analyses et réponses (conformément aux conditions commerciales d'Anthropic, le contenu client n'est pas utilisé pour entraîner les modèles) ;
• Vercel - hébergement de l'application web ;
• Upstash - protection contre les abus (limitation du nombre de requêtes à partir d'identifiants techniques comme l'adresse IP) ;
• Google Workspace (Google Ireland Ltd) - notre messagerie professionnelle ;
• lemlist - envoi de nos e-mails de prospection commerciale (voir la section « Prospection commerciale ») ;
• Google (Google Ireland Ltd) - mesure d'audience (Google Analytics 4) et, le cas échéant, mesure de la performance publicitaire (Google Ads). Sans votre consentement, aucun cookie n'est déposé et seuls des signaux anonymes, sans cookie, sont transmis (mode consentement de Google).

7. Transferts hors de l'Union européenne

Certains de nos sous-traitants sont établis hors de l'Union européenne, ou y traitent des données :

• Clerk, Anthropic et Vercel - sociétés établies aux États-Unis ;
• Resend - société établie aux États-Unis ; selon sa documentation, les données de compte, métadonnées d'e-mails et journaux d'API sont stockés aux États-Unis ;
• Supabase - société établie à Singapour ; notre base de données et nos fichiers sont hébergés dans l'Union européenne (Francfort, Allemagne) ;
• Upstash et lemlist - Upstash est établie aux États-Unis ; lemlist est une société française dont le service peut s'appuyer sur des sous-traitants hors UE ;
• Google - entité contractante Google Ireland Ltd ; la mesure d'audience et publicitaire peut impliquer des transferts vers les États-Unis.

Stripe traite les paiements des clients en Europe via son entité irlandaise (Stripe Payments Europe, Ltd).

Ces transferts sont encadrés par les clauses contractuelles types (CCT) adoptées par la Commission européenne et, le cas échéant, par le cadre de protection des données UE - États-Unis (Data Privacy Framework) lorsque le sous-traitant y est certifié.

Vous pouvez demander des informations complémentaires sur ces garanties en écrivant à contact@tenderfindr.com.

8. Prospection commerciale

Nous pouvons contacter des professionnels par e-mail ou par téléphone pour leur présenter TenderFindr ou aider nos utilisateurs à démarrer. Les données utilisées (nom, fonction, entreprise, adresse e-mail et téléphone professionnels) proviennent de sources publiques, notamment les données essentielles de la commande publique (DECP) qui recensent les entreprises attributaires de marchés publics, et de bases de contacts professionnels (lemlist).

Ce traitement repose sur notre intérêt légitime à prospecter des entreprises, pour des messages en rapport avec l'activité professionnelle du destinataire. Chaque message nous identifie et permet de s'y opposer, simplement en répondant ou en écrivant à contact@tenderfindr.com. Les données des prospects qui ne deviennent pas clients sont conservées au maximum trois ans à compter du dernier contact.

9. Destinataires et communication des données

Vos données ne sont pas vendues. Elles peuvent être communiquées aux sous-traitants listés ci-dessus, aux autorités compétentes sur réquisition légale, ou à des conseils professionnels soumis au secret professionnel lorsque cela est nécessaire.

10. Vos droits

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation du traitement, de portabilité et d'opposition, dans les conditions prévues par la réglementation.

Vous pouvez à tout moment télécharger l'ensemble des données de votre compte depuis Paramètres (« Mes données ») et supprimer votre compte depuis la même page. Les e-mails d'alerte du Radar contiennent un lien de désinscription en un clic.

Pour exercer vos droits, contactez-nous à contact@tenderfindr.com. Nous répondrons dans un délai d'un mois. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).

11. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données contre la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé : chiffrement des communications (HTTPS), contrôle d'accès, isolation des environnements, sauvegardes régulières.

Aucune transmission sur Internet n'étant totalement sécurisée, nous ne pouvons garantir une sécurité absolue ; nous vous invitons à protéger vos identifiants de connexion.

12. Cookies et traceurs

• Cookies strictement nécessaires - authentification et session (Clerk). Base légale : intérêt légitime, sans consentement.
• Cookies de mesure d'audience - Google Analytics 4. Base légale : consentement ; déposés après acceptation ; durée treize mois maximum. Sans consentement, le script Google fonctionne en mode « refusé » : aucun cookie n'est déposé et seuls des signaux anonymes, sans cookie (par exemple une page vue ou une inscription), sont transmis à Google.
• Cookies publicitaires - Google Ads (le cas échéant). Base légale : consentement ; déposés après acceptation ; durée treize mois maximum.
• Cookie de provenance (tf_src) - mémorise la façon dont vous avez découvert le site (recherche, publicité, lien reçu par e-mail…) afin de l'associer à votre compte si vous vous inscrivez. Base légale : consentement (déposé seulement si vous acceptez la mesure d'audience ou la publicité) ; durée trente jours, supprimé dès l'inscription.
• Statistiques de fréquentation Vercel - mesure anonyme des pages vues, sans cookie ni identifiant personnel. Base légale : intérêt légitime.

Les mesures d'inscription et d'achat liées à un identifiant de cookie, y compris celles envoyées depuis nos serveurs, ne sont transmises que si vous avez accepté la mesure d'audience ; à défaut, seul un signal anonyme, sans cookie, est envoyé.

Le choix de consentement est conservé six mois. Modifiable/retirable à tout moment via « Gérer les cookies » en bas de page.

13. Modifications

Nous pouvons mettre à jour la présente politique pour refléter l'évolution du service ou de la réglementation. La version en vigueur est celle publiée sur cette page, avec indication de la date de dernière mise à jour : 7 octobre 2026.

En cas de modification substantielle, nous vous en informerons par e-mail ou via une notification dans l'application lorsque la loi l'exige.