Politique de confidentialité

1. Préambule et définitions

Le traitement est réalisé conformément au Règlement (UE) 2016/679 (RGPD) et à la loi française n° 78-17 du 6 janvier 1978 modifiée (Loi Informatique et Libertés).

Aux fins des présentes :

Données personnelles:

toute information se rapportant à une personne physique identifiée ou identifiable (art. 4.1 RGPD).

Traitement:

toute opération effectuée sur des données personnelles (art. 4.2 RGPD).

Responsable de traitement:

l’entité qui détermine les finalités et les moyens du traitement (Polyware).

Sous-traitant:

prestataire traitant des données pour le compte du responsable de traitement.

EEE:

Espace économique européen.

2. Responsable du traitement et délégué à la protection des données (DPO)

Responsable du traitement

Polyware, SAS au capital de 500 €. SIREN : 103 977 302. Siège social : 47 rue Vivienne, 75002 Paris, France. Contact général : [email protected]

Délégué à la protection des données (DPO)

Nom : Cédric Thierry. Contact DPO : [email protected]

3. Catégories de données traitées

Polyware traite les données strictement nécessaires à la fourniture et à l’amélioration du Service.

3.1. Identité et contact

• Nom, prénom, adresse e-mail.
• Adresse IP.

3.2. Compte et authentification

• Authentification sans mot de passe (magic link par e-mail) ou via OAuth (Google, Microsoft, GitHub).
• Données reçues via OAuth : nom, prénom, adresse e-mail, photo de profil (avatar).

3.3. Contenus et historiques

• Prompts/messages, images et fichiers transmis.
• Réponses générées.
• Historique d’utilisation.

3.4. Paiements et facturation

• Données de carte bancaire traitées et stockées exclusivement par Stripe (nous n’y avons pas accès).
• Métadonnées de paiement/abonnement : ID client Stripe, ID abonnement, plan, statut.
• Informations nécessaires à l’émission de factures et reçus dans l’espace personnel.

3.5. Télémétrie et mesures d’usage

• Données techniques et d’usage : navigateur (user-agent), système d’exploitation, langue, site référent, pages consultées, événements d’interaction (clics, etc.), horodatages, adresse IP et géolocalisation approximative (déduite de l’IP, ou localisation plus précise si autorisée).
• Mesure principalement via PostHog (analytics produit), sous réserve de votre consentement lorsque requis (cf. § 10).

Note importante : Polyware n’exige pas et ne souhaite pas la communication de données sensibles (art. 9 RGPD). Merci de ne pas inclure de telles informations dans vos prompts.

4. Finalités et bases légales

Polyware ne vend pas de données personnelles.

5. Destinataires et sous-traitants

Les traitements peuvent impliquer les prestataires suivants (agissant en qualité de sous-traitants – art. 28 RGPD).

5.1. Hébergement et réseau

• OVH SAS (hébergement applicatif et base de données, France)
• Cloudflare (stockage objet R2, CDN, sécurité réseau, anti-bot)

5.2. Paiements et abonnements

• Stripe Payments Europe, Ltd. (traitement des paiements)
• Rebase, Inc. (d/b/a Autumn) (orchestration de la facturation et des abonnements)

5.3. Authentification

• Google, Microsoft, GitHub

5.4. Attribution et analytics

• Refport (refport.co) (gestion du programme de parrainage et d’affiliation)
• PostHog (PostHog Cloud EU)

5.5. Routage et inférence IA

• OpenRouter, Inc. (routage des requêtes vers les fournisseurs de modèles)
• Mistral AI SAS (inférence de modèles, France)

5.6. Fournisseurs de modèles

Atteints via le prestataire de routage et sélectionnés par vous au moment de la requête. Ils agissent en qualité de sous-traitants ultérieurs.

• OpenAI
• Anthropic
• Google
• xAI
• Groq
• Cerebras
• Alibaba Cloud (Qwen)
• DeepSeek AI
• Black Forest Labs
• Perplexity

5.7. Services de recherche et de médias

• Firecrawl (recherche web et récupération de pages)
• fal.ai (génération d’images et de vidéos)

La liste de référence des sous-traitants ultérieurs, tenue à jour et précisant pour chacun la finalité, le lieu de traitement, le pays de l’entité et le mécanisme de transfert, est publiée à l’adresse brome.ai/legal/subprocessors avec l’historique daté de ses modifications. Cette page constitue l’Annexe III de l’accord de traitement des données ; la liste ci-dessus est indicative et peut être moins à jour.

Note confidentialité (services d’IA) : Afin de fournir les fonctionnalités du Service (génération, compréhension, recherche augmentée), les prompts, termes de recherche, images, fichiers et instructions sont transmis aux fournisseurs concernés, aux seules fins de générer la réponse que vous avez demandée. Polyware n’utilise pas vos données pour entraîner, affiner ou améliorer des modèles d’IA, qu’ils soient les siens ou ceux d’un tiers, et configure ses comptes auprès de ses prestataires d’inférence et de routage de sorte que vos données ne servent ni à l’entraînement, ni à l’affinage, ni à l’amélioration de produit. Pour chaque requête adressée à un modèle compatible, la rétention nulle est appliquée, de sorte que ni le prestataire de routage ni le fournisseur du modèle ne conserve la requête ou la réponse. Certains modèles ne sont pas compatibles avec ce mode ; ils sont signalés comme tels dans l’interface avant utilisation et, dans les offres le permettant, l’administrateur de votre organisation décide s’ils peuvent être utilisés. Merci de ne pas inclure de données sensibles dans vos prompts ou recherches.

6. Transferts hors de l’EEE

Les données sont hébergées et traitées au sein de l’Union européenne par défaut : l’application et la base de données principale chez OVH SAS en France, le stockage objet dans la juridiction UE de Cloudflare, l’inférence Mistral AI en France et l’analyse d’usage produit sur PostHog Cloud EU.

Certains prestataires sont établis hors de l’EEE ou peuvent y traiter des données, notamment aux États-Unis : OpenRouter et les fournisseurs de modèles atteints par son intermédiaire, Stripe (Irlande et États-Unis), Rebase (Autumn) et les services de recherche et de médias. Polyware encadre ces transferts par les clauses contractuelles types de la Commission européenne, par le cadre de protection des données UE–États-Unis lorsque l’entité est certifiée, et par l’Addendum britannique lorsqu’il s’applique.

Le mécanisme retenu pour chaque prestataire est indiqué, fournisseur par fournisseur, à l’adresse brome.ai/legal/subprocessors. Informations supplémentaires disponibles auprès du DPO.

7. Durées de conservation

• Compte, contenus et historiques : pendant la durée d’activité du compte.
• Suppression du compte ou fin du Service : suppression des données dans un délai de 30 jours, ou restitution sur demande écrite formulée avant l’expiration de ce délai.
• Sauvegardes chiffrées : conservées 30 jours par rotation et supprimées en tout état de cause dans un délai de 90 jours.
• Journaux techniques (accès administrateurs et événements de sécurité) : 12 mois.
• Pièces comptables : jusqu’à 10 ans pour obligations légales.

8. Sécurité

Polyware met en œuvre des mesures techniques et organisationnelles appropriées : TLS 1.2 ou supérieur pour tous les flux externes ; chiffrement au repos de la base de données, du stockage objet et des sauvegardes ; authentification individuelle et authentification multifacteur pour les accès administrateurs ; principe du moindre privilège et revue périodique des habilitations ; cloisonnement logique des données par client ; séparation des environnements de production et de développement, sans données de production en environnement de test ; protection contre les attaques par déni de service et le trafic malveillant au niveau du CDN ; journalisation des accès administrateurs et des événements de sécurité ; sauvegardes chiffrées automatisées quotidiennes avec tests de restauration périodiques ; revue de code et contrôle d’intégrité des dépendances ; application des correctifs selon criticité.

Aucun mot de passe n’est stocké (authentification par magic link ou OAuth).

Une procédure documentée couvre la détection, la qualification, le confinement et la notification. En cas de violation de données à risque élevé, Polyware notifiera l’autorité compétente et les personnes concernées conformément aux articles 33 et 34 RGPD, et informera les clients professionnels concernés dans un délai de 72 heures après en avoir pris connaissance.

9. Prospection et communications

Polyware peut adresser :

• Des communications de service (sécurité, notifications, reçus, factures).
• Des communications marketing (newsletter, nouveautés) sur consentement ou sur intérêt légitime (soft opt-in).

Désinscription possible à tout moment via le lien en bas de chaque e-mail.

10. Cookies et traceurs

Cookies strictement nécessaires et consentement révocable à tout moment. Durée de vie limitée à 13 mois maximum (CNIL).

11. Décisions automatisées

BromeAI n’effectue pas de décisions automatisées produisant des effets juridiques au sens de l’article 22 RGPD. Les résultats générés par l’IA nécessitent l’appréciation de l’utilisateur.

12. Droits des personnes concernées

Vous disposez des droits prévus aux articles 15 à 22 RGPD : accès, rectification, effacement, limitation, opposition, portabilité, retrait du consentement (le cas échéant).

• Suppression : possible directement depuis l’application.
• Portabilité : demandes traitées sur sollicitation.

Exercice des droits : [email protected] (vérification d’identité possible). Réclamation possible auprès de la CNIL (https://www.cnil.fr).

13. Mineurs

En France, le Service est destiné en priorité aux utilisateurs de 15 ans et plus (ou âge légal de consentement numérique applicable dans l’EEE). En dehors de l’EEE, non destiné aux enfants de moins de 13 ans. Polyware peut résilier tout compte non conforme.

14. Modifications

Polyware peut modifier la présente Politique en cas d’évolution légale, technique ou organisationnelle. En cas de changement substantiel, une information sera fournie (avis dans l’application et/ou e-mail). Date de mise à jour en tête du document.

15. Contact

• Contact général : [email protected]
• DPO : [email protected] (Cédric Thierry)
• Adresse postale : Polyware – 47 rue Vivienne, 75002 Paris, France