Cette politique explique comment nous traitons les données personnelles lorsque vous consultez ce site, lorsque vous nous envoyez une demande d'agent et lorsque vous utilisez le service en tant que client. Elle est établie conformément au RGPD britannique (UK GDPR) et au Data Protection Act 2018, qui s'appliquent à nous en tant que société britannique, ainsi qu'au règlement général sur la protection des données (RGPD) de l'Union européenne et à la loi Informatique et Libertés, qui s'appliquent parce que nous proposons le service en France. En bref, nous collectons ce qui est nécessaire pour vous répondre, concevoir et faire fonctionner votre agent et le facturer ; nous ne conservons pas le contenu de vos appels à l'API, et le contenu qu'un agent garde pour fonctionner est supprimé au terme de la durée fixée pour cet agent (30 jours par défaut) ; les exemples que vous nous transmettez pour concevoir un agent que vous achetez sont supprimés dans les 30 jours qui suivent la recette ou l'annulation, sauf si vous nous demandez de les conserver ; nous ne vendons aucune donnée.
1. Responsable du traitement
Le responsable du traitement est UNDERM LTD, société de droit anglais (private limited company) immatriculée en Angleterre et au Pays de Galles (Companies House) sous le numéro 16973293, dont le siège social est situé 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, United Kingdom. Nous n'avons pas désigné de délégué à la protection des données. Pour toute question sur vos données, écrivez-nous à [email protected].
Si vous êtes dans l'Union européenne, vous pouvez nous joindre directement à la même adresse, en français ou en anglais.
2. Données collectées
Lorsque vous nous envoyez une demande d'agent
- Vos nom, adresse e-mail professionnelle, entreprise, fonction et, si vous l'indiquez, le site de votre entreprise.
- Ce que vous nous dites de la tâche, c'est-à-dire ce que l'agent doit faire, ce qu'il reçoit et ce qu'il doit produire, des exemples, le volume, les outils utilisés, le calendrier, la formule qui vous intéresse et la façon dont vous souhaitez acheter l'agent (paiement à l'usage ou achat unique). Dans la mesure du possible, retirez de vos exemples les informations confidentielles ou personnelles.
- Les fichiers d'exemple que vous choisissez de joindre (3 au plus), votre secteur et la façon dont vous nous avez connus, si vous nous l'indiquez.
- Des données techniques enregistrées avec votre demande, c'est-à-dire une empreinte pseudonymisée de votre adresse IP (et non l'adresse elle-même), le type et la version de votre navigateur (user agent), la langue du formulaire et la page ou la campagne qui vous a mené au formulaire (les paramètres de campagne du lien suivi, comme utm_source, et un identifiant de clic publicitaire lorsque vous venez de l'une de nos annonces).
Les champs signalés comme obligatoires dans le formulaire sont nécessaires pour vous répondre. Sans eux, nous ne pouvons pas traiter votre demande. Les autres champs sont facultatifs.
Lorsque vous êtes client
- Les informations de votre dossier client, c'est-à-dire nom, entreprise, adresse e-mail, langue préférée, formule, solde, ainsi que l'historique des paiements, des crédits et des changements de formule.
- Les données de paiement, c'est-à-dire le nom et les coordonnées bancaires qui figurent sur vos virements, conservés avec nos pièces comptables.
- Les métadonnées de chaque appel, c'est-à-dire date et heure, agent, préfixe de la clé API, nombre de tokens, coût, statut et temps de réponse.
- Les contenus qu'un agent conserve pour fonctionner, lorsqu'il est conçu pour en garder (par exemple les e-mails que vous lui transférez, les fichiers que vous lui transmettez et les résultats qu'il produit), comme indiqué à la section 3.
- Les e-mails que nous échangeons.
Lorsque vous achetez un agent (achat unique)
- Les informations de la commande, c'est-à-dire ce que nous concevons, le prix du devis, le statut et le mode de paiement, ainsi que les dates de livraison et de recette.
- Les exemples que vous nous transmettez pour concevoir et tester l'agent (données d'entrée et résultats attendus), et le jeu de test que nous construisons à partir d'eux. Dans la mesure du possible, supprimez ou remplacez les informations personnelles qu'ils contiennent.
- Les accès que vous nous donnez pour mettre l'agent en place sur votre propre compte chez un fournisseur d'IA ou sur votre serveur.
Lorsque vous consultez le site ou appelez l'API
- Les journaux des serveurs, c'est-à-dire adresse IP, date et heure, adresse demandée, statut de la réponse, type et version du navigateur (user agent), enregistrés par nos serveurs pour assurer le fonctionnement du service, diagnostiquer les incidents et prévenir les abus.
3. Contenu de vos appels et exemples
Le contenu de vos appels à l'API (les instructions et documents que vous envoyez, souvent appelés « prompts », et les textes rédigés par l'agent) est traité uniquement pour produire la réponse. Nous ne le conservons pas, sauf lorsqu'un agent doit garder un contenu pour fonctionner (voir ci-dessous). Nous gardons le nombre de tokens pour la facturation.
Chaque agent fonctionne soit sur des serveurs que nous exploitons, soit chez un fournisseur d'IA tiers que nous sélectionnons pour cet agent. Un fournisseur de secours, éventuellement tiers, peut aussi traiter un appel lorsque le fournisseur principal est indisponible. Lorsqu'un fournisseur tiers est utilisé, le contenu de chaque appel lui est transmis pour produire la réponse. Il intervient comme sous-traitant, dans le cadre d'un contrat de sous-traitance. Les sous-traitants utilisés pour votre agent, y compris l'éventuel fournisseur de secours, sont indiqués dans la liste que nous vous communiquons par écrit avant sa mise en service (article 8.3 de nos conditions générales). Notre prestataire réseau achemine aussi ce contenu entre vous et nos serveurs (voir la section 6).
Lorsque ce contenu comporte des données personnelles concernant d'autres personnes, c'est vous qui êtes responsable de leur traitement, et nous les traitons pour votre compte, uniquement pour faire fonctionner le service. Nos engagements de sous-traitant, au titre de l'article 28 du RGPD et du RGPD britannique, figurent à l'article 8.3 de nos conditions générales de vente et d'utilisation.
Contenu conservé par un agent pour fonctionner
Certains agents conservent des contenus pour fonctionner, par exemple les e-mails que vous leur transférez, les fichiers que vous leur transmettez et les résultats qu'ils produisent. Nous conservons ces contenus uniquement pendant la durée fixée pour cet agent dans votre devis, par défaut 30 jours à compter de la réception de chaque élément, puis nous les supprimons automatiquement, et en tout état de cause au plus tard 30 jours après la fin de votre contrat. Nous ne les consultons que lorsque c'est nécessaire pour le support ou la correction d'une erreur. Chaque consultation par une personne est inscrite dans un journal d'accès qui indique qui l'a faite, quand et pourquoi. Ce journal ne contient pas les contenus eux-mêmes, il est conservé 3 ans et vous est communiqué sur demande écrite. Comme pour le contenu des appels, lorsque ces contenus comportent des données personnelles concernant d'autres personnes, c'est vous qui êtes responsable de leur traitement, et nous les traitons pour votre compte (article 8.3 de nos conditions générales).
Exemples pour un agent que vous achetez
Contrairement au contenu des appels à l'API, les exemples que vous nous transmettez pour concevoir et tester un agent que vous achetez sont conservés pendant sa conception et ses tests, puis supprimés (section 5). Lorsqu'ils comportent des données personnelles concernant d'autres personnes, c'est vous qui êtes responsable de leur traitement, et nous les traitons pour votre compte, uniquement pour concevoir et tester votre agent (articles 4.3 et 8.3 de nos conditions générales). Si nous testons l'agent avec un fournisseur d'IA tiers, les exemples utilisés lors des appels de test lui sont transmis comme indiqué ci-dessus. Une fois livré, un agent qui fonctionne sur votre propre compte chez un fournisseur d'IA ou sur votre serveur transmet ses contenus à ce fournisseur dans le cadre de votre propre contrat avec lui, et nous ne les recevons pas.
4. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Répondre à votre demande, vous poser des questions, vous proposer une formule | Notre intérêt légitime à répondre aux entreprises qui nous sollicitent (mesures précontractuelles, lorsque vous êtes vous-même partie au contrat) |
| Savoir quelle page ou quelle campagne a amené une demande, pour améliorer notre site et nos campagnes | Notre intérêt légitime à comprendre comment les entreprises nous trouvent |
| Concevoir et faire fonctionner votre agent, émettre les clés API, ouvrir l'espace client, mesurer la consommation et la facturer, envoyer les e-mails de service (clé API, alertes de solde bas et de paiement) | Notre intérêt légitime à gérer la relation commerciale avec votre entreprise (exécution du contrat, lorsque vous êtes vous-même partie au contrat) |
| Concevoir et tester un agent que vous achetez avec les exemples que vous nous transmettez, vous le livrer avec sa vidéo de prise en main enregistrée, répondre à vos questions écrites et assurer la recette | Notre intérêt légitime à exécuter la commande passée par votre entreprise (exécution du contrat, lorsque vous êtes vous-même partie au contrat). Pour les données personnelles concernant d'autres personnes contenues dans vos exemples, nous agissons comme votre sous-traitant (section 3). |
| Conserver les factures et les pièces comptables, dont les devis acceptés et les commandes | Obligation légale |
| Prévenir le spam et les abus, appliquer des limites de débit, tenir les journaux des serveurs et sécuriser le service | Notre intérêt légitime à fournir un service fiable et sûr |
| Gérer les litiges et les réclamations | Notre intérêt légitime à défendre nos droits |
Nous n'utilisons pas vos données à des fins publicitaires, nous ne les vendons pas et nous ne vous envoyons pas d'e-mails de prospection sans votre accord. Nous ne prenons aucune décision vous concernant sur le seul fondement d'un traitement automatisé.
5. Durées de conservation
- Demandes d'agent qui n'aboutissent pas à un contrat, conservées 3 ans au plus après notre dernier échange. Les fichiers d'exemple joints à une telle demande, ainsi que les échantillons et les résultats d'une démonstration, sont supprimés 30 jours après l'envoi du résultat de la démonstration, ou 30 jours après notre dernier échange s'il n'y en a pas.
- Données du dossier client, conservées pendant toute la durée du contrat, puis 3 ans.
- Devis acceptés et commandes, conservés 6 ans à compter de la clôture de l'exercice au cours duquel la commande ou le contrat prend fin (pièces justificatives de nos comptes selon les règles comptables et fiscales britanniques ; pour un achat unique, ils prouvent aussi la cession de droits).
- Exemples pour un agent que vous achetez, ainsi que notre copie du jeu de test et de tout livrable qui les reprend, conservés pendant la conception et les tests de l'agent, puis supprimés dans les 30 jours qui suivent la recette ou l'annulation, sauf si vous nous demandez par écrit de les conserver plus longtemps (pour l'hébergement ou une modification ultérieure, par exemple).
- Accès fournis pour la mise en place sur votre propre compte ou votre serveur, utilisés uniquement pour la mise en place et pendant la recette, puis supprimés ; vous pouvez révoquer ou modifier ces accès une fois la recette prononcée.
- Factures, paiements et relevés d'utilisation correspondants, conservés 6 ans à compter de la clôture de l'exercice auquel ils se rapportent, comme l'exigent les règles comptables et fiscales britanniques, ou plus longtemps lorsque la loi l'impose.
- Contenu des appels, non conservé par nos soins, hors contenu conservé par un agent pour fonctionner (point suivant) ; lorsqu'un fournisseur d'IA tiers est utilisé, il peut le conserver temporairement selon son contrat (voir la section 3).
- Contenu conservé par un agent pour fonctionner (e-mails transférés, fichiers, résultats), supprimé automatiquement au terme de la durée fixée pour cet agent dans votre devis, comptée à partir de la réception de chaque élément, 30 jours par défaut, et au plus tard 30 jours après la fin de votre contrat.
- Journal des accès à ce contenu (qui l'a consulté, quand et pourquoi, sans le contenu lui-même), conservé 3 ans.
- Journaux des serveurs, renouvelés automatiquement et conservés 90 jours au plus.
- Historique des e-mails envoyés (destinataire, objet, statut d'envoi), conservé 1 an.
- Journal des actions effectuées dans notre outil d'administration (qui a modifié quoi, et quand), conservé 3 ans.
- Sauvegardes chiffrées de notre base de données, écrasées selon leur cycle normal ; une donnée supprimée de la base en disparaît au plus tard 35 jours après sa suppression. Les fichiers des contenus conservés par les agents ne figurent pas dans ces sauvegardes.
- Cookies et stockage local, décrits à la section 8.
6. Destinataires
Vos données ne sont accessibles qu'aux personnes d'UNDERM LTD qui en ont besoin pour les finalités ci-dessus, et aux destinataires indiqués ci-dessous.
Prestataires agissant selon nos instructions
Ils nous aident à faire fonctionner le service, dans le cadre d'un contrat, et ne traitent vos données que selon nos instructions.
- Prestataire d'envoi d'e-mails, pour l'envoi des e-mails de service.
- Hébergeur (Scaleway SAS), pour les serveurs qui font fonctionner le site, l'espace client et l'API.
- Prestataire réseau (Cloudflare, Inc.), qui achemine le trafic entre vous et nos serveurs (site, espace client et API, y compris le contenu des appels à l'API) et filtre les abus ; il ne traite ce trafic que pour l'acheminer et le protéger.
- Fournisseurs d'IA tiers, uniquement pour les agents qui en utilisent un, comme fournisseur principal ou de secours. Ils reçoivent le contenu des appels à cet agent, y compris les appels de test faits avec vos exemples pendant la conception d'un agent que vous achetez, comme indiqué à la section 3.
Destinataires agissant comme responsables de traitement indépendants
Ils utilisent aussi les données qu'ils reçoivent pour leurs propres finalités et obligations légales, et en sont responsables.
- Notre banque, qui reçoit les virements que vous nous adressez et les traite au titre de ses propres obligations bancaires.
Nous pouvons également communiquer des données lorsque la loi l'exige.
7. Transferts hors du Royaume-Uni et de l'Espace économique européen (EEE)
Nous sommes une société établie au Royaume-Uni. Les données personnelles provenant de l'EEE peuvent nous être transférées sur le fondement de la décision d'adéquation de la Commission européenne pour le Royaume-Uni (article 45 du RGPD), qui permet leur circulation de l'EEE vers le Royaume-Uni sans autre garantie. C'est notamment le cas du contenu des appels que nous traitons pour nos clients.
Certains des destinataires indiqués à la section 6, en particulier notre prestataire réseau et certains fournisseurs d'IA tiers, peuvent traiter des données hors du Royaume-Uni et de l'EEE. Dans ce cas, le transfert repose sur une décision d'adéquation (de la Commission européenne ou, en droit britannique, du gouvernement britannique) ou sur des garanties appropriées, comme les clauses contractuelles types adoptées par la Commission européenne, complétées par l'avenant britannique lorsque le droit britannique s'applique. Vous pouvez nous demander une copie de ces garanties en écrivant à [email protected].
9. Vos droits
Vous pouvez accéder à vos données, les faire rectifier ou effacer, demander la limitation de leur traitement, vous opposer aux traitements fondés sur notre intérêt légitime et demander leur portabilité. Lorsqu'un traitement repose sur votre consentement, vous pouvez le retirer à tout moment. Vous pouvez aussi définir des directives sur le sort de vos données après votre décès.
Pour exercer ces droits, écrivez à [email protected]. Nous vous répondons dans un délai d'un mois et pouvons vous demander de justifier de votre identité. Certaines données doivent être conservées malgré une demande d'effacement, par exemple les factures que la loi nous oblige à garder.
10. Réclamation
Si vous estimez que nous ne traitons pas vos données correctement, dites-le-nous d'abord afin que nous puissions corriger la situation, en écrivant à [email protected]. Nous accusons réception de votre réclamation dans un délai de 30 jours et vous informons de la suite qui lui est donnée.
Vous avez aussi le droit d'introduire une réclamation auprès d'une autorité de protection des données, notamment l'ICO au Royaume-Uni (ico.org.uk) ou, en France, la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr, ou encore auprès de l'autorité du pays où vous résidez ou travaillez.
11. Protection des données
Nous appliquons des mesures adaptées au risque. L'accès est limité aux personnes qui en ont besoin, les connexions sont chiffrées, les clés API sont conservées uniquement sous forme d'empreintes irréversibles, et les adresses IP des visiteurs et des clients sont enregistrées dans notre base de données uniquement sous forme d'empreintes pseudonymisées.
12. Modification de cette politique
Nous pouvons mettre à jour cette politique lorsque le service ou la loi évolue. La date indiquée en haut de page correspond à la dernière version. Nous informons nos clients des modifications importantes par e-mail.