Politique de confidentialité

1. Responsable du traitement et contact

Pour les traitements liés à l’exploitation de PolyphonIA en son nom propre, le responsable du traitement est [XXX – dénomination juridique de l’exploitant], [XXX – adresse complète du siège / établissement en Belgique].

Contact général : [XXX – e-mail juridique/support] · [XXX – téléphone]
DPO / contact protection des données : [XXX – nom du DPO ou du contact protection des données] · [XXX – e-mail DPO / vie privée]

Le DPO, lorsqu’il est formellement désigné, est un interlocuteur distinct de la propriété ou de la direction du site et exerce les missions prévues par le RGPD avec l’indépendance requise.

2. Catégories de données traitées

• Compte : nom, adresse e-mail, état du compte, droits, organisation éventuelle et préférences.
• Authentification et sécurité : éléments nécessaires à la session, événements d’audit, authentification à deux facteurs si activée et informations techniques nécessaires à la prévention des abus.
• Utilisation du service : module utilisé, modèles choisis, variantes, dates, latence, tokens, coût estimé, crédits et état des jobs.
• Contenus : questions, instructions, réponses, extraits documentaires, corpus Multi et autres contenus que l’utilisateur décide de soumettre ou conserver.
• Clés BYOK : secrets API enregistrés à la demande de l’utilisateur, protégés par le mécanisme de chiffrement de l’application et déchiffrés uniquement lorsque cela est nécessaire pour appeler le fournisseur choisi.
• Facturation : plan, statut d’abonnement, identifiants techniques du prestataire de paiement Stripe, opérations de crédits et informations nécessaires à la comptabilité. Les données complètes de carte bancaire ne sont pas stockées par PolyphonIA : le paiement est réalisé sur l’infrastructure de Stripe.
• Support et demandes juridiques : messages, pièces et informations nécessaires pour répondre à une demande.

3. Finalités et bases juridiques

Exécuter le service et le contrat

Créer le compte, authentifier l’utilisateur, fournir Comparateur, RAG, Multi, historique, jobs en arrière-plan, crédits, BYOK, exports et fonctions d’administration. La base est l’exécution du contrat ou, avant la conclusion, les mesures précontractuelles demandées par l’utilisateur.

Sécurité et prévention des abus

Détecter les incidents, protéger les comptes, limiter les abus, assurer la traçabilité et défendre les droits de l’exploitant et des utilisateurs. La base peut être l’intérêt légitime de sécuriser le service, sous réserve des droits et libertés des personnes concernées.

Facturation et obligations légales

Gérer les abonnements, crédits, justificatifs et obligations comptables, fiscales ou réglementaires. La base est l’exécution du contrat et, selon le traitement, une obligation légale.

Fonctions facultatives

Lorsqu’une fonctionnalité facultative repose juridiquement sur le consentement, celui-ci est demandé séparément et peut être retiré aussi facilement qu’il a été donné. PolyphonIA ne présente pas l’acceptation générale de cette politique comme un consentement global à tous les traitements.

4. Questions, RAG, Multi et conservation technique

RAG local : les fichiers originaux ajoutés au RAG peuvent rester stockés dans le navigateur. Pour qu’une analyse en arrière-plan continue après fermeture de l’onglet, seuls les passages sélectionnés pour la question, avec leurs références, sont copiés temporairement dans le job serveur puis transmis au(x) fournisseur(s) IA choisi(s).

Jobs Comparateur/RAG : le contenu technique d’un job terminé est prévu pour être purgeable après 7 jours lorsque l’utilisateur ne demande pas sa conservation dans l’historique, et après 30 jours lorsqu’il demande cette conservation. La copie volontairement conservée dans l’historique suit la durée de l’historique.

Multi : les corpus documentaires associés à un profil Multi sont stockés côté serveur afin de permettre une méthode reproductible. Ils restent disponibles jusqu’à leur suppression, celle du profil ou une autre échéance contractuelle applicable. Le contenu technique des jobs Multi terminés suit le mécanisme de purge de 7 ou 30 jours selon la conservation choisie.

Historique : lorsqu’un utilisateur choisit de conserver le contenu d’une analyse, ce contenu reste disponible jusqu’à sa suppression par l’utilisateur, la fermeture du compte ou une règle de conservation contractuelle/légale applicable.

5. Fournisseurs d’IA et BYOK

Lorsque vous choisissez un modèle, les données nécessaires à la requête sont transmises au fournisseur correspondant. Selon le catalogue, il peut s’agir notamment de fournisseurs tels qu’OpenAI, Anthropic, Google ou d’autres fournisseurs activés par l’administrateur. La provenance exacte du modèle est affichée dans le service.

Lorsque vous utilisez votre propre clé API, la relation avec le fournisseur concerné peut également être régie par votre propre contrat avec celui-ci. PolyphonIA ne doit pas être considéré comme modifiant les règles de confidentialité que vous avez acceptées directement auprès du fournisseur.

6. Destinataires, sous-traitants et transferts

Les données sont accessibles aux personnes autorisées de l’exploitant selon leur besoin, ainsi qu’aux prestataires nécessaires à l’hébergement, l’envoi d’e-mails, le paiement (Stripe lorsqu’il est activé), la sécurité et les fournisseurs d’IA sélectionnés.

Hébergement : EX2 — [XXX – adresse et coordonnées légales EX2].

Certains fournisseurs peuvent traiter des données en dehors de l’Espace économique européen. Lorsque le RGPD l’exige, l’exploitant veille à ce qu’un mécanisme de transfert reconnu soit applicable (par exemple décision d’adéquation, clauses contractuelles types ou autre garantie autorisée) et documente le rôle contractuel du fournisseur concerné.

7. Durées de conservation

• Compte : pendant la durée du compte, puis [XXX – durée à définir] lorsqu’une conservation est nécessaire pour la sécurité, la preuve ou une obligation légale.
• Historique volontaire : jusqu’à suppression par l’utilisateur, fermeture du compte ou règle contractuelle/légale applicable.
• Contenu technique des jobs : 7 jours sans conservation volontaire ; jusqu’à 30 jours avec conservation volontaire, conformément au mécanisme actuel de purge des jobs terminés.
• Corpus Multi : jusqu’à suppression du document/profil ou fin du cadre contractuel applicable.
• Clés API personnelles : jusqu’à leur suppression ou révocation dans PolyphonIA.
• Logs de sécurité et audit : [XXX – durée à définir].
• Données de facturation et pièces comptables : [XXX – durée à définir].
• Preuve d’acceptation des conditions : pendant la durée nécessaire à la gestion du contrat et à la défense de droits, soit [XXX – durée à définir]. Après suppression du compte, cette preuve peut être conservée sous une référence pseudonymisée lorsque cette conservation est justifiée.

8. Vos droits

Dans les conditions prévues par le RGPD, vous pouvez demander l’accès à vos données, leur rectification, leur effacement, la limitation du traitement, leur portabilité et vous opposer à certains traitements fondés sur l’intérêt légitime. Lorsque le traitement repose sur le consentement, vous pouvez le retirer pour l’avenir.

Pour exercer vos droits : [XXX – e-mail DPO / vie privée]. Une vérification raisonnable de l’identité peut être demandée afin d’éviter qu’un tiers accède à vos données.

Vous avez également le droit d’introduire une réclamation auprès de l’autorité de protection des données compétente de votre lieu de résidence, de travail ou du lieu de l’infraction alléguée.

L’exploitant étant établi en Belgique, l’autorité de contrôle belge est l’Autorité de protection des données (APD), Rue de la Presse 35, 1000 Bruxelles, +32 (0)2 274 48 00, contact@apd-gba.be. Une personne concernée établie dans un autre État de l’EEE peut également s’adresser à l’autorité de contrôle compétente de son pays dans les conditions prévues par le RGPD.

9. Entreprises, écoles et universités

Lorsque PolyphonIA traite des données personnelles uniquement pour le compte d’une entreprise, école, université ou autre organisation qui détermine les finalités et moyens essentiels du traitement, cette organisation peut agir comme responsable du traitement et l’exploitant de PolyphonIA comme sous-traitant.

Un accord de traitement des données (DPA) conforme à l’article 28 du RGPD doit alors encadrer les traitements concernés. Il peut être demandé à [XXX – e-mail DPO / vie privée]. Le client institutionnel reste responsable de la licéité des données qu’il confie au service, de l’information de ses utilisateurs et des autorisations éventuellement nécessaires.

10. Modifications

Cette politique peut évoluer. La date de version permet d’identifier le texte applicable. Les changements substantiels sont portés à la connaissance des utilisateurs par un moyen approprié.