Politique de confidentialité
Dernière mise à jour : 5 octobre 2026
Serenos accorde une importance capitale à la protection de vos données personnelles et à la confidentialité des informations que vous nous confiez. La présente politique explique quelles données nous collectons, pourquoi, comment nous les protégeons et quels sont vos droits.
1. Responsable de traitement
Le responsable du traitement des données collectées via serenos.fr est :
Amaury Hallé, EI — Serenos
78 rue Escudier, 92100 Boulogne-Billancourt, France
SIREN : 809 179 351
Email : privacy@serenos.fr
Note : dans le cadre du service Serenos fourni aux pompes funèbres, la pompe funèbre cliente est responsable de traitement des données des familles et des défunts qu'elle gère. Serenos agit alors en qualité de sous-traitant au sens de l'article 4(8) du RGPD. Ce rôle est formalisé par le Contrat de sous-traitance (DPA), accepté par case à cocher lors de la création du compte.
2. Données collectées
2.1 Données des professionnels (pompes funèbres)
- Données de compte : nom, prénom, email professionnel, mot de passe (haché)
- Données de l'entreprise : raison sociale, SIREN, adresse, numéro de téléphone, habilitation préfectorale
- Données techniques : journaux de connexion et journaux techniques tenus par nos hébergeurs ; lorsque l'équipe Serenos accède à votre compte pour vous assister, cet accès est enregistré (qui, quand, depuis quelle adresse IP)
- Messages saisis dans l'assistant IA, transmis au fournisseur du modèle pour produire la réponse (voir section 6)
- Données de facturation : coordonnées de paiement (traitées exclusivement par Stripe, nous ne stockons pas vos numéros de carte)
2.2 Données des familles endeuillées (utilisateurs de l'espace famille)
- Données d'identification : nom, prénom, email, téléphone, lien de parenté avec le défunt
- Données relatives au dossier funéraire : informations saisies dans l'espace famille (démarches, patrimoine, contacts notaire)
- Signature en ligne d'un devis ou d'un bon de commande : nom du signataire, signature, date et heure, adresse IP
Ces données sont collectées sous la responsabilité de la pompe funèbre cliente. Les familles doivent être informées par la pompe funèbre de l'utilisation de Serenos.
2.3 Données relatives au défunt — catégories spéciales (Art. 9 RGPD)
- Données de santé : cause de décès, antécédents médicaux pertinents pour les obsèques — base légale : exécution d'un contrat (CGCT) + consentement explicite de la famille
- Données religieuses/philosophiques : préférences de cérémonie, rites souhaités — base légale : consentement explicite de la famille
- Données d'état civil : nom, prénom, date et lieu de naissance et de décès
- Données patrimoniales (si module succession activé) : biens, comptes bancaires, assurances-vie
3. Bases légales des traitements
| Traitement | Base légale |
|---|---|
| Création et gestion du compte professionnel | Exécution du contrat (CGU) |
| Facturation et paiement | Obligation légale (droit fiscal) |
| Envoi d'emails transactionnels (devis, factures, notifications) | Exécution du contrat |
| Envoi d'emails marketing (nouveautés, offres) | Consentement (opt-in) |
| Gestion des dossiers funéraires | Exécution du contrat + obligations légales (CGCT) |
| Données de santé / religieuses du défunt | Consentement explicite de la famille (Art. 9.2.a RGPD) |
| Enregistrement des accès d'assistance de l'équipe Serenos et horodatage des signatures en ligne | Intérêt légitime (sécurité, preuve) |
| Assistant IA (réponses aux questions saisies) | Exécution du contrat |
4. Durée de conservation
Les données sont conservées pendant la durée du contrat. À sa fin, elles sont supprimées sur demande, et au plus tard à l'issue du délai de récupération de 90 jours, sauf obligation légale de conservation (les factures sont conservées 10 ans). La suppression n'est pas automatique : elle est réalisée par l'équipe Serenos.
| Catégorie | Durée | Motif |
|---|---|---|
| Données du compte et dossiers funéraires | Pendant toute la durée du contrat | Exécution du contrat |
| Après la fin du contrat | 90 jours pour récupérer vos données (export complet sur demande), puis suppression — plus tôt si vous la demandez | Restitution des données |
| Factures et pièces comptables | 10 ans | Obligation légale (Code de commerce, art. L123-22) |
| Preuve d'acceptation des CGU et du DPA | Durée du contrat, puis le délai de prescription applicable | Intérêt légitime (preuve) |
5. Données des personnes décédées
Les données du défunt ne relèvent plus du RGPD, qui ne s'applique qu'aux personnes vivantes. Elles relèvent de la Loi Informatique & Libertés (art. 85), qui permet à toute personne de formuler, de son vivant, des directives sur le sort de ses données après sa mort, et ouvre certains droits à ses héritiers.
Serenos ne propose pas d'outil de directives post-mortem. Les demandes des proches ou des héritiers concernant les données d'un défunt (rectification, suppression) s'adressent à la pompe funèbre responsable du dossier ; Serenos l'assiste pour y donner suite. Les données des proches vivants restent pleinement soumises au RGPD.
6. Partage avec des tiers
Serenos ne vend jamais vos données personnelles. Nous les partageons uniquement avec les sous-traitants techniques suivants, nécessaires au fonctionnement du service ou aux intégrations que vous choisissez d'activer :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Supabase Inc. | Hébergement base de données | UE (Irlande) |
| Vercel Inc. | Hébergement application web | UE + US (CCT) |
| Resend Inc. | Envoi d'emails transactionnels | US (CCT) |
| Stripe Inc. | Paiement de l'abonnement Serenos | UE (Dublin) + US (CCT) |
| Anthropic PBC | Assistant IA : messages saisis dans l'assistant | États-Unis (CCT) |
| OpenAI | Recherche de l'assistant IA : texte de la question | États-Unis (CCT) |
| Selon les intégrations utilisées : agenda Google Calendar (si l'agence le connecte), avis Google, cartes | Selon le service Google (CCT) | |
| Microsoft | Agenda Outlook (si l'agence le connecte) | Selon le service Microsoft (CCT) |
| Pennylane | Facturation électronique (agences qui l'activent) | France |
CCT = Clauses Contractuelles Types adoptées par la Commission Européenne, garantissant un niveau de protection adéquat pour les transferts vers des pays tiers.
Nous pouvons également communiquer des données si la loi nous y oblige (réquisition judiciaire, CNIL) ou pour protéger nos droits légaux.
7. Transferts hors Union Européenne
Certains de nos sous-traitants sont basés aux États-Unis ou peuvent y traiter des données : Vercel, Resend, Stripe, Anthropic et OpenAI (assistant IA), ainsi que Google et Microsoft lorsque vous connectez leurs services. Ces transferts sont encadrés par les Clauses Contractuelles Types (CCT) adoptées par la Commission Européenne le 4 juin 2021 (décision d'exécution 2021/914), qui constituent une garantie appropriée au sens de l'article 46 du RGPD.
La base de données et les fichiers sont hébergés dans l'Union européenne (Dublin, Irlande) chez Supabase. Les messages saisis dans l'assistant IA, eux, sont traités aux États-Unis.
8. Sécurité des données
Serenos met en œuvre les mesures techniques et organisationnelles suivantes pour protéger vos données :
- Chiffrement des données en transit (HTTPS/TLS) et au repos (AES-256, chez notre hébergeur)
- Cloisonnement des données entre organisations par des règles d'accès en base (Row-Level Security)
- Enregistrement des accès de l'équipe Serenos au compte d'un client lorsqu'elle intervient en assistance
- Signatures en ligne horodatées, avec l'adresse IP du signataire
- Une facture émise n'est plus modifiable depuis l'application ; une correction passe par un avoir
- Accès aux données de production restreint au personnel autorisé
- Sauvegardes quotidiennes chiffrées (Supabase Pro)
En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, Serenos s'engage à vous notifier dans les 72 heures conformément à l'article 33 du RGPD, et à notifier la CNIL si requis.
9. Vos droits
Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :
- Droit d'accès (Art. 15) : obtenir une copie de vos données
- Droit de rectification (Art. 16) : corriger des données inexactes
- Droit à l'effacement (Art. 17) : demander la suppression de vos données
- Droit à la limitation (Art. 18) : restreindre certains traitements
- Droit à la portabilité (Art. 20) : recevoir vos données dans un format structuré
- Droit d'opposition (Art. 21) : s'opposer au traitement fondé sur l'intérêt légitime
- Droit de retirer le consentement (Art. 7.3) : à tout moment pour les traitements fondés sur le consentement
Comment exercer vos droits ?
Envoyez votre demande par email à privacy@serenos.fr en précisant votre identité. Nous répondrons dans un délai maximum de 30 jours.
Portabilité : un export complet de vos données vous est fourni sur simple demande, sous 30 jours. Chaque document (devis, bon de commande, facture) reste par ailleurs téléchargeable en PDF depuis l'application.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL : www.cnil.fr/fr/plaintes.
Note : si vous utilisez Serenos via une pompe funèbre cliente, certains droits (notamment l'effacement) doivent être exercés auprès de la pompe funèbre responsable de traitement, et non directement auprès de Serenos.
11. Modifications de la présente politique
Serenos se réserve le droit de modifier cette politique de confidentialité à tout moment. En cas de modification substantielle, vous serez informé par email avec un préavis de 30 jours avant l'entrée en vigueur des changements. La poursuite de l'utilisation du service après cette période vaut acceptation des nouvelles dispositions.
12. Contact
Pour toute question relative à la protection de vos données :
- Email : privacy@serenos.fr
- Courrier : Serenos — Amaury Hallé, 78 rue Escudier, 92100 Boulogne-Billancourt
13. Intégrations Google API Services
Serenos propose à ses utilisateurs professionnels (pompes funèbres) la possibilité de connecter leur compte Google afin de synchroniser les événements des cérémonies funéraires (cérémonies, mises en bière, transports, rendez-vous famille) avec leur agenda Google Calendar.
13.1 Données Google auxquelles Serenos accède
- Scope OAuth utilisé :
https://www.googleapis.com/auth/calendar.events - Permissions accordées : créer, lire, modifier et supprimer les événements de l'agenda Google de l'utilisateur
- Données synchronisées : titre de l'événement, date et heure, lieu, description (catégorie + notes saisies dans Serenos)
Serenos n'accède jamais à vos emails (Gmail), à vos fichiers (Drive), à vos contacts ni à aucune autre donnée Google que celle strictement nécessaire à la synchronisation des événements.
13.2 Conformité — Google API Services User Data Policy
L'utilisation des données provenant des API Google par Serenos respecte intégralement la Google API Services User Data Policy, notamment les exigences relatives à un usage limité (Limited Use).
Conformément à cette politique, Serenos s'engage explicitement sur les points suivants concernant les données obtenues via les API Google :
- Usage exclusif : les données Google ne sont utilisées que pour fournir et améliorer la fonctionnalité de synchronisation d'agenda visible par l'utilisateur ; elles ne servent à aucun autre traitement.
- Aucune revente : Serenos ne vend, ne loue, ni ne cède en aucune manière les données issues des API Google à des tiers.
- Aucune publicité : les données Google ne sont utilisées à aucune fin publicitaire, ni pour le profilage, le retargeting, la publicité personnalisée ou la mesure d'audience.
- Aucun entraînement de modèles d'IA généralistes : les données Google ne sont jamais utilisées pour entraîner, améliorer ou évaluer des modèles d'intelligence artificielle généralistes (LLM, modèles fondationnels).
- Aucun accès humain : aucun collaborateur de Serenos ne lit ni n'accède aux données Google des utilisateurs, sauf : (a) avec votre consentement explicite, (b) à des fins de sécurité (enquête sur un abus ou un incident de sécurité), (c) pour se conformer à la loi applicable, ou (d) à des fins de support technique strictement nécessaire et avec votre accord préalable.
13.3 Stockage et conservation des tokens Google
- Serenos stocke uniquement les jetons OAuth (access token et refresh token) émis par Google, dans une base de données chiffrée hébergée dans l'Union Européenne (Supabase, Irlande).
- Les jetons sont liés à une agence et utilisés exclusivement pour appeler les API Google Calendar pour le compte de cette agence.
- Aucune copie des événements Google Calendar n'est stockée durablement côté Serenos. Seul l'identifiant unique de l'événement Google est conservé pour permettre la synchronisation bidirectionnelle (création, mise à jour, suppression).
- Les jetons sont conservés tant que la connexion est active. Ils sont supprimés lorsque vous déconnectez Google Calendar depuis l'interface Serenos. Si vous révoquez l'accès depuis votre compte Google, ils deviennent aussitôt inutilisables ; déconnectez aussi l'intégration dans Serenos pour qu'ils soient effacés.
13.4 Révoquer l'accès accordé à Serenos
Vous pouvez à tout moment retirer l'autorisation accordée à Serenos d'accéder à votre compte Google :
- Depuis Serenos : rendez-vous dans Tableau de bord → Intégrations → Google Calendar → Déconnecter.
- Depuis votre compte Google : myaccount.google.com/permissions → sélectionnez Serenos → Supprimer l'accès.
La déconnexion depuis Serenos supprime les jetons OAuth stockés ; la révocation depuis Google les rend inutilisables. Les événements déjà synchronisés restent dans votre Google Calendar et ne sont pas affectés par la déconnexion.
13.5 Sécurité des intégrations Google
- Le flux OAuth respecte le standard OAuth 2.0 avec protection CSRF (paramètre
state) et validation de l'identité utilisateur côté serveur avant l'échange du code d'autorisation. - Les jetons sont chiffrés au repos (AES-256-GCM) et transmis en HTTPS entre Serenos et les serveurs Google.
- Aucun jeton OAuth Google n'est exposé côté client (navigateur) ni présent dans les journaux applicatifs.
Pour toute question concernant l'intégration Google Calendar ou la gestion des données issues des API Google, contactez privacy@serenos.fr.