Politique de confidentialité

Champ d'application et délimitation

La présente Politique de Confidentialité s'applique à l'utilisation professionnelle de la plateforme hegyon.ai. Pour l'utilisation privée du « Public Chat », la Politique de Confidentialité Public Chat distincte s'applique à la place, et hegyon.ai y agit en qualité de responsable du traitement.

Introduction

La présente Politique de Confidentialité explique comment hegyon.ai, exploité par Robert Santiago en tant qu'entreprise individuelle suisse (IDE CHE-288.808.611), traite les données personnelles dans le cadre du site et de la plateforme. Elle vise à satisfaire nos obligations au titre de la Loi fédérale suisse révisée sur la protection des données (nLPD) et, dans la mesure applicable à un traitement donné, du Règlement général sur la protection des données de l'UE (RGPD).

Responsable du traitement

Responsable du traitement / exportateur de données :
Robert Santiago, entreprise individuelle exerçant sous le nom hegyon.ai
Lufingerstrasse 37
CH-8185 Winkel
Suisse
IDE CHE-288.808.611
Contact confidentialité : privacy@hegyon.ai · Contact juridique : legal@hegyon.ai

Nous n'avons pas désigné de délégué statutaire à la protection des données (DPO) : nos traitements ne dépassent actuellement pas les seuils prévus à l'art. 10 nLPD ni à l'art. 37 RGPD. Le contact confidentialité ci-dessus est notre point de contact unique pour toute demande en matière de protection des données.

Données collectées

Nous collectons les types de données personnelles suivants :

• Données de compte et d'identité, nom, e-mail professionnel, organisation, fonction, identifiants d'authentification (les mots de passe sont stockés en hachage Argon2id, jamais en clair).
• Données Client, documents, prompts, sorties et configurations que vous chargez ou générez; le traitement est régi par le Sensitive Data Guard décrit ci-dessous.
• Données d'utilisation et de la chaîne d'audit, actions effectuées sur la plateforme avec horodatage et utilisateur responsable, scellées dans la chaîne d'audit conforme à l'OLICO.
• Données techniques, adresse IP, chaîne user-agent, identifiants de session, caractéristiques de base de l'appareil, conservées pour la sécurité, la performance et la prévention des abus.
• Données de communication, messages soumis via les formulaires de contact, demandes de démonstration et tickets de support, ainsi que nos réponses.
• Données de facturation, adresse de facturation, numéro TVA / IDE, métadonnées du moyen de paiement; nous ne stockons pas les données de carte complètes, le traitement des paiements est assuré par notre sous-traitant de paiement.

Bases légales du traitement

Nous ne traitons les données personnelles que sur l'une des bases légales prévues par la nLPD et, dans la mesure applicable, l'art. 6 RGPD :

• Exécution d'un contrat (art. 31 al. 1 nLPD / art. 6 par. 1 b RGPD), pour exploiter la plateforme, gérer votre compte et fournir le support.
• Obligation légale (art. 31 al. 2 let. c nLPD / art. 6 par. 1 c RGPD), pour respecter les règles comptables, fiscales et de conservation suisses, notamment l'OLICO et l'OR art. 958f.
• Intérêts légitimes (art. 31 al. 2 let. d nLPD / art. 6 par. 1 f RGPD), pour sécuriser la plateforme, prévenir les abus, mener des analyses d'amélioration produit ne permettant pas l'identification, et faire valoir ou défendre des prétentions juridiques. Lorsque nous nous fondons sur l'intérêt légitime, nous le mettons en balance avec vos droits et libertés fondamentaux; vous pouvez vous y opposer à tout moment.
• Consentement (art. 6 al. 6 nLPD / art. 6 par. 1 a RGPD), pour tout traitement qui l'exige, par exemple les cookies non essentiels. Le consentement peut être retiré à tout moment avec effet pour l'avenir.

Utilisation de vos données

Nous traitons vos données personnelles aux fins suivantes :

• Pour fournir, exploiter, sécuriser et améliorer en continu la plateforme et le site.
• Pour répondre aux demandes, demandes de démonstration, tickets de support et autres communications.
• Pour facturer nos services et tenir notre comptabilité, y compris l'émission de factures et le respect des obligations comptables et fiscales suisses.
• Pour détecter, enquêter sur et prévenir les abus, fraudes, incidents de sécurité et violations des présentes Conditions.
• Pour respecter les lois applicables et répondre aux demandes légitimes des autorités publiques.

Traitement par les modèles d'IA (Sensitive Data Guard)

La plateforme s'appuie sur des fournisseurs externes de Grands Modèles de Langage (LLM) (actuellement OpenAI, Anthropic et Google pour le chat utilisateur final, et Mistral pour l'orchestration back-office). Avant qu'un prompt ne soit transmis à un LLM externe, notre Sensitive Data Guard classe le contenu et masque ou bloque les données personnelles, contractuelles et financières. Seul le contenu autorisé, non identifiant, est transmis.

Les fournisseurs externes de LLM sont liés par des accords contractuels de non-entraînement; vos Données Client et le contenu masqué transmis en votre nom ne sont pas utilisés pour entraîner ou améliorer leurs modèles. La liste actuelle des fournisseurs LLM, avec la région d'hébergement et le mécanisme de transfert applicable (EU-US Data Privacy Framework / Clauses Contractuelles Types), est maintenue sur notre Trust Center.

Si vous exercez une option qui contourne le Guard (par exemple un opt-in explicite pour transmettre un contenu non masqué à un fournisseur donné pour un cas d'usage donné), les conditions concernées sont affichées dans l'interface utilisateur et l'action est enregistrée dans la chaîne d'audit.

Sous-traitants ultérieurs

Nous recourons à un nombre restreint de sous-traitants ultérieurs soigneusement sélectionnés pour exploiter la plateforme, dont notre hébergeur suisse (Hostpoint AG, Zürich, centres de données certifiés ISO 27001), les fournisseurs externes de LLM listés ci-dessus, ainsi que nos prestataires d'e-mail transactionnel, de paiement et d'analyse. La liste actuelle avec le nom, le rôle, la localisation et le mécanisme de transfert est publiée sur notre Trust Center et mise à jour à chaque modification substantielle.

Pour les clients Enterprise, les changements de sous-traitants ultérieurs sont notifiés par avance selon la procédure prévue par l'Accord de Traitement des Données (DPA).

Transferts internationaux de données

Les données applicatives (comptes, Données Client, chaîne d'audit) sont hébergées en Suisse chez Hostpoint AG, Zürich. Les données personnelles ne quittent pas la Suisse à travers la couche applicative.

Dans la mesure où un contenu autorisé masqué est traité par des fournisseurs LLM situés dans l'Espace économique européen ou dans des pays bénéficiant d'une décision d'adéquation reconnue par la Suisse, aucun instrument de transfert supplémentaire n'est requis. Lorsque le contenu masqué est traité par des prestataires basés aux États-Unis, le transfert est régi par le EU-US Data Privacy Framework et son équivalent suisse lorsque le prestataire est certifié, et à défaut par les Clauses Contractuelles Types (CCT) 2021/914 assorties des mesures supplémentaires décrites dans notre Trust Center.

Cookies

Nous utilisons des cookies pour assurer le bon fonctionnement du site et, avec votre consentement, pour comprendre comment vous utilisez notre site. Vous pouvez gérer vos préférences à tout moment via les paramètres de cookies.

Partage des données

Nous ne vendons pas de données personnelles. Nous ne partageons des données personnelles qu'avec les catégories de destinataires nécessaires à l'exploitation de la plateforme et au respect de nos obligations légales :

• Notre hébergeur suisse (Hostpoint AG, Zürich), dans le cadre d'un contrat de sous-traitance écrit.
• Les fournisseurs externes de LLM, sous accords de non-entraînement, après que le Sensitive Data Guard a masqué les contenus personnels, contractuels et financiers (voir ci-dessous).
• Les prestataires d'e-mail transactionnel, de paiement et d'analyse utilisés pour exploiter le site et la plateforme.
• Les conseils professionnels (juridique, fiscal, audit) lorsque strictement nécessaire.
• Les autorités publiques, lorsque le droit suisse contraignant ou une décision judiciaire l'exige.

La liste actuelle des sous-traitants ultérieurs est maintenue sur notre Trust Center.

Conservation des données

Nous ne conservons les données personnelles que le temps nécessaire aux finalités pour lesquelles elles ont été collectées, puis les supprimons ou les anonymisons. Durées indicatives :

• Données de compte : pour la durée de la relation contractuelle augmentée de jusqu'à 10 ans après la fin du contrat, afin de satisfaire aux obligations comptables et d'audit suisses (OLICO / OR art. 958f).
• Données Client (documents, prompts, sorties) : pour la durée de la relation contractuelle; supprimées à la fin du délai de grâce convenu après résiliation, sauf conservation plus longue exigée par la loi.
• Entrées de la chaîne d'audit : pour la durée légale de conservation applicable au document commercial sous-jacent (typiquement 10 ans).
• Soumissions de formulaires de contact : 12 mois.
• Journaux serveur : typiquement 90 jours.
• Registres de consentement aux cookies : 12 mois.

Vos droits

En vertu de la nLPD et, dans la mesure applicable, du RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès, obtenir confirmation que nous traitons vos données personnelles et en recevoir une copie.
• Droit de rectification, faire rectifier les données personnelles inexactes.
• Droit à l'effacement et d'opposition, demander l'effacement de vos données personnelles ou vous opposer à un traitement fondé sur des intérêts légitimes.
• Droit à la limitation du traitement de vos données dans certaines situations.
• Droit à la portabilité, recevoir les données personnelles que vous avez fournies dans un format structuré et lisible par machine et les transmettre à un autre responsable du traitement, lorsque cela est techniquement réalisable.
• Droit de retirer votre consentement, à tout moment et avec effet pour l'avenir.
• Droit d'introduire une réclamation auprès du Préposé fédéral suisse à la protection des données et à la transparence (PFPDT, edoeb.admin.ch) ou, lorsque le RGPD s'applique, auprès de l'autorité de contrôle de votre résidence habituelle dans l'UE/EEE.

Pour exercer ces droits, contactez privacy@hegyon.ai. Nous répondons dans les 30 jours suivant réception; les demandes complexes peuvent être prolongées une fois de deux mois supplémentaires, sur notification. Nous pouvons être amenés à vérifier votre identité avant de donner suite.

Google Ads et suivi des conversions

Nous diffusons des annonces de recherche sur Google. Pour mesurer si ces annonces sont pertinentes, nous utilisons le suivi des conversions de Google Ads. Il enregistre si une personne réserve une démonstration ou envoie le formulaire de contact après avoir cliqué sur une annonce.

Uniquement avec votre consentement. Sans votre accord pour la catégorie « Marketing », aucun script Google n’est chargé et aucune connexion à Google n’est établie. La balise Google n’est chargée qu’après le consentement, et Google peut alors déposer des cookies.

Données : clic sur l’annonce, événement de conversion (p. ex. « démonstration réservée »), horodatage, ainsi que des indications techniques comme le navigateur et le type d’appareil. Votre adresse IP est traitée par Google. Nous ne transmettons ni noms ni adresses électroniques issus du formulaire.

Destinataires : Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande ; le cas échéant Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, États-Unis.

Base légale : votre consentement. Pour les visiteuses et visiteurs de Suisse selon la nLPD, et pour ceux de l’UE en outre l’art. 6 par. 1 let. a RGPD.

Transfert aux États-Unis : dans la mesure où des données parviennent aux États-Unis, le transfert s’appuie sur le EU-US Data Privacy Framework et son extension suisse (Swiss-US Data Privacy Framework), sous lesquels Google est certifié.

Durée de conservation : les cookies de conversion de Google expirent au plus tard après 90 jours. Les évaluations agrégées dans notre compte Google Ads sont conservées plus longtemps mais ne permettent aucune conclusion sur des personnes individuelles.

Retrait : vous pouvez retirer votre consentement à tout moment via les paramètres des cookies en pied de page. Le retrait prend effet immédiatement ; vous pouvez en outre supprimer dans votre navigateur les cookies Google déjà déposés.

Nous contacter

Pour toute demande relative à la protection des données, contactez privacy@hegyon.ai. L'adresse postale pour toute correspondance écrite est celle du responsable du traitement indiquée ci-dessus.