Politique de confidentialité

Chargement de l’identité légale…

Dans le cadre de la fourniture du service, nous traitons :

• les données de compte : email, nom, organisation et rôle ;
• les données d'usage : requêtes adressées aux modèles, volumes consommés et quotas ;
• les journaux techniques : horodatage, identifiants de session et accès, à des fins de sécurité.
• les décisions de politique IA, consentements MCP et preuves de provenance, sans contenu par défaut.

• fournir et sécuriser l'accès à la plateforme ;
• appliquer les quotas et la facturation à l'usage par organisation ;
• assurer la traçabilité, la modération et la prévention des abus.

Par défaut, vos échanges ne servent pas à entraîner de modèle. Ils sont traités pour produire la réponse demandée et faire fonctionner le service, puis supprimés à l'échéance de conservation.

Lorsqu'une organisation choisit explicitement d'y contribuer, seuls des contenus anonymisés (données personnelles retirées) peuvent être conservés pour améliorer un modèle souverain ; à défaut de ce consentement, les échanges sont supprimés sans être versés à aucun corpus.

Quel que soit le choix de votre organisation, chaque utilisateur dispose d'un droit d'opposition individuel : l'option « Ne pas utiliser mes données pour entraîner un futur modèle », dans vos paramètres, exclut vos échanges de tout entraînement et en supprime la copie de conversation.

Les capacités d'inférence reposent par défaut sur OVHcloud en Europe. Certains modèles explicitement validés peuvent être exécutés chez Scaleway en Europe, selon la politique de l'organisation. Un connecteur MCP explicitement activé peut transmettre les données nécessaires vers son opérateur ; les destinations hors UE sont signalées et bloquées par défaut. Une réouverture exige un dossier juridique de transfert, un DPA, une analyse d’impact du transfert et une approbation explicite.

Vos données sont stockées et traitées en France. Deux sociétés du groupe OVHcloud situées hors de l'Union européenne, au Canada et au Royaume-Uni, peuvent y accéder à distance pour la sécurité et la maintenance de l'infrastructure, sur l'ensemble des services de l'hébergeur. Ces deux pays bénéficient d'une décision d'adéquation de la Commission européenne, qui constitue le fondement juridique de ces accès : ils ne reposent donc pas sur des clauses contractuelles types. Nous préférons l'écrire plutôt que de laisser croire que la chaîne s'arrête à la frontière française.

La liste nominative des sous-traitants, leur rôle et leur lieu de traitement figurent en annexe de l'accord de traitement des données. Tout ajout ou changement est notifié aux administrateurs des organisations concernées avant sa mise en œuvre, avec un délai de trente jours pour s'y opposer.

Aucun de ces hébergeurs n'utilise vos échanges pour entraîner un modèle. Chacun applique en revanche ses propres durées de conservation techniques : Scaleway, par exemple, déclare ne conserver aucune requête, sauf lorsqu'un trafic nuit au service : le contenu des requêtes concernées peut alors être conservé jusqu'à deux semaines pour investigation.

Les échanges sont chiffrés en transit. Les clés API sont stockées hachées (jamais en clair), les sessions sont sécurisées et révocables, et chaque accès est journalisé.

Les contenus sont conservés selon la configuration de l'organisation et la politique RGPD. Les preuves techniques de conformité sont conservées séparément des contenus pendant six mois calendaires, sauf gel justifié des preuves lié à un incident ou à un litige. Les journaux d'usage suivent leur propre durée, configurée selon leur finalité de sécurité et de facturation.

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition. Pour les exercer, contactez l'administrateur de votre organisation, ou notre délégué à la protection des données dont l'adresse figure en tête de cette page.

Vous pouvez également introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés, autorité de contrôle compétente pour la France.

Lorsque votre organisation utilise Central dans un cadre professionnel, c'est elle qui est responsable du traitement des contenus qu'elle y dépose : nous agissons alors comme sous-traitant et relayons votre demande vers elle. Cette distinction change l'interlocuteur, jamais l'existence du droit.

Pour toute question relative à la protection de vos données : support@kairomap.com.