Légal · RGPD
Politique de confidentialité
Version du · brouillon non publié
En bref
- Aucun cookie, aucun traceur publicitaire, aucune mesure d’audience tierce.
- Votre brief et vos préférences restent dans votre navigateur tant que vous ne les envoyez pas.
- Une demande de contact est conservée 3 ans après notre dernier échange, puis supprimée.
- Les conversations avec l’assistant et les fichiers des démos ne sont pas conservés.
- L’anti-abus repose sur une empreinte d’adresse IP salée, non réversible, effacée sous 48 h.
- Vos données ne sont ni vendues, ni louées, ni utilisées pour entraîner des modèles d’IA.
Responsable du traitement
Le responsable des traitements décrits ici est Vifia, [à compléter : forme juridique (SAS, SASU, EURL…)], dont le siège est situé [à compléter : adresse du siège social] (SIREN [à compléter : SIREN]).
Contact pour toute question sur vos données : [à compléter : adresse email de contact]. Vifia n’est pas tenue de désigner un délégué à la protection des données ; le fondateur répond lui-même aux demandes.
Ce que nous traitons, pourquoi, combien de temps
Chaque traitement a une finalité précise, une base légale au sens de l’article 6 du RGPD et une durée de conservation écrite.
| Traitement | Données | Finalité | Base légale | Durée |
|---|---|---|---|---|
| Demande de contact | Nom, email professionnel, société, fonction, téléphone (facultatif), profil, besoin, échéance, budget, message, et le brief si vous choisissez de le joindre | Répondre à votre demande, préparer une proposition, assurer le suivi commercial | Mesures précontractuelles prises à votre demande (art. 6.1.b) ; suivi commercial : intérêt légitime (art. 6.1.f) | 3 ans après le dernier contact de votre part, puis suppression |
| Lettre d’information | Vous envoyer des nouvelles de Vifia, si vous avez coché la case dédiée (jamais cochée d’avance) | Consentement (art. 6.1.a), retirable à tout moment par le lien de chaque envoi | Jusqu’au retrait du consentement | |
| Prise de rendez-vous en ligne (à l’activation de l’agenda : pas encore active) | Nom, email, créneau choisi, réponses saisies dans l’agenda ; adresse IP reçue par le service d’agenda à son affichage | Organiser l’échange | Mesures précontractuelles (art. 6.1.b) | [à compléter : durée de conservation des rendez-vous dans Zeeg] |
| Emails de service | Adresse email, contenu de l’accusé de réception | Vous confirmer la réception de votre demande | Mesures précontractuelles (art. 6.1.b) | Journaux d’envoi : [à compléter : durée de conservation des journaux d’envoi Scaleway TEM] |
| Assistant IA du site | Le texte de vos questions et l’historique de la conversation en cours | Vous répondre à partir du contenu du site | Intérêt légitime à répondre aux visiteurs (art. 6.1.f) | Conversation non conservée par Vifia. Seules des métadonnées techniques, sans texte ni adresse IP (nombre de tours, durée, coût), sont journalisées |
| Démos | Choix effectués dans la démo ; fichiers déposés lorsqu’une démo l’accepte | Produire le résultat de la démo | Intérêt légitime (art. 6.1.f), à votre demande | Fichiers non conservés : traités puis effacés, jamais réutilisés |
| Anti-abus et quotas | Empreinte de l’adresse IP, calculée avec un secret qui change chaque jour (non réversible, non corrélable d’un jour à l’autre) ; compteur d’usage | Limiter les abus (par exemple 20 questions par jour à l’assistant) et protéger le service | Intérêt légitime à sécuriser le service (art. 6.1.f) | 48 heures |
| Journaux du serveur web | Adresse IP, date, page demandée, navigateur | Sécurité, diagnostic des pannes | Intérêt légitime (art. 6.1.f) | [à compléter : durée de conservation des journaux du serveur web] |
| Sauvegardes | Copie chiffrée de la base des demandes de contact | Reprise après incident | Intérêt légitime (art. 6.1.f) | [à compléter : durée et lieu des sauvegardes chiffrées] |
Les données des demandes de contact sont lues par le fondateur seul. Aucune décision produisant des effets juridiques à votre égard n’est prise par un traitement automatisé (article 22 du RGPD).
Cookies et traceurs
Ce site ne dépose aucun cookie et n’utilise aucun traceur publicitaire, pixel, ni outil de mesure d’audience. Les polices sont servies depuis ce site : aucun appel à un service tiers n’a lieu au chargement des pages. Aucun bandeau de consentement n’est donc nécessaire.
Exception que vous déclenchez vous-même, une fois l’agenda en ligne activé : si vous affichez l’agenda de prise de rendez-vous sur la page contact, il est chargé depuis le service Zeeg, qui peut alors utiliser ses propres traceurs nécessaires à son fonctionnement. Il n’est jamais chargé sans votre clic.
Si une mesure d’audience est mise en place, elle sera sans cookie, auto-hébergée, configurée pour l’exemption de consentement prévue par la CNIL, et décrite ici avant son activation, avec un moyen de s’y opposer.
Prestataires (sous-traitants) et pays
Les prestataires suivants traitent des données pour le compte de Vifia, dans le cadre d’un contrat conforme à l’article 28 du RGPD. Aucune donnée ne leur est transmise à des fins publicitaires.
| Prestataire | Rôle | Pays |
|---|---|---|
| [à compléter : raison sociale de l’hébergeur] | Hébergement du site, de la base des demandes, des démos et de l’assistant | [à compléter : pays du centre de données] |
| Anthropic (API) ou Google Cloud Vertex AI, selon la configuration en service | Assistant IA du site : génération des réponses (modèle de langage) | États-Unis ou mondial (API Anthropic), ou Union européenne (Vertex AI, région UE) |
| Scaleway (Transactional Email) | Envoi des emails de service | France |
| [à compléter : fournisseur et pays de la boîte email de Vifia] | Messagerie de Vifia (réception des notifications de demande et des échanges) | [à compléter : pays de la boîte email de Vifia] |
| Zeeg | Agenda de prise de rendez-vous en ligne (À l’activation de l’agenda en ligne : pas encore actif, aucune donnée transmise) | Allemagne |
Le modèle de l’assistant
Les questions posées à l’assistant sont transmises au fournisseur du modèle de langage, le temps de produire la réponse. Durée de conservation chez ce fournisseur : [à compléter : durée de conservation des requêtes chez le fournisseur du modèle (option sans conservation activée ou non)]. Vos questions ne servent pas à entraîner ses modèles. N’y saisissez pas de données sensibles.
Configuration en service
Aucun modèle n’est configuré : l’assistant répond en mode FAQ, à partir de réponses écrites à l’avance. Vos questions ne sont envoyées à aucun fournisseur d’IA.
Les deux configurations possibles, selon le choix d’exploitation :
| Fournisseur | Service | Lieu de traitement |
|---|---|---|
| Anthropic, PBC | API Claude (accès direct) | États-Unis — inférence dans la zone « États-Unis » ou « mondiale » proposée par l’API |
| Google Cloud (Vertex AI) | Claude via Vertex AI | Région Union européenne choisie à la configuration |
Transferts hors de l’Union européenne
Les données sont hébergées dans l’Union européenne par défaut. Un transfert hors de l’Union n’a lieu que si la configuration de l’assistant en service l’indique ci-dessus (accès direct à l’API du fournisseur, aux États-Unis). Il est alors encadré par [à compléter : encadrement du transfert vers les États-Unis (Data Privacy Framework ou clauses contractuelles types)], et seul le texte des questions est concerné.
Sécurité
- Connexions chiffrées (HTTPS) ; en-têtes de sécurité stricts, dont une politique de sécurité du contenu.
- Aucune adresse IP en clair dans la base de données ; secrets hors du code ; accès d’administration restreint.
- Formulaire protégé par une preuve de calcul auto-hébergée, sans puzzle visuel et sans service tiers.
- En cas de violation de données présentant un risque, la CNIL est notifiée sous 72 heures et vous êtes informé si le risque est élevé.
Vos droits
Vous disposez à tout moment des droits suivants sur vos données :
- accès, rectification et effacement ;
- limitation du traitement et portabilité ;
- opposition, notamment à toute prospection, sans avoir à vous justifier ;
- retrait de votre consentement (lettre d’information), sans effet sur les envois passés ;
- directives sur le sort de vos données après votre décès.
Pour les exercer, écrivez à [à compléter : adresse email de contact]. Nous répondons dans un délai d’un mois, prolongeable de deux mois pour une demande complexe, auquel cas nous vous en informons. Un justificatif d’identité ne vous sera demandé qu’en cas de doute raisonnable.
Vous pouvez aussi introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr/fr/plaintes.
Pour nos clients
Lorsque Vifia traite des données pour le compte d’un client dans le cadre d’une prestation, elle agit comme sous-traitant : un contrat conforme à l’article 28 du RGPD est signé (annexe des CGV), et la liste des sous-traitants de chaque projet figure dans la proposition. La liste générale est publiée sur la page engagements.
Modifications
Cette politique évolue avec le site. Toute modification est datée en tête de page ; un changement de prestataire ou de pays de traitement y est indiqué avant de prendre effet. Rubrique encore incomplète : [à compléter : registre des traitements (article 30) tenu à jour et daté].