Politique de confidentialité
Version 1.2, en vigueur au 10 septembre 2026
Cette politique décrit la manière dont Gonao collecte et traite les données à caractère personnel dans le cadre de son site et de sa plateforme.
1. Responsable du traitement
Le responsable du traitement est Gonao SAS, Société par actions simplifiée (SAS), dont le siège social est situé 42 rue Racine, 92120 Montrouge, France, SIREN 989 805 502.
Pour toute question relative à vos données ou pour exercer vos droits : contact@gonao.ai.
Gonao n'est pas tenue de désigner un délégué à la protection des données. Un point de contact unique est assuré à l'adresse ci-dessus.
2. Deux rôles distincts
Gonao intervient à deux titres différents, et il est important de ne pas les confondre.
- En qualité de responsable de traitement, pour les données liées à la gestion des comptes, à la facturation, au support et à la prospection commerciale. Ce sont ces traitements qui sont décrits par la présente politique.
- En qualité de sous-traitant, pour les données à caractère personnel contenues dans les documents et contenus déposés par un client sur la plateforme, par exemple les curriculum vitae de ses collaborateurs ou les coordonnées figurant dans ses pièces de candidature. Le client en est alors le responsable de traitement. Ces traitements sont régis par l'accord de traitement des données.
3. Traitements réalisés par Gonao
| Finalité | Données traitées | Base légale | Durée de conservation |
|---|---|---|---|
| Création et gestion du compte utilisateur | Nom, prénom, adresse e-mail, numéro de téléphone, mot de passe chiffré, date de dernière connexion | Exécution du contrat | Durée du compte, puis 3 ans après le dernier contact |
| Gestion de l'organisation cliente | Raison sociale, SIREN, SIRET, numéro de TVA, forme juridique, capital, adresse, représentant légal, profil d'activité, composition de l'équipe | Exécution du contrat | Durée du contrat, puis 5 ans |
| Souscription, facturation et recouvrement | Identité de facturation, historique des abonnements et des paiements, factures. Aucune donnée bancaire n'est conservée par Gonao | Exécution du contrat et obligation légale | 10 ans, au titre des obligations comptables |
| Preuve de l'acceptation des conditions contractuelles | Version acceptée, date et heure, adresse IP, identifiant de l'utilisateur | Intérêt légitime, constitution de la preuve du contrat | Durée du contrat, puis 5 ans |
| Fourniture du service de veille et d'analyse | Profils de veille, appels d'offres consultés et suivis, historique des analyses demandées | Exécution du contrat | Durée du contrat, puis suppression selon l'article 14 des CGV |
| Envoi des alertes et des e-mails de service | Adresse e-mail, préférences de notification, journal des envois | Exécution du contrat | Durée du compte, journaux d'envoi conservés 12 mois |
| Support et relation client | Coordonnées, contenu des échanges | Exécution du contrat | 3 ans à compter du dernier échange |
| Prospection commerciale et demandes de démonstration | Nom, adresse e-mail, société, contenu de la demande | Intérêt légitime, ou consentement pour les formulaires en ligne | 3 ans à compter du dernier contact |
| Sécurité, journalisation et prévention des abus | Adresse IP, horodatage, agent utilisateur, journaux d'accès et d'erreurs | Intérêt légitime, sécurité du service | 12 mois |
| Mesure d'usage et amélioration du service | Événements d'usage rattachés à un compte, sous forme agrégée | Intérêt légitime | 24 mois |
Les données marquées comme obligatoires dans les formulaires sont nécessaires à la fourniture du service. À défaut, le compte ne peut pas être créé ni l'abonnement souscrit.
4. Origine des données
Les données proviennent principalement de l'utilisateur lui-même. Les informations légales d'une entreprise (raison sociale, SIREN, forme juridique, capital, adresse) sont pré-renseignées à partir de sources publiques d'immatriculation afin d'éviter une saisie manuelle, puis vérifiées et complétées par le client. Les avis d'appels d'offres proviennent de sources publiques de publication.
5. Destinataires et sous-traitants
Les données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales. Elles sont accessibles au personnel habilité de Gonao et aux prestataires techniques strictement nécessaires au fonctionnement du service.
| Prestataire | Rôle | Localisation | Encadrement des transferts |
|---|---|---|---|
| Scaleway SAS | Hébergement de l'application, de l'API et des documents déposés | France | Aucun transfert hors Union européenne |
| MongoDB Atlas (MongoDB Ltd.) | Base de données hébergée | France, région AWS eu-west-3 (société de droit irlandais) | Aucun transfert hors Union européenne pour les données stockées |
| Cloudflare, Inc. | Réseau de diffusion, protection contre les attaques, hébergement du site vitrine | États-Unis, points de présence européens | Clauses contractuelles types et Data Privacy Framework |
| Stripe Payments Europe, Ltd. | Encaissement des abonnements et émission des factures | Irlande | Clauses contractuelles types pour les traitements aux États-Unis |
| Sendinblue SAS (Brevo) | Envoi des e-mails transactionnels et des alertes de veille | France | Aucun transfert hors Union européenne |
| Algolia SAS | Index de recherche des appels d'offres | Union européenne | Aucun transfert hors Union européenne |
| Anthropic PBC | Analyse des documents et génération de texte par modèle de langage | États-Unis | Clauses contractuelles types, données pseudonymisées avant envoi |
| OpenAI Ireland Ltd. | Analyse des documents et génération de texte par modèle de langage | Irlande, traitements aux États-Unis | Clauses contractuelles types, données pseudonymisées avant envoi |
Les données peuvent également être communiquées aux autorités administratives et judiciaires lorsque la loi l'exige, ainsi qu'aux conseils de Gonao (expert-comptable, avocat) tenus au secret professionnel.
6. Transferts hors de l'Union européenne
Les données de compte et les documents déposés sont hébergés en France, chez Scaleway pour l'application et le stockage, et sur MongoDB Atlas dans la région Paris pour la base de données.
Certains traitements accessoires impliquent des prestataires susceptibles d'opérer aux États-Unis, notamment les fournisseurs de modèles de langage et le réseau de diffusion. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par le Data Privacy Framework. Avant tout appel à un modèle de langage tiers, les identifiants directs de l'entreprise et de ses collaborateurs (raison sociale, SIRET, adresses e-mail, numéros de téléphone, noms des personnes) sont remplacés par des jetons neutres, puis restitués à la réception de la réponse.
7. Traitements automatisés
La plateforme calcule un score de correspondance entre un appel d'offres et le profil de l'entreprise cliente, et produit des analyses de documents à l'aide de modèles de langage. Ces traitements portent sur des données d'entreprise et non sur l'évaluation de personnes physiques. Ils ne produisent aucune décision produisant des effets juridiques à l'égard d'une personne et constituent une aide à la décision, le client conservant l'entière maîtrise de ses choix.
8. Sécurité
Gonao met en œuvre notamment les mesures suivantes :
- chiffrement des communications en transit et chiffrement des données au repos ;
- hachage des mots de passe, jamais stockés en clair ;
- cloisonnement strict des données par organisation cliente ;
- accès aux données de production limité aux personnes habilitées, journalisé et révocable ;
- accès temporaire d'un administrateur à un compte client uniquement en lecture, tracé et révocable, à des fins de support ;
- liens de téléchargement des documents à durée de validité limitée, plutôt qu'accès public ;
- sauvegardes régulières et supervision des incidents.
En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes, Gonao notifie la CNIL dans les soixante-douze heures et informe les personnes concernées lorsque la réglementation l'impose.
9. Cookies et traceurs
La plateforme Gonao utilise uniquement des cookies strictement nécessaires à son fonctionnement, dont l'usage ne requiert pas de consentement préalable au sens de l'article 82 de la loi Informatique et Libertés :
| Cookie | Finalité | Durée |
|---|---|---|
| auth_token | Maintien de la session authentifiée | 3 heures |
| refresh_token | Renouvellement de la session sans nouvelle saisie du mot de passe | 15 jours |
Mesure d'audience, soumise à votre consentement. Le site utilise Google Analytics 4 pour mesurer sa fréquentation. Aucun cookie de mesure n'est déposé tant que vous n'avez pas accepté : jusqu'à votre réponse, et si vous refusez, la mesure reste anonyme et agrégée, sans identifiant conservé sur votre appareil.
| Cookie | Finalité | Durée |
|---|---|---|
| _ga | Distinguer les visiteurs pour la mesure d'audience | 13 mois |
| _ga_<identifiant> | Maintenir l'état de la session de mesure | 13 mois |
Vous pouvez refuser aussi simplement qu'accepter, depuis le bandeau affiché à votre arrivée, et revenir sur votre choix à tout moment par le lien « Gérer les cookies » en pied de page. Votre réponse est conservée six mois, puis la question vous est reposée. Refuser n'altère en rien l'accès au site ni à ses fonctionnalités.
Ces mesures sont réalisées avec les fonctionnalités publicitaires de Google désactivées : aucune donnée n'est utilisée à des fins de publicité ou de personnalisation, et aucun profil publicitaire n'est constitué. Aucun cookie publicitaire et aucun traceur de réseau social n'est déposé sur le site.
10. Vos droits
Conformément au règlement (UE) 2016/679 et à la loi Informatique et Libertés, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, ainsi que du droit de définir des directives relatives à leur sort après votre décès.
Ces droits s'exercent auprès de contact@gonao.ai. Gonao répond dans un délai d'un mois à compter de la réception de la demande, prolongeable de deux mois en cas de complexité. Une pièce d'identité peut être demandée en cas de doute raisonnable sur l'identité du demandeur.
Si vos données figurent dans un document déposé par une entreprise cliente de Gonao, votre demande doit être adressée à cette entreprise, qui en est le responsable de traitement. Gonao la lui transmettra si elle lui est adressée directement.
Vous pouvez également introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur www.cnil.fr.
11. Modification de la politique
La présente politique peut évoluer. Toute modification substantielle est portée à la connaissance des utilisateurs par e-mail ou par un message dans l'application, au moins 30 jours avant son entrée en vigueur. La version en vigueur est toujours celle publiée sur cette page.