Mentions légales

Politique de confidentialité

Comment nous collectons, traitons et protégeons vos données.

Dernière mise à jour: 5 octobre 2026

Cette politique de confidentialité explique comment NEXT BP traite les données personnelles lorsque vous consultez blast-audit.com ou utilisez Blast Audit : le complément Excel, le tableau de bord web, les connecteurs de stockage en ligne, le serveur MCP et l’agent d’engagement (le « Logiciel »). Elle constitue l’information exigée par les articles 13 et 14 du règlement général sur la protection des données (RGPD).

1. Qui sommes-nous

Le responsable du traitement est NEXT BP, société par actions simplifiée au capital de 100 €, immatriculée au registre du commerce et des sociétés de Paris sous le numéro 920 753 233, dont le siège social est situé 127 rue de la Tour, 75016 Paris.

Pour toute question sur vos données personnelles ou pour exercer vos droits, écrivez à privacy [at] blast-audit.com. NEXT BP n’a pas désigné de délégué à la protection des données ; cette adresse parvient à la personne chargée de la protection des données chez NEXT BP.

Le Logiciel est destiné aux professionnels. Il ne s’adresse pas aux enfants.

2. Responsable du traitement ou sous-traitant

NEXT BP traite des données personnelles en deux qualités.

En tant que responsable du traitement, pour les données nécessaires à sa propre activité : visiteurs du site, comptes et authentification des utilisateurs, facturation, assistance, sécurité, mesure d’usage du produit, prospection et relations commerciales. La présente politique décrit ces traitements.
En tant que sous-traitant, pour les documents et contenus que les cabinets d’audit et d’expertise comptable soumettent au Logiciel (par exemple des relevés bancaires, des factures, des contrats ou des journaux de paie) et pour les données personnelles qu’ils contiennent. Le cabinet qui utilise Blast Audit est responsable du traitement de ces données et décide de ce qu’il soumet. NEXT BP ne les traite que sur les instructions de ce cabinet, dans le cadre de l’accord de traitement des données (DPA).

Si vos données figurent dans un document qu’un cabinet a soumis à Blast Audit, adressez-vous à ce cabinet pour exercer vos droits. Si vous nous écrivez, nous transmettons votre demande au cabinet concerné.

3. Données collectées et leur origine

Données d’identité et de compte : nom, adresse e-mail, organisation, rôle, langue, identifiants de votre fournisseur d’identité lorsque votre organisation utilise l’authentification unique, dates de connexion.
Données de facturation : nom du contact de facturation, informations sur la société, adresse, numéro de TVA, abonnement, factures et état des paiements. Les données de carte sont saisies sur les pages de Stripe ; nous ne recevons jamais le numéro de carte complet.
Données d’usage : fonctions utilisées, nombre de pages traitées, crédits d’IA consommés, identifiants techniques, données du navigateur et de l’appareil, adresse IP, pages consultées.
Assistance et échanges : messages, e-mails et pièces jointes que vous nous envoyez, et e-mails que nous vous envoyons.
Données de prospection : ce que vous saisissez dans nos formulaires de contact et de démonstration (nom, adresse e-mail professionnelle, numéro de téléphone, société, fonction, taille de l’équipe, message).
Données des connecteurs : lorsque vous connectez Google Drive ou Microsoft 365, les jetons d’accès et l’identifiant de compte que le fournisseur renvoie.
Contenu soumis au Logiciel : documents, valeurs extraites, instructions, saisie vocale. NEXT BP traite ce contenu en qualité de sous-traitant (article 2).

La plupart de ces données viennent de vous. Certaines proviennent d’autres sources :

l’administrateur de votre organisation, qui vous invite et vous attribue votre rôle ;
le fournisseur d’identité de votre organisation, via WorkOS, lorsque l’authentification unique est utilisée ;
Stripe, pour l’état des paiements ;
Google ou Microsoft, lorsque vous connectez un connecteur.

4. Finalités, bases légales et durées de conservation

Finalité	Données	Base légale	Durée de conservation
Créer et gérer votre compte, vous authentifier, gérer les utilisateurs de votre organisation	Données d’identité et de compte	Exécution du contrat conclu avec votre organisation (art. 6.1.b) ; pour les utilisateurs invités par leur organisation, notre intérêt légitime et celui de l’organisation à leur donner accès au service (art. 6.1.f)	Pendant la durée de vie du compte, puis suppression dans les 30 jours suivant sa clôture
Fournir les fonctions du Logiciel, appliquer les quotas et mesurer la consommation	Données d’usage, données des connecteurs	Exécution du contrat (art. 6.1.b)	Pendant la durée de vie du compte, puis suppression dans les 30 jours suivant sa clôture
Facturer, encaisser les paiements, tenir la comptabilité	Données de facturation	Exécution du contrat (art. 6.1.b) ; obligation légale (art. 6.1.c) pour les pièces comptables	Pendant la durée de l’abonnement ; factures et pièces comptables : 10 ans (article L. 123-22 du Code de commerce)
Répondre aux demandes d’assistance	Assistance et échanges, données d’identité	Exécution du contrat pour les clients ; intérêt légitime à répondre aux visiteurs et aux prospects (art. 6.1.f)	Jusqu’à ce que vous nous demandiez de les supprimer. La suppression automatique 24 mois après le dernier message (90 jours pour les conversations sans réponse de visiteurs non connectés) n’est pas encore active
Envoyer les e-mails de service : invitations, prise en main, rappels d’essai et de facturation	Données d’identité, langue, organisation, offre, événements d’abonnement	Exécution du contrat (art. 6.1.b) ; pour les conseils de prise en main, notre intérêt légitime à aider les clients à utiliser le service (art. 6.1.f)	Pendant la durée de vie du compte
Sécuriser le service, prévenir la fraude et les abus, détecter les erreurs	Adresse IP, journaux techniques, rapports d’erreur	Intérêt légitime à protéger le service et ses utilisateurs (art. 6.1.f)	Journaux : 30 jours ; rapports d’erreur : 90 jours
Mesure d’usage du produit dans le complément Excel	Identifiant d’utilisateur, adresse e-mail, organisation, événements d’usage	Intérêt légitime à comprendre l’usage du produit et à l’améliorer (art. 6.1.f)	25 mois
Mesure d’audience anonyme sur le site et le tableau de bord, sans consentement	Pages consultées, interactions, adresse IP et agent utilisateur du navigateur, que PostHog transforme en empreinte (hachage) avec un sel qui change chaque jour ; PostHog ne conserve pas l’adresse IP	Intérêt légitime à mesurer l’audience du site et du tableau de bord (art. 6.1.f)	25 mois
Mesure d’audience et enregistrement de session sur le site, et mesure d’usage du produit dans le tableau de bord, avec votre consentement	Identifiant de navigateur, pages consultées, interactions, enregistrements avec texte masqué ; lorsque vous êtes connecté, identifiant d’utilisateur, adresse e-mail et organisation	Consentement (art. 6.1.a), recueilli dans le bandeau cookies	Événements : 25 mois ; enregistrements : 90 jours
Statistiques d’utilisation du complément Excel	Identifiants de session et de visiteur, page, site de provenance, pays et ville déduits de l’adresse IP, qui n’est conservée que sous forme hachée	Intérêt légitime à mesurer l’utilisation du complément (art. 6.1.f)	25 mois
Prospection et relations commerciales avec des professionnels	Données de prospection	Intérêt légitime à présenter nos services à des professionnels (art. 6.1.f)	3 ans après le dernier contact émanant du prospect
Traiter les retours sur le produit	Organisation, adresse e-mail, contenu du retour	Intérêt légitime à améliorer le produit (art. 6.1.f)	3 ans
Respecter nos obligations légales, constater, exercer ou défendre nos droits en justice	Données concernées	Obligation légale (art. 6.1.c) ; intérêt légitime (art. 6.1.f)	Délais de prescription légaux (5 ans en matière commerciale)

Lorsque nous nous fondons sur notre intérêt légitime, vous pouvez vous y opposer à tout moment (article 8).

5. Destinataires

Les données personnelles ne sont accessibles qu’aux personnes de NEXT BP qui en ont besoin. Nous les communiquons aux prestataires suivants, qui agissent sur nos instructions :

Microsoft (Microsoft Ireland Operations Limited) : hébergement sur Microsoft Azure en France ; Azure OpenAI (zone de données UE, ressource en Suède) et Azure AI Content Understanding pour l’analyse des documents et l’OCR ; Azure AI Speech pour la saisie vocale ; Azure Communication Services pour les e-mails transactionnels, y compris les réponses de notre assistance ;
Cloudflare : hébergement du site et du tableau de bord, réception des e-mails d’assistance envoyés à reply.blast-audit.com ;
Google (Google Workspace) : messagerie de NEXT BP, y compris les e-mails envoyés à support [at] blast-audit.com, qu’elle transfère à reply.blast-audit.com ;
WorkOS : authentification et authentification unique ;
Stripe : paiement et facturation ;
PostHog : mesure d’usage du produit et mesure d’audience ;
Sentry : suivi des erreurs ;
Customer.io : e-mails de service liés au compte et à l’abonnement ;
Exa : recherche web proposée par l’agent Excel, uniquement lorsque vous approuvez la requête de recherche ;
Discord : notification interne à notre équipe des formulaires de contact et des retours sur le produit.

La localisation de chaque prestataire et les garanties applicables aux transferts figurent à l’annexe 3 de l’accord de traitement des données, qui constitue notre liste datée des sous-traitants.

Nous pouvons aussi communiquer des données aux autorités publiques lorsque la loi l’exige, à nos conseils (avocats, commissaires aux comptes) tenus au secret, et à un acquéreur en cas de fusion ou de cession de l’activité, après vous en avoir informé.

Nous ne vendons pas de données personnelles.

6. Transferts hors de l’Espace économique européen

Nous hébergeons nos bases de données et nos fichiers dans l’Union européenne. Certains prestataires sont établis aux États-Unis ou peuvent accéder aux données depuis ce pays : Cloudflare, Google, Stripe, WorkOS, Sentry, Customer.io, PostHog, Exa et Discord. Ces transferts reposent sur la décision d’adéquation de la Commission européenne relative au cadre de protection des données UE–États-Unis (Data Privacy Framework) lorsque le destinataire est certifié (Cloudflare, Google, Stripe, PostHog, Sentry, Customer.io), et sur les clauses contractuelles types adoptées par la Commission (décision (UE) 2021/914) dans les autres cas ou en complément. Vous pouvez obtenir une copie de ces garanties en écrivant à privacy [at] blast-audit.com.

7. Durées de conservation

La durée de conservation de chaque catégorie de données figure dans le tableau de l’article 4. À l’issue de cette durée, les données sont supprimées ou anonymisées. Les sauvegardes de base de données sont conservées 7 jours : un élément supprimé disparaît des sauvegardes dans un délai de 7 jours.

Pour le contenu des documents que NEXT BP traite en qualité de sous-traitant, les durées sont fixées à l’annexe 1 de l’accord de traitement des données. En résumé :

le contenu soumis à l’OCR, à l’analyse de documents ou à l’agent Excel est supprimé au plus tard 24 heures après son import ;
le contenu d’un engagement de l’agent d’engagement est conservé tant que l’engagement est ouvert et supprimé 30 jours après sa clôture ;
les journaux d’exploitation, qui ne contiennent aucun contenu de document, sont conservés 30 jours.

8. Vos droits

Vous disposez d’un droit d’accès, de rectification et d’effacement, d’un droit à la limitation du traitement, d’un droit à la portabilité de vos données, et d’un droit d’opposition aux traitements fondés sur notre intérêt légitime, y compris la prospection, à laquelle vous pouvez mettre fin à tout moment sans avoir à vous justifier. Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment ; pour les cookies, utilisez le lien Paramètres des cookies en bas de chaque page. Vous pouvez également définir des directives relatives au sort de vos données après votre décès.

Pour exercer ces droits, écrivez à privacy [at] blast-audit.com. Nous répondons dans un délai d’un mois ; ce délai peut être prolongé de deux mois pour les demandes complexes, auquel cas nous vous en informons. Nous pouvons vous demander des informations pour vérifier votre identité.

Vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr), ou de l’autorité de l’État membre où vous résidez ou travaillez.

9. Caractère obligatoire ou facultatif des données

Votre nom, votre adresse e-mail et votre organisation sont nécessaires à la création d’un compte ; sans eux, nous ne pouvons pas vous donner accès au Logiciel. Les données de facturation sont nécessaires à la souscription d’un abonnement payant. Dans nos formulaires, les champs obligatoires sont signalés ; les autres sont facultatifs. L’acceptation des cookies de mesure d’audience est facultative et sans effet sur l’accès au site.

10. Intelligence artificielle et décisions automatisées

Nous n’utilisons pas vos données ni le contenu que vous soumettez pour entraîner, ajuster ou améliorer des modèles d’intelligence artificielle, et notre fournisseur d’IA, Microsoft, est contractuellement tenu de ne pas le faire non plus.
Si votre organisation enregistre sa propre clé d’API d’un autre fournisseur d’IA ou d’OCR, les requêtes concernées sont envoyées à ce fournisseur, selon le contrat que votre organisation a conclu avec lui ; ce fournisseur n’est pas notre sous-traitant (article 5.7 du DPA).
Les requêtes adressées à Azure OpenAI sont envoyées avec le paramètre store:false : le service ne les conserve pas pour une consultation ultérieure, sous la seule réserve de la surveillance des abus décrite ci-après.
Microsoft conserve temporairement toutes les requêtes adressées à Azure OpenAI et toutes les réponses, pour détecter et prévenir les usages abusifs ou préjudiciables du service et de ses résultats (abuse monitoring). Le contrat de Microsoft ne fixe pas de durée à cette conservation. Seules les données qui ont déclenché ses systèmes automatisés peuvent être examinées par des employés habilités de Microsoft ; pour les déploiements relevant de la frontière de données de l’UE (EU Data Boundary), ces employés sont situés dans l’Espace économique européen. Les conditions de Microsoft (Privacy & Security Terms) permettent en outre à son personnel situé hors de cette frontière d’accéder à distance aux systèmes de traitement qui s’y trouvent, dans la mesure nécessaire pour exploiter, dépanner, assister et sécuriser ses services. Le 2 octobre 2026, NEXT BP a demandé à Microsoft la surveillance des abus modifiée (modified abuse monitoring), qui supprime cette conservation ; Microsoft l’a refusée le 4 octobre 2026. Cette conservation a donc lieu.
Le Logiciel ne prend aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire. Ses résultats sont des propositions que l’utilisateur vérifie.

11. Cookies

Les cookies et le stockage du navigateur utilisés par le site et le tableau de bord, leur finalité, leur durée et la façon de modifier votre choix sont décrits dans notre Politique relative aux cookies.

12. Fonctions particulières

Saisie vocale. Lorsque la saisie vocale est activée, le complément enregistre votre voix pendant que vous dictez et envoie l’audio à nos serveurs, qui le font transcrire par la transcription rapide d’Azure AI Speech, dans la région Sweden Central. Microsoft ne conserve ni ne stocke l’audio (documentation Microsoft). NEXT BP ne conserve pas l’audio après l’avoir transmis pour transcription ; la transcription vous est renvoyée. Ce traitement est réalisé pour le compte de votre organisation, dans le cadre du DPA.

Connexions au stockage en ligne (Google Drive, Microsoft 365). Si vous connectez un compte Google Drive ou Microsoft 365, Blast Audit lit vos fichiers pour que vous puissiez choisir et importer des documents depuis Excel. Nous ne créons, ne modifions, ne partageons ni ne supprimons jamais de fichiers dans votre stockage en ligne. Les jetons d’accès sont chiffrés et conservés pour votre compte, et supprimés lorsque vous déconnectez le compte depuis le tableau de bord Blast Audit. La déconnexion ne retire pas l’autorisation chez le fournisseur : vous pouvez aussi la révoquer depuis la page des autorisations de votre compte Google ou Microsoft. Les fichiers importés sont transmis à votre navigateur sans être conservés sur nos serveurs ; si vous les soumettez à un traitement, les règles de conservation de l’article 7 s’appliquent.

Données des utilisateurs Google. L’utilisation par Blast Audit des informations reçues des API Google, et leur transfert à toute autre application, respectent la Google API Services User Data Policy, y compris les exigences de Limited Use. Nous demandons la portée https://www.googleapis.com/auth/drive.file, qui ne donne à Blast Audit accès qu’aux fichiers que vous choisissez dans le sélecteur Google Drive. Nous l’utilisons uniquement pour télécharger le fichier que vous sélectionnez afin de l’afficher et de le relier à des cellules de votre propre classeur Excel. Nous n’utilisons pas les données des utilisateurs Google à des fins publicitaires, nous ne les vendons pas, nous ne les utilisons pas pour entraîner des modèles d’intelligence artificielle ou d’apprentissage automatique, et nous ne les transférons à des tiers que dans la mesure nécessaire à la fourniture de la fonction (notre hébergeur Microsoft Azure) ou lorsque la loi l’exige.

Serveur MCP. Si vous connectez à Blast Audit un assistant d’IA de votre choix (par exemple Claude ou ChatGPT) via le serveur MCP, vous l’autorisez avec votre compte Blast Audit via WorkOS. Les requêtes de l’assistant et les résultats renvoyés par votre complément transitent par nos serveurs : leur contenu est masqué 10 minutes après la requête et l’enregistrement est supprimé après 30 jours. L’assistant que vous connectez est exploité par son propre fournisseur, selon les conditions de celui-ci ; il n’est pas un sous-traitant de NEXT BP. Nous conservons la liste des assistants connectés (nom, date de dernière utilisation) afin que vous puissiez les consulter et les déconnecter.

Agent d’engagement. Si votre organisation utilise l’agent d’engagement, les documents importés dans un engagement, le journal des tâches et les feuilles de travail sont conservés sur nos serveurs tant que l’engagement est ouvert, afin que l’agent puisse travailler sans qu’Excel soit ouvert, et supprimés 30 jours après la clôture de l’engagement.

Assistance. Vous pouvez nous contacter par le chat d’assistance ou par e-mail. Les conversations et leurs pièces jointes sont stockées sur nos serveurs, sur Microsoft Azure dans l’Union européenne. Lorsque vous n’avez pas lu une réponse de notre équipe, nous vous l’envoyons par e-mail via Azure Communication Services. Vos réponses à nos e-mails d’assistance, et les e-mails envoyés à reply.blast-audit.com, sont reçus par le service de messagerie de Cloudflare puis transmis à nos serveurs. Les e-mails envoyés à support [at] blast-audit.com arrivent d’abord chez Google Workspace, notre fournisseur de messagerie, qui les transfère à reply.blast-audit.com.

13. Sécurité

Nous protégeons les données personnelles par des mesures techniques et organisationnelles adaptées au risque : hébergement dans l’Union européenne, chiffrement en transit (TLS) et au repos, séparation des données de chaque organisation, accès restreints et suppression automatique du contenu des documents. Ces mesures sont décrites à l’annexe 2 de l’accord de traitement des données. Pour signaler une vulnérabilité, consultez notre page sécurité.

14. Modifications de la présente politique

Nous pouvons mettre à jour cette politique pour refléter une évolution de nos traitements ou de la loi. La date en tête de page indique la dernière version. Nous informons les utilisateurs de toute modification importante par e-mail ou dans le Logiciel avant sa prise d’effet.

15. Contact

privacy [at] blast-audit.com
NEXT BP, 127 rue de la Tour, 75016 Paris