Politique de confidentialité

Notre engagement

MovUP est conçu en France ; les données des comptes sont hébergées dans l’Union européenne. Nous traitons les données personnelles dans le strict respect du règlement (UE) 2016/679 (RGPD) et de la loi n° 78-17 du 6 janvier 1978 modifiée. Nous appliquons les principes de minimisation, de finalité, d’exactitude, de limitation de conservation, d’intégrité et de transparence.

Nous ne vendons ni les données de nos abonnés ni celles qu’ils saisissent ou importent. Nous ne les exploitons pas à des fins publicitaires et ne les utilisons pas pour entraîner des modèles d’IA tiers. MovUP édite par ailleurs une base des entreprises françaises, consultée par ses abonnés pour leur prospection : ce traitement est décrit à la section 11.

1. Responsable de traitement

Le responsable de traitement des données collectées via MovUP est :

MovUP n’a pas désigné de délégué à la protection des données : il n’y est pas tenu au sens de l’article 37 du RGPD. Un contact dédié aux données personnelles reçoit toutes les demandes : dpo@movup.io.

2. Données collectées

2.1 Données d’inscription et de compte

• Adresse email professionnelle
• Mot de passe (stocké sous forme hachée et salée, jamais en clair)
• Nom et prénom
• Nom de l’entreprise, fonction
• Téléphone
• Préférences linguistiques et de notification

Les données marquées obligatoires à l’inscription sont nécessaires à la création du compte : sans elles, le compte ne peut pas être créé.

2.2 Données de facturation

• Raison sociale, SIRET, adresse de facturation
• Numéro de TVA intracommunautaire le cas échéant
• Historique des paiements et factures

Les coordonnées bancaires (numéro de carte, IBAN) ne transitent jamais par nos serveurs. Elles sont collectées et stockées directement par Stripe, certifié PCI-DSS niveau 1.

2.3 Données d’usage

• Logs techniques (date, heure, adresse IP, navigateur, action)
• Statistiques d’utilisation des fonctionnalités
• Identifiant de session

Les logs techniques (journal d’audit) sont conservés 12 mois. Les statistiques d’utilisation des fonctionnalités rattachées à votre compte sont conservées pendant la durée de celui-ci et supprimées avec lui (voir 2.8).

2.4 Données saisies par l’Utilisateur

L’Utilisateur saisit ou importe dans MovUP des données relatives à des prospects et clients : raisons sociales, contacts professionnels, adresses, historique des échanges, devis, factures. Pour ces données, l’Utilisateur agit en tant que responsable de traitement et MovUP intervient en qualité de sous-traitant au sens de l’article 28 du RGPD. Les modalités sont précisées dans le DPA (Data Processing Agreement). Lorsque l’Utilisateur écrit à ses prospects par la Messagerie, MovUP traite pour son compte l’adresse du destinataire, le contenu et les pièces jointes du message et ses statuts de livraison (délivré, rebond, signalement) ; aucun suivi d’ouverture ni de clic n’est posé dans les messages. Les données d’identification et de contact d’entreprises figurant dans ces saisies font exception : voir 2.9.

2.5 Géolocalisation approximative

Depuis le 5 octobre 2026, aucune géolocalisation de l’adresse IP n’est faite à l’inscription. Les comptes créés avant cette date ont reçu une géolocalisation approximative de leur adresse IP, obtenue auprès du service ipapi.co (Kloudend, Inc., États-Unis) : ville, région, code postal et coordonnées géographiques approximatives. Nous conservons cette géolocalisation et l’adresse IP utilisée avec le compte, et les supprimons avec lui ; aucune adresse postale exacte n’en est déduite. Cette donnée est traitée sur la base de notre intérêt légitime (article 6.1.f du RGPD) à personnaliser nos communications commerciales et à situer la météo de votre tableau de bord lorsque vous n’avez indiqué aucune autre position. Vous pouvez nous demander la suppression de cette donnée à tout moment en écrivant à dpo@movup.io.

2.6 Consentement marketing

Lors de votre inscription, nous vous proposons de recevoir nos communications commerciales par email. Cette case n’est pas pré-cochée et votre consentement est strictement optionnel. Si vous consentez, nous conservons la date et l’heure de votre consentement. Vous pouvez retirer votre consentement à tout moment depuis la page Mon profil de votre compte, via le lien de désinscription présent dans chaque email, ou en écrivant à dpo@movup.io.

2.7 Historique de vos recherches

Lorsque vous utilisez la fonction de recherche de prospects, nous conservons l’historique de vos requêtes : secteur d’activité (code NAF), zone géographique (région, département, ville), nombre de résultats obtenus et date. Cette donnée nous permet de vous fournir le service, de retrouver vos recherches passées, et de personnaliser nos communications avec votre accord. Bases légales : exécution du contrat (article 6.1.b RGPD) et intérêt légitime (article 6.1.f RGPD). Cet historique est conservé pendant la durée de votre compte et supprimé avec lui. Vous pouvez nous demander la suppression de cet historique à tout moment en écrivant à dpo@movup.io.

2.8 Journal d’usage de votre compte

Lorsque vous modifiez la fiche d’un prospect, nous enregistrons l’opération : votre compte, la fiche concernée, les champs modifiés, la recherche dont la fiche provient le cas échéant, et la date. Ce journal nous permet de mesurer l’usage réel du Service et d’en diagnostiquer les défauts. Base légale : intérêt légitime (article 6.1.f RGPD). Il est conservé pendant la durée de votre compte et supprimé avec lui. Vous pouvez en obtenir une copie ou en demander la suppression à tout moment en écrivant à dpo@movup.io.

2.9 Apports des abonnés

Les coordonnées professionnelles de sociétés apportées par les abonnés (import, saisie, factures) peuvent enrichir la base MovUP et être affichées aux autres abonnés qui suivent la même société. Aucune donnée personnelle n’est mise en commun. Pour ce traitement, MovUP agit en qualité de responsable de traitement. Les coordonnées d’un entrepreneur individuel apportées par un abonné ne sont pas mises en commun. Les notes, montants et éléments de relation commerciale de l’abonné ne sont jamais mutualisés. Ces apports ne sont jamais vendus.

3. Finalités et bases légales

4. Destinataires et sous-traitants

Vos données sont accessibles uniquement aux personnels de l’Éditeur strictement nécessaires à la fourniture du Service, et à ses sous-traitants techniques. La liste détaillée et actualisée est disponible sur la page Sous-traitants.

Aucune donnée n’est transmise à des tiers à des fins commerciales, sous réserve des apports décrits en 2.9. En cas d’obligation légale (réquisition judiciaire, autorité fiscale), l’Éditeur informera l’Utilisateur dans les meilleurs délais, sauf interdiction légale.

5. Transferts hors Union européenne

MovUP privilégie les prestataires européens. Certains sont toutefois établis ou opèrent hors de l’Union européenne :

• aux États-Unis : Railway (hébergement), Cloudflare (stockage des fichiers, relais de la visio, résolution de noms de domaine), Resend (courriels et Messagerie), Kloudend, Inc. (ipapi.co, géolocalisation de l’adresse IP à l’inscription des comptes créés avant le 5 octobre 2026), Google LLC (serveur de mise en relation de la visio, résolution de noms de domaine), ainsi que les sociétés du groupe Stripe pour les transferts internes à ce groupe ;
• au Royaume-Uni, pays reconnu adéquat par la Commission européenne, décision renouvelée jusqu’en 2031 : SurrealDB Ltd, la Fondation OpenStreetMap (Nominatim) et OVH, qui héberge à Erith le serveur de notre robot de visite MovUPBot ;
• en Suisse, pays reconnu adéquat par la Commission européenne : Open-Meteo.

Le détail de chaque prestataire figure sur la page Sous-traitants. Pour les transferts vers les États-Unis, l’Éditeur s’appuie sur les garanties suivantes :

• Certification du prestataire au cadre de protection des données UE-États-Unis (Data Privacy Framework) lorsqu’elle existe
• À défaut, clauses contractuelles types de la Commission européenne (décision 2021/914)
• Mesures techniques complémentaires (chiffrement en transit et au repos, pseudonymisation lorsque possible)
• Évaluation d’impact des transferts (TIA) documentée

Les données des comptes sont hébergées dans l’Union européenne : région europe-west4 de Google Cloud (Pays-Bas) pour les serveurs de Railway, région eu-west-1 d’Amazon Web Services (Irlande) pour la base SurrealDB, juridiction Union européenne pour les fichiers Cloudflare R2.

6. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Droit d’accès (art. 15) : obtenir la confirmation que vos données sont traitées et en recevoir une copie.
• Droit de rectification (art. 16) : faire corriger des données inexactes.
• Droit à l’effacement (art. 17) : demander la suppression de vos données.
• Droit à la limitation (art. 18) : demander que le traitement soit suspendu.
• Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré et lisible par machine (JSON, depuis la page Vos données de votre compte, 5 fois par 24 heures).
• Droit d’opposition (art. 21) : vous opposer au traitement fondé sur l’intérêt légitime.
• Droit d’opposition à la prospection (art. 21.2) : vous opposer à tout moment, sans avoir à vous justifier, à l’utilisation de vos données à des fins de prospection.
• Directives post-mortem (art. 85 LIL) : organiser le sort de vos données après votre décès.
• Droit de retrait du consentement à tout moment, sans rétroactivité.

Pour exercer ces droits : dpo@movup.io. Une réponse vous sera apportée sous un mois maximum, prorogeable de deux mois en cas de demande complexe.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez déposer une réclamation auprès de la CNIL.

7. Sécurité

MovUP applique des mesures techniques et organisationnelles proportionnées au risque, conformément à l’article 32 du RGPD :

• Chiffrement TLS 1.2 et 1.3 systématique en transit
• Chiffrement au repos des bases de données
• Hachage des mots de passe (argon2id)
• Cloisonnement des données entre comptes : pipeline, devis, factures et frais ne sont accessibles qu’au compte qui les a créés
• Sauvegardes automatiques chiffrées, quotidiennes, conservées sept jours

Pour signaler une vulnérabilité : securite@movup.io.

8. Mineurs

Le Service est exclusivement destiné aux personnes majeures. L’Éditeur ne collecte pas sciemment de données concernant des mineurs. Si un mineur a néanmoins créé un compte, son représentant légal peut demander la suppression à dpo@movup.io.

9. Modifications

La présente politique peut être modifiée pour refléter l’évolution du Service ou de la réglementation. Toute modification substantielle sera notifiée par courriel au moins 30 jours avant son entrée en vigueur.

10. Contact

Pour toute question relative à la protection de vos données :

• Email : dpo@movup.io
• Courrier : EI Benoit Fouquet, 18 place du Marchix, 22100 Dinan, France

11. La base des entreprises de MovUP

Cette section s’adresse aux personnes dont les données figurent dans la base des entreprises de MovUP sans qu’elles nous les aient communiquées : entrepreneurs individuels, dirigeants et mandataires sociaux, et personnes dont le nom figure dans une adresse électronique professionnelle publiée par leur entreprise.

11.1 Responsable de traitement

EI Benoit Fouquet, 18 place du Marchix, 22100 Dinan, France. Contact : dpo@movup.io.

11.2 Finalités et base légale

MovUP constitue et tient à jour une base des entreprises françaises et la met à disposition de ses abonnés pour leur prospection entre professionnels. Ce traitement repose sur l’intérêt légitime de MovUP et de ses abonnés à prospecter des professionnels au sujet de leur activité (article 6.1.f du RGPD).

11.3 Données traitées

• identité de l’entreprise : dénomination, SIREN, SIRET, activité, adresse de l’établissement, état administratif ;
• nom, prénom et fonction des dirigeants, tels que publiés aux registres légaux ;
• coordonnées professionnelles publiées par l’entreprise : téléphone, adresse électronique, site internet.

11.4 Sources

Registres et données publiques (Insee Sirene, INPI Registre national des entreprises, BODACC, Annuaire des entreprises, annuaire RGE de l’ADEME, Atout France, FINESS, RNA, listes de la DGAL, données ouvertes de l’Afnic), Overture Maps, et sites internet des entreprises lus par notre robot MovUPBot. La liste détaillée et les licences figurent dans les mentions légales. La source de chaque coordonnée est conservée et indiquée à ceux qui la reçoivent.

11.5 Entrepreneurs individuels

Aucune coordonnée d’un entrepreneur individuel n’est communiquée à un abonné avant qu’il ait reçu un courriel d’information et disposé d’un mois pour s’y opposer. Les choix exprimés auprès de l’Insee (diffusion partielle) et de l’INPI (opposition à la réutilisation commerciale) sont respectés.

11.6 Destinataires

Les abonnés de MovUP, et nos sous-traitants (page Sous-traitants). Le serveur du robot MovUPBot est hébergé par OVH au Royaume-Uni, pays reconnu adéquat par la Commission européenne jusqu’en 2031.

11.7 Durée de conservation

Les données sont conservées trois ans à compter de leur collecte ou de leur dernière mise à jour à partir de leur source, conformément au référentiel de la CNIL relatif à la gestion des activités commerciales.

11.8 Vos droits

Vous pouvez à tout moment, sans justification, vous opposer à ce traitement sur la page Opposition : dès la confirmation de votre adresse, vos coordonnées ne sont plus proposées aux abonnés de MovUP. Vous disposez aussi des droits d’accès, de rectification, d’effacement et de limitation, auprès de dpo@movup.io. Vous pouvez introduire une réclamation auprès de la CNIL.