Politique de confidentialité

Hivanced est un assistant IA souverain pour les équipes professionnelles européennes, hébergé en Europe. Les personnes responsables du traitement des données personnelles (les responsables de traitement) sont :

Noémie Christien Deléage et Martin Geffrault

La marque Hivanced fait l'objet de la demande de marque de l'Union européenne EUIPO 019374503550.

Pour toute question relative à cette politique ou à vos données personnelles, vous pouvez nous contacter à [email protected].

Nous collectons uniquement les données nécessaires pour fournir et améliorer le service :

• Données de compte : nom, adresse e-mail professionnelle, mot de passe (conservé sous forme hachée), informations sur l'entreprise et la marque, rôle et autorisations.
• Contenus que vous fournissez : conversations avec l'assistant IA, instructions, documents et sources de données que vous connectez, et tout contenu que vous créez dans la plateforme.
• Données des sources connectées : lorsque vous autorisez un connecteur (par exemple Google Drive, Microsoft 365, Notion, Slack ou HubSpot), nous accédons en lecture seule aux données que vous accordez, afin que l'assistant IA réponde à partir de vos propres données. Nous n'écrivons jamais dans ces sources.
• Données d'usage et techniques : journaux, informations sur l'appareil et le navigateur, adresse IP, et événements de mesure d'audience produit (ces derniers uniquement avec votre consentement, voir notre politique de cookies).
• Données de facturation : informations d'abonnement, d'offre et de facture traitées via notre prestataire de paiement.

Conformément à l'article 6 du RGPD, nous nous appuyons sur les bases légales suivantes :

• Exécution d'un contrat (article 6.1.b) : pour créer et gérer votre compte, fournir l'assistant IA et les fonctionnalités auxquelles vous souscrivez, et assurer le support.
• Intérêts légitimes (article 6.1.f) : pour sécuriser la plateforme, prévenir les abus et la fraude, et améliorer notre service, lorsque ces intérêts ne prévalent pas sur vos droits.
• Consentement (article 6.1.a) : pour les cookies non essentiels et la mesure d'audience produit, et pour toute fonctionnalité optionnelle que vous activez explicitement, y compris le recours à un fournisseur d'IA non européen. Vous pouvez retirer votre consentement à tout moment.
• Obligation légale (article 6.1.c) : pour respecter nos obligations comptables, fiscales et autres obligations légales.

Nous ne vendons pas vos données personnelles, et nous n'utilisons pas le contenu de vos conversations ni de vos sources connectées pour entraîner des modèles de fondation tiers.

Hivanced est conçu pour l'ère du règlement européen sur l'IA (AI Act). Par défaut, le traitement par l'IA est dirigé vers un fournisseur européen (Mistral AI), et vos données restent dans le périmètre européen. Chaque interaction avec l'IA est conçue pour être transparente et auditable, dans l'esprit des principes de transparence de l'article 50 du règlement européen sur l'IA. Il s'agit d'une posture de conception, et non d'une garantie de conformité : les obligations concrètes qui s'appliquent dépendent de l'usage que vous faites de l'assistant.

Si vous activez explicitement un fournisseur d'IA non européen, le traitement correspondant sort du périmètre européen. Cette option est toujours activée à votre initiative et jamais par défaut.

Nous travaillons avec un nombre limité de prestataires soigneusement sélectionnés (sous-traitants) qui traitent des données pour notre compte et sous contrat :

• Scaleway (France, région fr-par) : hébergement et infrastructure.
• Mistral AI (Union européenne) : fournisseur de modèle d'IA par défaut.
• PostHog Cloud EU (Francfort, Allemagne) : mesure d'audience produit, utilisée uniquement avec votre consentement.
• Connecteurs que vous autorisez (Google Drive, Microsoft 365, Notion, Slack, HubSpot) : consultés en lecture seule comme sources de référence pour l'assistant IA, jamais modifiés.

Ces fournisseurs européens ne sont pas des sociétés américaines et ne sont donc pas soumis au CLOUD Act américain. La résidence des données en Europe est un élément de la souveraineté, et non une garantie de souveraineté totale à elle seule. Tout fournisseur d'IA non européen reste activé à votre initiative.

Par défaut, vos données sont hébergées et traitées dans l'Union européenne et ne quittent pas le périmètre européen. Si vous choisissez d'activer un fournisseur d'IA non européen, le transfert correspondant n'a lieu que sur la base de votre instruction explicite et des garanties appropriées exigées par le chapitre V du RGPD (telles que les clauses contractuelles types).

Nous conservons les données personnelles uniquement le temps nécessaire aux finalités décrites ci-dessus :

• Données de compte et contenus : pendant la durée de votre contrat, puis supprimées ou anonymisées dans un délai raisonnable après la fin du contrat, sous réserve des obligations légales de conservation.
• Pièces de facturation et comptables : pendant la durée de conservation légalement requise.
• Journaux techniques et événements de sécurité : pendant une durée limitée et proportionnée à la finalité de sécurité.

En vertu du RGPD, vous disposez des droits suivants :

• Accès aux données personnelles que nous détenons à votre sujet.
• Rectification des données inexactes ou incomplètes.
• Effacement de vos données (droit à l'oubli), dans les limites légales.
• Limitation du traitement dans certains cas.
• Portabilité de vos données, afin de les recevoir dans un format structuré, couramment utilisé et lisible par machine.
• Opposition au traitement fondé sur nos intérêts légitimes.
• Retrait du consentement à tout moment, sans remettre en cause les traitements licites antérieurs.

Vous pouvez exercer ces droits directement dans l'application, où des parcours d'accès au compte et d'effacement sont disponibles, ou en nous contactant à [email protected]. Nous répondons dans les délais prévus par le RGPD (en principe un mois).

Nous appliquons des mesures techniques et organisationnelles adaptées au risque, notamment le chiffrement des données en transit et des données sensibles au repos, des contrôles d'accès stricts, une isolation multi-locataire qui cloisonne les données de chaque client, et un système d'autorisations qui régit qui peut accéder à quoi au sein d'une organisation.

Si vous estimez que vos droits en matière de protection des données n'ont pas été respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), sur www.cnil.fr, ou auprès de l'autorité de contrôle de votre pays de résidence.

Nous pouvons mettre à jour cette politique de confidentialité pour refléter des évolutions de notre service ou de la loi. Nous indiquons la date de la dernière version en haut de cette page et, le cas échéant, vous informons des changements importants.