Politique de confidentialité

PrivacyGuard AI est un outil destiné aux délégués à la protection des données. Il nous paraît donc normal d'être précis sur ce que nous faisons des données qui nous sont confiées. Cette politique explique quelles données personnelles nous traitons, pourquoi, pendant combien de temps, avec quels prestataires, et comment exercer vos droits.

1. Qui est responsable ?

Les données sont traitées par Jean-Luc Cadignan, Entrepreneur Individuel, exerçant sous le nom commercial « PrivacyGuard AI », 18 boulevard Garibaldi, 75015 Paris, France (ci-après « l'Éditeur », « nous »). Les informations légales complètes figurent dans les mentions légales.

Contact pour toute question relative aux données personnelles : contact@privacyguardai.fr. Compte tenu de la taille de son activité, l'Éditeur n'est pas tenu de désigner un délégué à la protection des données ; il répond directement aux demandes.

2. Deux situations différentes

Selon les données concernées, notre rôle au sens du RGPD n'est pas le même :

• Nous sommes responsable de traitement pour les données de nos clients et de leurs utilisateurs nécessaires à la gestion du compte, de l'abonnement, de la facturation et de la relation commerciale, ainsi que pour les visiteurs du site. Ces traitements sont décrits aux sections 3 et 4.
• Nous sommes sous-traitant (article 28 du RGPD) pour les données issues de l'environnement Microsoft 365 ou Google Workspace du Client, que nous analysons pour son compte et sur ses instructions. Le Client en reste responsable de traitement. Ce traitement est décrit à la section 5 et encadré par l'article 13 des Conditions générales et, le cas échéant, par l'accord de traitement des données (DPA).

3. Données traitées en tant que responsable de traitement

Les données marquées comme obligatoires dans les formulaires sont nécessaires à la création du compte ou à la souscription ; sans elles, le Service ne peut pas être fourni.

Nous n'utilisons pas vos données à des fins de prospection pour des tiers, nous ne les vendons pas et nous ne les louons pas.

4. Visiteurs du site et cookies

Le site utilise uniquement des cookies strictement nécessaires à son fonctionnement : deux cookies de session sécurisés qui maintiennent votre connexion à votre compte. Ils ne sont déposés qu'après connexion, ne servent à aucun suivi et sont exemptés de consentement.

Le site n'utilise ni outil de mesure d'audience, ni cookie publicitaire, ni bouton de réseau social traceur. Si de tels outils devaient être ajoutés, votre consentement serait recueilli au préalable au moyen d'un bandeau dédié.

Lors du paiement, vous êtes redirigé vers la page sécurisée de Stripe, qui applique sa propre politique de confidentialité et de cookies.

5. Données issues de votre environnement Microsoft 365 ou Google Workspace

Lorsque le Client connecte son environnement, le Service lit, en lecture seule, les informations nécessaires à la découverte et à l'évaluation des applications autorisées. Nous avons conçu le Service pour conserver le moins de données personnelles possible :

• Applications détectées : nom de l'application, éditeur, statut de vérification de l'éditeur, statut actif ou désactivé, permissions accordées, type de consentement (administrateur ou utilisateur), et l'historique des scores de risque calculés.
• Microsoft 365 : lorsqu'une autorisation a été accordée par un utilisateur individuel, Microsoft fournit un identifiant technique de cet utilisateur (identifiant d'objet, sans nom ni adresse e-mail). Il est conservé pour rattacher l'autorisation à l'application concernée.
• Google Workspace : les journaux d'autorisation de Google peuvent contenir l'adresse e-mail de l'utilisateur à l'origine d'une autorisation. Le Service s'en sert uniquement pour identifier l'application concernée et ne conserve pas cette adresse.
• Paramètres de connexion : pour Google Workspace, l'adresse e-mail de l'administrateur ayant autorisé l'accès. Elle est stockée chiffrée avec les autres identifiants de connexion.
• Contenus saisis par le Client : registre des traitements, AIPD, fiches AI Act et notes du DPO.
• Centre de Preuves : documents déposés volontairement par le Client (contrats de sous-traitance, attestations, politiques internes…), avec leur date de dépôt, leur empreinte numérique et l'adresse e-mail de l'utilisateur qui les a déposés. Ils sont conservés tels quels, sans analyse de leur contenu.

Le Service ne lit pas le contenu des e-mails, des fichiers, des agendas ou des conversations des utilisateurs du Client dans leur environnement Microsoft 365 ou Google Workspace.

Ces données sont conservées pendant la durée de l'abonnement, puis 90 jours au plus après sa fin afin de permettre un export ou une réactivation, conformément à l'article 12 des Conditions générales. Elles sont ensuite supprimées. Le Client peut à tout moment retirer l'accès depuis sa console d'administration Microsoft ou Google.

6. Fonctionnalités d'intelligence artificielle

Les scores de risque, le registre et les classifications sont calculés par un moteur de règles déterministe, sans intelligence artificielle générative.

Lorsque le Client demande une suggestion rédactionnelle (par exemple pour un brouillon d'AIPD), le Service transmet à Mistral AI uniquement les faits déjà calculés sur l'application concernée : nom de l'application, éditeur, permissions, niveau de risque et éléments de l'analyse. Aucun nom, aucune adresse e-mail ni aucun identifiant d'utilisateur du Client n'est transmis. La suggestion obtenue n'est jamais enregistrée automatiquement : le DPO la relit, la modifie et décide de la sauvegarder.

7. Destinataires et sous-traitants

Les données sont accessibles uniquement à l'Éditeur et, dans la limite de leurs missions, aux prestataires suivants :

Microsoft et Google ne sont pas nos sous-traitants : ce sont les fournisseurs choisis par le Client, auprès desquels le Service vient lire les informations autorisées.

Les données peuvent également être communiquées aux autorités lorsque la loi l'impose.

8. Transferts hors de l'Union européenne

Les données sont hébergées en France ; leurs sauvegardes sont stockées par Scaleway dans l'Union européenne, et les documents déposés dans le Centre de Preuves par Scaleway en France. Le seul prestataire susceptible de transférer certaines données hors de l'Union européenne est Stripe, pour le traitement des paiements. Ces transferts sont encadrés par les mécanismes prévus par le RGPD (clauses contractuelles types de la Commission européenne et, le cas échéant, EU-US Data Privacy Framework).

9. Sécurité

• Isolation des données de chaque Client au niveau de la base de données (règles de sécurité appliquées par la base elle-même, pas seulement par l'application).
• Chiffrement des communications (HTTPS).
• Chiffrement au repos des identifiants de connexion Microsoft et Google.
• Mots de passe stockés sous forme de hachage, jamais en clair.
• Accès Microsoft 365 et Google Workspace en lecture seule.
• Cookies de session sécurisés, inaccessibles aux scripts du navigateur.
• Sauvegarde automatique quotidienne, stockée hors du serveur principal, et accès restreint à l'infrastructure.

En cas de violation de données personnelles, nous notifions la CNIL dans les conditions prévues par le RGPD lorsque nous sommes responsable de traitement, et nous informons le Client dans les meilleurs délais lorsque nous agissons en tant que sous-traitant.

10. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

• droit d'accès à vos données ;
• droit de rectification ;
• droit à l'effacement ;
• droit à la limitation du traitement ;
• droit d'opposition aux traitements fondés sur l'intérêt légitime ;
• droit à la portabilité des données que vous nous avez fournies ;
• droit de définir des directives relatives au sort de vos données après votre décès.

Pour les exercer, écrivez à contact@privacyguardai.fr en précisant votre demande. Nous pourrons vous demander un justificatif si nous avons un doute raisonnable sur votre identité. Nous répondons dans un délai d'un mois, pouvant être prolongé de deux mois pour les demandes complexes, auquel cas vous en êtes informé.

Si vous êtes un utilisateur d'une organisation cliente et que votre demande porte sur les données issues de l'environnement Microsoft 365 ou Google Workspace de cette organisation, adressez-la en priorité à celle-ci, qui en est responsable de traitement ; nous l'assisterons pour y répondre.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 (www.cnil.fr).

11. Modification de cette politique

Cette politique peut évoluer, notamment en cas de nouvelle fonctionnalité ou de nouveau prestataire. La date de dernière mise à jour figure en haut de la page. Toute modification importante est signalée aux Clients par e-mail ou dans le Service.