Politique de confidentialité — France
Comment Cerrax traite les données personnelles au titre du RGPD, en termes simples.
1. Qui nous sommes
Cerrax Ltd (« Cerrax », « nous ») fournit un moteur de tarification pour le secteur du déménagement, ainsi que la gestion des demandes, des fiches clients, des devis et des chantiers qui l'entourent. Nous n'avons pas désigné de délégué à la protection des données. Nous sommes une société immatriculée en Angleterre et au pays de Galles et nous ne sommes pas établis dans l'Union européenne. La présente politique explique quelles données personnelles nous traitons pour les entreprises établies en France et les personnes auxquelles elles adressent des devis, pourquoi, et quels sont vos droits. Questions : hello@cerrax.io.
Nous n'avons pas désigné de représentant dans l'Union au sens de l'article 27 du RGPD. Nous nous fondons sur l'exception prévue à l'article 27, paragraphe 2, qui vise un traitement occasionnel, qui ne porte pas à grande échelle sur des catégories particulières de données et qui n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes. Nous réexaminons régulièrement cette position ; si elle cesse de s'appliquer, nous désignerons un représentant et le nommerons ici. D'ici là, contactez-nous directement à l'adresse ci-dessus : nous répondons nous-mêmes en qualité de responsable du traitement ou de sous-traitant.
2. Deux rôles distincts
Notre rôle au regard du RGPD dépend de la personne concernée :
- Vos données (l'entreprise de déménagement qui utilise Cerrax). Pour les données des titulaires de compte, nous sommes responsable du traitement.
- Les données de vos clients. Lorsqu'une entreprise utilise Cerrax, les données personnelles des personnes avec qui elle traite — ses clients, les personnes qui la sollicitent, ses autres contacts, et ses propres salariés et équipes dans leur rôle professionnel — sont traitées par nous en qualité de sous-traitant, sur ses instructions. L'entreprise est responsable du traitement ; notre traitement est régi par notre Accord de traitement des données avec elle. Si vous êtes le client d'une entreprise, c'est sa propre politique de confidentialité qui s'applique à vous, et il vaut mieux lui adresser d'abord vos questions sur vos données.
- La vidéo d'un client conservée pour entraîner un logiciel. Si un client accepte que Cerrax conserve sa vidéo ou ses photographies à cette fin, nous sommes responsable du traitement pour ce seul usage (voir §3).
- Les visiteurs du site. Nous sommes responsable du traitement des données limitées que vous nous confiez directement (par exemple un formulaire de liste d'attente ou de contact), et pour la sécurité du service.
3. Ce que nous collectons
Auprès des entreprises utilisant Cerrax : les données de compte et de contact (nom, société, e-mail, téléphone, numéro de TVA si vous le communiquez) et les données de chantier que vous saisissez pour produire un prix. Dans les données de chantier : des adresses et des détails de chantier, qui peuvent être des données personnelles de vos clients — traitées uniquement pour produire et expliquer un prix et enregistrer le résultat que vous nous indiquez. Sur le chantier lui-même : lorsque vos équipes utilisent Cerrax le jour du déménagement, les photographies qu'elles prennent du logement, de ses accès et de tout dommage constaté ; si vous demandez à votre client de signer l'inventaire, le nom qu'il indique et la signature qu'il trace ; et, si vous l'y invitez et que votre client le choisit, une vidéo de son logement, ou des photographies de celui-ci, qu'il vous envoie pour que vous établissiez un devis. Ces éléments sont conservés comme l'enregistrement du chantier, sur vos instructions, et ne servent à rien d'autre : ils n'influencent jamais un prix et ne sont jamais partagés avec une autre entreprise. La seule exception relève du choix de votre client, décrit ci-après. Auprès des visiteurs du site : ce que vous soumettez dans un formulaire de liste d'attente, de démonstration ou de contact. Nous n'enregistrons pas vos sessions de navigation et ne suivons pas votre comportement à des fins publicitaires.
Contacts et demandes (pour les entreprises qui les activent). Une entreprise peut tenir une fiche pour chacun de ses clients et de ses prospects — nom, adresses e-mail, numéros de téléphone, société, langue préférée, adresses de départ ou d'arrivée, provenance de la demande, notes de l'entreprise, et tout choix de la personne concernant les messages de l'entreprise. L'entreprise décide de ce qui est conservé et est responsable du traitement ; nous le détenons en qualité de sous-traitant, uniquement dans le compte de cette entreprise, et ne le partageons jamais avec une autre. Pour reconnaître une même personne qui revient, nous conservons une clé brouillée, calculée à partir de son adresse e-mail ou de son numéro de téléphone, illisible sans un secret que nous seuls détenons.
E-mails de demande et IA. Une entreprise peut donner aux sites de mise en relation une adresse Cerrax où envoyer leurs demandes. Nous recevons ces e-mails (par Amazon Web Services, à Londres) et les lisons pour remplir la demande. Si un e-mail n'est pas présenté en lignes étiquetées, nous en envoyons le texte — sans les en-têtes de transfert ni les messages cités — à Anthropic, fournisseur d'IA aux États-Unis, qui suggère le nom, les coordonnées, les adresses, la date et le volume du déménagement. Une suggestion n'est retenue que si les mots figurent dans l'e-mail, et une personne de l'entreprise la vérifie avant tout chiffrage ou envoi. Anthropic ne s'en sert pas pour entraîner ses modèles et la supprime sous 30 jours (plus longtemps seulement si elle est signalée pour abus). Nous ne conservons pas le texte de l'e-mail pour une finalité qui nous soit propre. Lorsqu'une entreprise décrit à Cerrax les objets et les pièces d'un chantier, nous conservons cette description — sans adresse e-mail, numéro de téléphone ni code postal — pendant 30 jours pour améliorer la reconnaissance des objets, puis nous en supprimons le texte.
Messages envoyés par une entreprise via Cerrax. Une entreprise peut activer des e-mails à son nom : des relances à une personne qui lui a demandé un devis (trois au plus, qui s'arrêtent dès qu'elle répond, accepte ou refuse — en France, uniquement si elle les a acceptées lors de sa demande, comme l'exige l'article L.34-5 du Code des postes et des communications électroniques), un remerciement après le déménagement, et — uniquement si le client a coché une case pour l'accepter — un e-mail après le déménagement demandant s'il connaît quelqu'un d'autre qui déménage. Chacun comporte un lien d'arrêt en un clic ; l'arrêt vaut pour tous ces e-mails de cette entreprise à cette personne. Nous conservons une trace de chaque choix et de sa date pour que l'entreprise puisse la produire, et une trace brouillée de l'arrêt pour qu'il soit respecté même après la suppression des autres enregistrements. L'entreprise répond de ces messages ; nous les envoyons sur ses instructions.
Si votre client nous autorise à conserver sa vidéo pour entraîner un logiciel. Lorsqu'un client envoie une vidéo ou des photographies, il peut cocher une case distincte autorisant Cerrax à les conserver pour entraîner un logiciel qui reconnaît les meubles et les pièces. Cette case n'est jamais cochée à sa place et n'est pas une condition pour obtenir un devis. Pour cet usage, et pour lui seul, Cerrax est responsable du traitement et la base légale est le consentement du client (article 6, paragraphe 1, point a). Les visages, les documents et tout ce qui permet d'identifier une personne ou le logement sont floutés avant toute utilisation. Rien ne les utilise aujourd'hui : ils sont conservés, pas encore utilisés. Le client peut retirer son consentement à tout moment, en le demandant à l'entreprise ou en nous écrivant à hello@cerrax.io ; la vidéo et les photographies sont alors supprimées selon la règle des 90 jours du §10.
4. Cookies
Nous n'utilisons que les cookies strictement nécessaires au fonctionnement du site et du service (par exemple pour vous maintenir connecté). Nous n'utilisons aucun cookie publicitaire ni de suivi entre sites, de sorte qu'aucun bandeau de consentement n'est requis. Si nous ajoutions un jour des cookies de mesure d'audience ou d'autres cookies non essentiels, nous recueillerions d'abord votre consentement, comme l'exigent l'article 82 de la loi Informatique et Libertés et les lignes directrices de la CNIL.
Nous mesurons la fréquentation de ces pages avec Vercel Web Analytics, conçu pour respecter la vie privée : il ne dépose aucun cookie, ne stocke aucun identifiant et ne peut vous suivre d'un site ou d'une session à l'autre. Il nous indique des nombres de pages vues, des sites référents et des pays — jamais qui vous êtes.
5. Pourquoi nous les utilisons, et nos bases légales
- Pour fournir le service — l'exécution de notre contrat avec vous (article 6, paragraphe 1, point b). Votre nom et votre adresse e-mail sont nécessaires pour ouvrir un compte ; sans eux, nous ne pouvons pas fournir Cerrax.
- Pour assurer la sécurité du service et prévenir les abus (par exemple limitation du nombre de requêtes, blocage d'attaques, et vérification qu'un visiteur du calculateur public est une personne) — notre intérêt légitime à protéger Cerrax et les entreprises qui l'utilisent (article 6, paragraphe 1, point f).
- Pour améliorer le moteur de tarification — notre intérêt légitime à calibrer les prix (article 6, paragraphe 1, point f), à partir de données anonymisées (voir §7).
- Pour conserver la vidéo ou les photographies d'un client afin d'entraîner un logiciel — le consentement du client (article 6, paragraphe 1, point a), qu'il peut retirer à tout moment (voir §3).
- Pour respecter nos obligations légales — comptabilité, réponse aux demandes légitimes des autorités (article 6, paragraphe 1, point c).
6. Tarification automatisée
Cerrax produit automatiquement un prix à partir des données et des réglages fournis. Il s'agit d'un outil pour l'entreprise : c'est elle qui décide de ce qu'elle facture à son client (voir nos Conditions). Cerrax peut chiffrer une demande dès son arrivée, mais ce prix est une proposition à l'entreprise : elle l'examine et choisit de l'envoyer, de le modifier ou de ne pas répondre, et un client est toujours libre de refuser un devis. L'IA dans Cerrax ne fait que suggérer des informations qu'une personne confirme ; elle ne fixe jamais un prix. Cerrax ne prend aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à l'égard d'une personne ou l'affectant de manière significative au sens de l'article 22 du RGPD.
7. Le corpus d'apprentissage (important)
Cerrax gagne en précision à mesure qu'il observe des résultats réels. Lorsqu'un chantier est terminé, nous en établissons, sur instruction de l'entreprise, un enregistrement désidentifié distinct : le volume, une tranche de distance, les caractéristiques d'accès, l'équipe, les véhicules, les heures, le prix et le coût, le mois du déménagement, et une zone qui n'est jamais plus précise que le département (les deux premiers chiffres du code postal, par exemple « 75 »). Il ne contient jamais de nom, de coordonnées, de code postal complet, d'adresse, de position sur une carte, de texte libre, de photographie, de vidéo, de signature, l'identité de l'entreprise, ni aucune référence permettant de remonter au chantier. Tant que nous détenons encore le chantier d'origine, il est traité comme une donnée personnelle, au même titre que le chantier ; une fois l'original supprimé, ou le client effacé, personne ne pourrait identifier une personne vivante à partir de cet enregistrement par des moyens raisonnablement susceptibles d'être utilisés — il est alors anonyme, et nous le conservons indéfiniment. Nous ne cherchons jamais à réidentifier quiconque. Des enseignements agrégés peuvent alimenter des repères régionaux ; nous n'exposons jamais les prix d'une entreprise donnée ni l'identité d'un client.
8. Avec qui nous les partageons
Nous ne vendons pas de données personnelles. Nous recourons à un petit nombre de prestataires (sous-traitants ultérieurs) sous contrat. Ce sont aujourd'hui :
- Google Cloud et Firebase — l'hébergement, la base de données et le stockage des fichiers (région de Londres), ainsi que la connexion aux comptes.
- Google Maps — le géocodage et les distances entre adresses.
- Anthropic (fournisseur d'IA, États-Unis) — uniquement lorsqu'une entreprise utilise une fonction qui lit ce qu'on lui fournit : la barre de saisie et la saisie par description (transformer la description d'un chantier en liste d'objets), la photographie d'une liste manuscrite ou imprimée, l'import de tableur, et les e-mails de demande sans présentation étiquetée (§3). Il propose des objets ou des informations qu'une personne confirme ; il ne fixe jamais un prix. Il ne s'entraîne pas sur ces données et les supprime sous 30 jours.
- Amazon Web Services (SES et SNS, région de Londres) — l'acheminement des e-mails : à vous (avis de compte, réinitialisation du mot de passe et tout ce que vous nous demandez) et, pour votre compte, à vos clients (les devis et messages que vous leur envoyez par Cerrax) ; et la réception des e-mails de demande envoyés à votre adresse Cerrax.
- Stripe — l'encaissement de votre abonnement Cerrax ; et, si vous connectez votre propre compte Stripe pour percevoir des acomptes ou des soldes, le paiement de votre client sur votre compte.
- Meta (WhatsApp Business) — uniquement si vous connectez votre propre numéro WhatsApp Business ; les messages que vous envoyez alors à vos clients par ce canal sont acheminés par Meta.
- Xero — uniquement si vous connectez votre propre compte Xero ; les données de facturation des chantiers que vous y envoyez (le nom et l'adresse de votre client et les montants) y sont alors inscrites par Xero sous forme de factures en brouillon.
- Vercel — l'exécution de notre site, de l'application Cerrax et des pages que vos clients ouvrent (serveurs à Londres, société américaine), et la mesure d'audience sans cookie décrite au §4.
- Cloudflare Turnstile — la vérification qu'un visiteur de notre calculateur public est une personne et non un robot.
Stripe (pour les paiements de vos clients), Meta et Xero agissent dans le cadre de votre propre compte et de votre contrat avec eux lorsque vous les connectez. Nous tenons cette liste à jour et n'y faisons figurer que les services effectivement utilisés ; nous prévenons par e-mail les titulaires de compte au moins 30 jours avant qu'un nouveau prestataire ne traite les données de leurs clients.
9. Où vos données sont conservées
Vos données sont conservées au Royaume-Uni, à Londres. Pour une entreprise établie en France, il s'agit d'un transfert de données personnelles hors de l'Union européenne, licite parce que la Commission européenne a reconnu au Royaume-Uni un niveau de protection adéquat (décision (UE) 2021/1772, renouvelée par la décision d'exécution (UE) 2025/2574 du 19 décembre 2025 jusqu'au 27 décembre 2031). Lorsqu'un prestataire traite des données hors de l'Union et du Royaume-Uni — c'est aujourd'hui le cas du traitement par IA aux États-Unis — nous nous fondons sur le cadre de protection des données UE–États-Unis pour les prestataires qui y sont certifiés, ou à défaut sur les clauses contractuelles types de l'Union (c'est le cas d'Anthropic, dont l'accord de traitement intègre ces clauses). Nous ne transférons aucune donnée personnelle sans mécanisme de transfert valide.
En l'état actuel : chaque compte Cerrax est situé dans un pays où Cerrax est ouvert — le Royaume-Uni, l'Irlande et la France — et les données de chacun d'eux sont conservées à Londres. Il s'agit d'un constat à la date figurant en tête de cette page, non d'une promesse pour l'avenir — si vous en avez besoin par écrit pour un compte donné, ou souhaitez savoir où un service précis traite des données, écrivez-nous à hello@cerrax.io et nous vous le dirons.
10. Durée de conservation
Les données de votre compte (dont nous sommes responsable du traitement) : pendant toute la durée d'activité de votre compte et jusqu'à six ans après sa clôture, pour satisfaire à nos obligations légales, comptables et fiscales — sauf si la loi impose une durée plus longue.
Les données de vos clients (dont nous sommes votre sous-traitant) : aussi longtemps que vous les conservez chez nous, puis supprimées ou restituées à votre demande, comme le prévoit l'Accord de traitement des données. Sauf instruction contraire de votre part, les enregistrements de chantier — un devis, sa réservation et son résultat, les feuilles d'équipe et toute photographie d'état des lieux ou de dommage qui y est jointe — sont conservés six ans après le déménagement (ou après le devis, si le chantier n'a pas eu lieu), sauf réclamation ou litige encore ouvert sur ce chantier, puis supprimés. Les photographies n'ont pas de durée propre : elles sont conservées aussi longtemps que l'enregistrement de chantier auquel elles appartiennent et supprimées avec lui. La vidéo d'un client, et les photographies qu'il envoie avec elle, sont supprimées 90 jours après la dernière date du chantier — sauf si le client a accepté que Cerrax les conserve pour entraîner un logiciel (§3) et n'a pas retiré ce consentement.
Sauf durées différentes fixées par l'entreprise : une demande jamais chiffrée ni envoyée est supprimée 12 mois après sa dernière activité ; un devis envoyé mais jamais accepté, 24 mois après son envoi ; une fiche contact est conservée tant qu'un enregistrement de chantier qui lui est lié est conservé, puis supprimée 12 mois après la disparition du dernier (ou 12 mois après sa création si elle n'a jamais été liée à un chantier). La trace du consentement d'une personne est conservée aussi longtemps que sa fiche et six ans après, pour que l'entreprise puisse la produire ; la trace brouillée d'une demande d'arrêt des messages est conservée sans limite, pour qu'elle continue d'être respectée.
Nos propres enregistrements : demandes de liste d'attente, de démonstration et de contact, 24 mois après notre dernier échange (ou plus tôt si vous le demandez) ; journaux de sécurité, 90 jours. Les enregistrements désidentifiés (§7) ne sont pas des données personnelles et sont conservés indéfiniment. Vous pouvez demander l'effacement de données personnelles (§12) ; les enregistrements de tarification validés ne sont jamais modifiés en silence, mais les identifiants personnels qu'ils contiennent en sont retirés.
11. Prospection et communications
Nous vous adressons les messages de service nécessaires à la gestion de votre compte. Si vous demandez une démonstration ou créez un compte, nous pouvons vous contacter au sujet de Cerrax ; vous pouvez vous opposer à tout moment à la prospection via le lien de désinscription ou par e-mail. Nous respectons l'article L.34-5 du Code des postes et des communications électroniques pour toute prospection électronique.
12. Vos droits
En vertu du RGPD, vous pouvez demander l'accès à vos données, leur rectification, leur effacement, la limitation du traitement, leur portabilité, et vous opposer aux traitements fondés sur notre intérêt légitime. Vous pouvez vous opposer à tout moment à la prospection, et nous cessons. Lorsque nous nous fondons sur votre consentement, vous pouvez le retirer à tout moment, sans remettre en cause ce qui a été fait auparavant. Pour les données des clients d'une entreprise (dont nous sommes sous-traitant), adressez les demandes à l'entreprise responsable du traitement ; nous l'aidons à y répondre. Pour exercer un droit, écrivez à hello@cerrax.io. Nous répondons dans un délai d'un mois. Vous pouvez également définir des directives relatives à la conservation, à l'effacement et à la communication de vos données personnelles après votre décès (article 85 de la loi n° 78-17 du 6 janvier 1978).
13. Mineurs
Cerrax est un outil destiné aux entreprises et ne s'adresse pas aux mineurs. Nous ne collectons pas sciemment de données concernant des mineurs.
14. Réclamations
Si vous n'êtes pas satisfait de la manière dont nous traitons vos données, dites-le-nous à hello@cerrax.io — nous accuserons réception de votre réclamation sous 30 jours, l'examinerons dans les meilleurs délais et vous ferons connaître l'issue. Vous pouvez également saisir la Commission nationale de l'informatique et des libertés (CNIL, cnil.fr), autorité de contrôle en France.
15. Sécurité
Nous protégeons les données par des contrôles d'accès, le chiffrement en transit et au repos assuré par notre hébergeur, et la journalisation des actions d'administration. Aucun système n'est parfaitement sûr, mais nous prenons des mesures raisonnables et proportionnées aux données.
En cas de violation de données personnelles, nous agissons sans délai : lorsque nous sommes responsable du traitement, nous notifions la CNIL dans les 72 heures lorsque cela est requis, et les personnes concernées lorsque cela est requis ; lorsque nous sommes sous-traitant, nous informons l'entreprise concernée dans les meilleurs délais, et au plus tard sous 48 heures, afin qu'elle puisse satisfaire à ses propres obligations.
16. Modifications
Nous pouvons mettre à jour la présente politique ; la nouvelle version sera publiée ici avec une date d'entrée en vigueur révisée, et nous prévenons par e-mail les titulaires de compte de toute modification qui les concerne.
17. Contact
Cerrax Ltd, 71–75 Shelton Street, Covent Garden, Londres, WC2H 9JQ, Royaume-Uni. hello@cerrax.io.