Politique de confidentialité

1. Responsable de traitement

Le responsable du traitement des données personnelles collectées sur ce site est :

Cyber Solferino
[À RENSEIGNER : forme juridique + RCS + adresse]
Email : contact@cyber-solferino.com

Délégué à la Protection des Données (DPO) : [À RENSEIGNER si applicable — par défaut, contact via email]

2. Données collectées et finalités

2.1 Prise de contact et rendez-vous (e-mail, Calendly)

Données : nom, prénom, email, entreprise, fonction et message, tels que vous les communiquez par e-mail ou lors de la réservation d'un rendez-vous sur Calendly.
Finalité : répondre à votre demande, qualifier votre besoin, organiser un rendez-vous.
Base légale : intérêt légitime de Cyber Solferino à répondre aux sollicitations commerciales (article 6.1.f RGPD).
Conservation : 3 ans à compter du dernier contact à des fins de prospection B2B.

2.2 Newsletter

Données : email, et le cas échéant entreprise et fonction ; consentement explicite (case à cocher).
Finalité : envoi de la newsletter NIS 2. Chaque inscription nous est notifiée par e-mail, sur notre messagerie professionnelle.
Base légale : consentement (article 6.1.a RGPD).
Conservation : jusqu'à désinscription (lien dans chaque envoi).

2.3 Téléchargement de ressources gratuites (livres blancs, templates)

Données : nom, prénom, email professionnel, entreprise, fonction.
Finalité : accès à la ressource demandée. Si vous cochez la case correspondante, ces informations nous sont transmises par e-mail pour vous inscrire à la newsletter (voir 2.2) ; sinon, elles ne sont pas transmises.
Base légale : exécution de votre demande (article 6.1.b) et, pour la newsletter, votre consentement (article 6.1.a).
Conservation : 3 ans à compter du téléchargement pour les informations transmises.

2.4 Achat (Discovery / Sérénité / Expertise / abonnements AVA)

Données : identifiant client Stripe, email, nom, prénom, raison sociale, montant, dates de paiement.
Finalité : exécution du contrat, facturation, comptabilité.
Base légale : exécution du contrat (article 6.1.b) + obligation légale comptable (article 6.1.c).
Conservation : 10 ans pour les pièces comptables (Code de commerce article L.123-22).

2.5 Compte utilisateur / plateforme AVA

Données : email, mot de passe haché, données d'audit, documents importés, historique de chat avec AVA Pro (questions, réponses, passages du dossier et des documents utilisés pour répondre).
Finalité : fourniture du service AVA, audit, génération de politiques ; rappels par e-mail sur l'avancement du plan d'action (activés par défaut, chaque semaine ; désactivables ou espaçables dans les paramètres du compte) et sur les revues des mesures validées par l'auditeur, à leur échéance.
Base légale : exécution du contrat.
Conservation : pendant la durée de l'abonnement + 30 jours après résiliation pour export. Suppression complète au-delà. L'historique de chat d'AVA Pro est, en tout état de cause, anonymisé automatiquement au bout de 24 mois (voir 2.7).

2.6 Candidature au programme pilote

Données : nom, prénom, email, téléphone (facultatif), fonction, entreprise, secteur, effectif, chiffre d'affaires, offre visée, motivation. Chaque candidature nous est notifiée par e-mail, sur notre messagerie professionnelle.
Finalité : sélection des entreprises pilotes.
Base légale : exécution de mesures précontractuelles à la demande de la personne (article 6.1.b).
Conservation : 1 an si non retenue ; durée du contrat + 3 ans si retenue.

2.7 Assistant AVA (traitement par intelligence artificielle)

AVA est une intelligence artificielle. Elle fonctionne entièrement avec les modèles de Mistral AI, société française dont l'hébergement est situé dans l'Union européenne : génération des réponses, recherche par vecteurs (embeddings) dans notre corpus de documents officiels, et lecture des documents PDF par reconnaissance de texte (OCR). Aucun autre fournisseur de modèle d'intelligence artificielle n'intervient. Les données envoyées à Mistral AI ne servent pas à entraîner ses modèles : Cyber Solférino a désactivé cette option.

AVA Lite (accessible sans compte) — données : la question posée et la réponse fournie, un identifiant de session, une empreinte (hachage avec un sel) de l'adresse IP et du navigateur, ainsi que des mesures techniques (modèle utilisé, durée, volume de texte). Aucun compte n'est nécessaire et l'adresse IP n'est pas enregistrée en clair dans notre base de données ; l'empreinte reste une donnée pseudonymisée. Rien n'est écrit sur votre appareil (cookie, stockage local) avant que vous ouvriez la fenêtre d'AVA. Merci de ne pas saisir de données personnelles dans vos questions.
AVA Lite — finalités et base légale : répondre à vos questions, limiter les abus (plafonds d'usage), améliorer la qualité des réponses d'AVA. Base légale : l'intérêt légitime de Cyber Solferino (article 6.1.f RGPD) à fournir, sécuriser et améliorer cet assistant gratuit.
AVA Pro (clients) — données : vos questions, les réponses, les passages de votre dossier d'audit et de vos pièces justificatives transmis à Mistral AI pour produire la réponse ou vérifier un document, et le texte extrait de vos pièces (OCR puis vectorisation). Finalité : exécution du service, base légale : exécution du contrat. AVA constate et désigne des passages ; elle ne prononce jamais la conformité, qui reste validée par un auditeur humain.
Conservation : les questions et réponses d'AVA Lite et d'AVA Pro sont conservées 24 mois dans notre base de données, puis anonymisées automatiquement : le texte des questions et des réponses et les passages utilisés sont effacés (pour AVA Lite, les empreintes de l'adresse IP et du navigateur le sont aussi). Cette durée correspond à l'amélioration d'AVA (analyse des questions difficiles, des tendances et de la qualité des réponses) et à la détection des abus. Seules des données techniques (volumes, durées, coûts, langue) sont ensuite gardées.
Droit d'opposition : vous pouvez vous opposer, à tout moment et gratuitement, à la conservation de vos échanges avec AVA Lite en écrivant à l'adresse indiquée à l'article 5. Comme nous ne vous connaissons pas, indiquez la date approximative de vos échanges et, si vous le pouvez, l'adresse IP utilisée : nous recalculons l'empreinte, retrouvons les échanges concernés et les supprimons.
Documents Word générés par AVA : ils portent, dans les propriétés du fichier, une marque lisible par machine indiquant qu'ils ont été générés par une intelligence artificielle (AVA, Cyber Solférino).

2.8 Mesure d'audience, publicité, vidéos et polices

Mesure d'audience (Google Tag Manager, Google Analytics 4) — finalité : mesurer la fréquentation du site. Base légale : consentement (article 6.1.a). Aucun script de Google n'est chargé avant votre accord.
Publicité (LinkedIn Insight Tag) — finalité : reciblage publicitaire des visiteurs du site sur LinkedIn et mesure des campagnes. Base légale : consentement (article 6.1.a), catégorie « Publicité » du bandeau. Le détail figure en 3.8.
Vidéos (YouTube) — la vidéo n'est chargée qu'après votre clic sur son aperçu ; YouTube reçoit alors votre adresse IP et des informations sur votre navigateur.
Polices — elles sont hébergées par Cyber Solférino : aucun appel n'est adressé à Google pour les afficher.
Gestion de vos choix : à tout moment, par le lien « Gérer mes cookies » en pied de page ; voir la Politique cookies.

3. Destinataires des données

Les données collectées sont destinées exclusivement aux services internes de Cyber Solferino (équipe commerciale, équipe technique, fondateurs) et aux prestataires techniques suivants. Pour chacun, l'accord de traitement des données (DPA, article 28 du RGPD) ou les conditions de protection des données du fournisseur s'appliquent.

3.1 Hébergement du site et des API — Vercel Inc.

Rôle : hébergement du site et exécution des API (traitement de vos requêtes avant leur envoi à la base de données et à Mistral AI).
Données : requêtes HTTP (adresse IP, navigateur), contenu des échanges avec nos API, y compris les questions posées à AVA et les données de votre compte.
Pays : Vercel est une société américaine. Les fonctions applicatives du site s'exécutent à Dublin (Irlande). Le réseau de diffusion et le middleware de routage de Vercel, qui reçoivent les requêtes en amont des fonctions, sont déployés dans l'ensemble de ses régions, dont les États-Unis, et Vercel indique que ses installations de traitement principales se trouvent aux États-Unis.
Transfert : clauses contractuelles types (décision (UE) 2021/914) incluses dans le DPA de Vercel.

3.2 Base de données et stockage de fichiers — Supabase

Rôle : authentification, base de données, stockage des documents déposés.
Données : comptes, audits, réponses, documents et pièces justificatives, historiques d'AVA.
Pays : Irlande (région eu-west-1, hébergée par Amazon Web Services, sous-traitant ultérieur de Supabase). Selon le DPA de Supabase, les données sont stockées et principalement traitées dans la région choisie.
Transfert : clauses contractuelles types dans le DPA de Supabase pour tout transfert hors de l'Union.

3.3 Intelligence artificielle d'AVA — Mistral AI (France)

Rôle : génération des réponses (AVA Lite et AVA Pro), vectorisation des questions et des documents, OCR des PDF, vérification des documents de conformité.
Données : questions posées à AVA ; pour AVA Pro, extraits du dossier et des pièces du client, texte extrait de ces pièces.
Pays : Union européenne. Nous utilisons le point d'accès par défaut de l'API de Mistral AI, hébergé dans l'Union selon le centre d'aide du fournisseur, qui précise que certains transferts temporaires hors de l'Union peuvent intervenir selon les fonctionnalités utilisées.
Transfert : clauses contractuelles types dans le DPA de Mistral AI.
Entraînement : les données envoyées ne servent pas à entraîner les modèles de Mistral AI ; Cyber Solférino a désactivé cette option.

3.4 Paiement — Stripe

Rôle : encaissement et facturation. Stripe agit en sous-traitant et, pour certains traitements qu'il détermine lui-même (lutte contre la fraude, obligations réglementaires), en responsable de traitement.
Données : identité, email, montant, données de paiement saisies sur les pages de Stripe (nous ne les voyons pas).
Pays : États-Unis (Stripe, LLC) et sociétés affiliées de Stripe dans le monde.
Transfert : cadre de protection des données UE-États-Unis (Data Privacy Framework) et clauses contractuelles types, selon le DPA de Stripe.

3.5 E-mails — Resend

Rôle : envoi des e-mails du service (rapport Discovery, accès au compte, décisions de l'auditeur, rappels du plan d'action et des revues) et des notifications internes (inscriptions newsletter, candidatures au programme pilote).
Données : adresse e-mail, nom, contenu du message envoyé.
Pays : États-Unis (le DPA de Resend indique que son traitement principal y a lieu).
Transfert : clauses contractuelles types et Data Privacy Framework, selon le DPA de Resend.

3.6 Messagerie professionnelle — OVHcloud

Rôle : messagerie qui reçoit les notifications d'inscription à la newsletter et de candidature au programme pilote, et les e-mails que vous nous adressez.
Données : adresse e-mail, nom, entreprise, contenu des messages.
Pays : France / Union européenne. OVHcloud indique héberger les données de ses messageries dans ses centres de données en France.

3.7 Prise de rendez-vous — Calendly

Rôle : réservation de rendez-vous, sur le site de Calendly vers lequel pointent nos liens ; aucun contenu de Calendly n'est chargé sur nos pages.
Données : nom, email et informations saisies lors de la réservation.
Pays : États-Unis.
Transfert : Calendly est certifié au Data Privacy Framework ; les clauses contractuelles types s'appliquent à défaut, selon son DPA.

3.8 Mesure d'audience et publicité — Google et LinkedIn

Google Tag Manager et Google Analytics 4 (Google LLC et ses sociétés affiliées) : mesure de fréquentation, chargés uniquement après votre consentement à la catégorie « Mesure d'audience » (ou « Publicité »). Google peut traiter les données dans tout pays où Google ou ses sous-traitants disposent d'installations, notamment aux États-Unis ; clauses contractuelles types selon les conditions de traitement des données de Google.
LinkedIn Insight Tag — finalité : reciblage publicitaire des visiteurs de ce site sur LinkedIn, mesure des campagnes et statistiques agrégées sur l'audience. Chargement : uniquement après votre consentement à la catégorie « Publicité » ; sans accord, aucun script LinkedIn n'est chargé. Données collectées : selon LinkedIn, un pseudonyme de membre, l'adresse IP, les caractéristiques de l'appareil et du navigateur, l'horodatage et l'adresse de la page visitée. Responsable : pour les membres de l'Espace économique européen, LinkedIn Ireland Unlimited Company est le responsable du traitement de leurs données ; les données de la balise sont traitées par LinkedIn Corporation (États-Unis). Conservation : selon LinkedIn, les identifiants directs sont supprimés sous 7 jours et les données pseudonymisées sous 180 jours. Transfert : clauses contractuelles types (module 2, entre Cyber Solférino et LinkedIn Corporation, droit irlandais) ; LinkedIn Corporation et ses filiales américaines sont par ailleurs certifiées au cadre de protection des données UE-États-Unis.
YouTube (Google) : vidéo chargée seulement après votre clic sur son aperçu ; l'adresse IP du visiteur est alors transmise à Google. Voir la Politique cookies.

4. Transferts hors UE

Les données applicatives des utilisateurs (audits, documents, historiques d'AVA) sont stockées en Union européenne (Supabase, Irlande), et l'intelligence artificielle d'AVA est fournie par Mistral AI (voir 3.3). Les fonctions applicatives du site s'exécutent à Dublin, chez Vercel, société américaine dont le réseau de diffusion et le middleware de routage traitent aussi les requêtes depuis d'autres régions. Certains prestataires sont établis aux États-Unis : Vercel, Stripe, Resend, Calendly, Google et LinkedIn. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne en 2021 et, lorsque le prestataire en est certifié, par le cadre de protection des données UE-États-Unis (Data Privacy Framework). Vous pouvez demander copie des garanties applicables à l'adresse indiquée à l'article 5.

5. Vos droits RGPD

Conformément au RGPD (UE) 2016/679, vous disposez des droits suivants sur vos données :

Droit d'accès (article 15)
Droit de rectification (article 16)
Droit à l'effacement (article 17)
Droit à la limitation du traitement (article 18)
Droit à la portabilité (article 20)
Droit d'opposition (article 21), notamment pour les traitements fondés sur notre intérêt légitime comme AVA Lite
Droit de retirer son consentement à tout moment (article 7.3)

Pour exercer ces droits, contactez-nous à contact@cyber-solferino.com. Nous nous engageons à répondre dans un délai de 30 jours.

6. Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits RGPD ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) : www.cnil.fr/fr/plaintes.

7. Cookies

Les modalités de gestion des cookies déposés par le site sont détaillées sur la page Politique cookies.

8. Modifications de la politique

Cyber Solferino se réserve le droit de modifier la présente politique pour tenir compte des évolutions législatives, jurisprudentielles ou techniques. La version en vigueur est toujours celle accessible à cette URL, avec sa date de dernière mise à jour.