Politique de confidentialité

1. Responsable de traitement

Le responsable de traitement est Elephant in the Room (société par actions simplifiée, SAS, RCS Paris 107 908 337), 16 rue de Vézelay, 75008 Paris, France, représentée par son Président, Louis Alexandre Leibovici. Pour toute question relative à vos données personnelles, vous pouvez nous joindre à hello@elephantintheroom.ai.

2. Données que nous collectons

Nous collectons les informations que vous nous transmettez directement, telles que votre nom, votre adresse e-mail professionnelle et les coordonnées de votre société lorsque vous nous contactez ou réservez un échange. Lorsque vous utilisez la plateforme, nous traitons les données opérationnelles que votre organisation choisit de partager avec nous.

Nous collectons également des données techniques limitées (telles que le type de navigateur et les pages consultées) afin d'exploiter et d'améliorer notre site.

3. Utilisation des données

Nous utilisons les données personnelles pour fournir et améliorer la plateforme, répondre à vos demandes et communiquer avec vous au sujet de nos services. Nous ne vendons pas vos données personnelles.

Les données opérationnelles transmises à la plateforme servent uniquement à fournir le service à votre organisation, conformément à nos engagements contractuels.

4. Base légale

Lorsque le RGPD s'applique, nous traitons les données personnelles sur la base de votre consentement, de l'exécution d'un contrat, de nos intérêts légitimes ou du respect d'une obligation légale, selon le contexte.

5. Services d'API Google et usage limité

Lorsque vous connectez un compte Google, nous accédons aux données des API Google (telles que Gmail, Google Calendar et Google Drive) uniquement dans la limite de ce que vous autorisez lors de la procédure de connexion, et uniquement pour fournir et améliorer les fonctionnalités que vous nous avez demandé d'exécuter.

L'utilisation par Elephant in the Room et le transfert vers toute autre application des informations reçues des API Google respecteront la Google API Services User Data Policy, y compris ses exigences d'usage limité (Limited Use).

Nous n'utilisons pas les données utilisateur Google à des fins publicitaires, nous ne les vendons pas et nous n'autorisons pas leur consultation par des personnes physiques, sauf lorsque vous nous le demandez explicitement, lorsque cela est nécessaire pour la sécurité ou pour respecter le droit applicable, ou lorsque les données ont été agrégées et anonymisées. Vous pouvez révoquer notre accès à tout moment depuis les paramètres de sécurité de votre compte Google ou en nous contactant.

6. Traitement par intelligence artificielle

La plateforme s'appuie sur des grands modèles de langage tiers fournis par Anthropic (Claude) et OpenAI (GPT) pour produire des analyses, des projets de documents et des recommandations.

Les données ne sont transmises à ces fournisseurs que via des API sécurisées (HTTPS/TLS). Vos données ne sont jamais utilisées pour entraîner les modèles de nos fournisseurs, et nous opérons avec eux sous des conditions de non-conservation des données (zero data retention) lorsqu'elles sont disponibles, de sorte que les requêtes et les réponses ne sont pas conservées de leur côté au-delà de ce qui est nécessaire pour renvoyer une réponse.

Les résultats générés par l'IA constituent une suggestion et non un conseil juridique, financier ou professionnel certifié. Ils doivent être relus et validés par une personne qualifiée avant toute décision ou communication.

7. Souveraineté et sécurité des données

Nous travaillons avec des clients exerçant des professions réglementées pour lesquelles la confidentialité n'est pas optionnelle. La souveraineté des données, le secret professionnel et les contrôles d'accès sont pensés dès la conception de la plateforme.

Les données sont chiffrées en transit (TLS 1.3) et au repos (AES-256). L'accès aux données est limité au personnel strictement nécessaire à l'exploitation du service, et les données de chaque client sont isolées logiquement de celles de tout autre client. Nous appliquons des mesures techniques et organisationnelles appropriées afin de protéger les données personnelles contre tout accès non autorisé, perte ou divulgation.

8. Durée de conservation

Nous conservons les données personnelles uniquement pendant la durée nécessaire aux finalités décrites dans la présente politique, ou pendant la durée exigée par le droit applicable. Les données de traitement transitoires sont automatiquement purgées sous 30 jours ; l'historique des conversations est conservé pendant la durée du contrat augmentée d'un an ; les données de compte sont conservées pendant la durée du contrat augmentée de trois ans ; les journaux techniques sont conservés jusqu'à 12 mois.

À l'expiration d'une durée de conservation, ou lorsque vous nous demandez de supprimer vos données, nous les supprimons ou les anonymisons de manière irréversible, sous réserve de toute obligation légale de conservation plus longue.

9. Vos droits

En vertu du RGPD, vous disposez d'un droit d'accès à vos données personnelles, de rectification, d'effacement, de limitation ou d'opposition à leur traitement, ainsi que d'un droit à la portabilité dans un format réutilisable. Lorsque le traitement repose sur le consentement, vous pouvez retirer ce consentement à tout moment.

Pour exercer ces droits, contactez-nous à hello@elephantintheroom.ai. Vous disposez également du droit d'introduire une réclamation auprès de votre autorité de contrôle locale ; en France, il s'agit de la CNIL (www.cnil.fr).

10. Sous-traitants et fournisseurs tiers

Nous faisons appel à des fournisseurs d'infrastructure et d'IA sélectionnés, pouvant inclure Google Cloud, Vercel, Anthropic et OpenAI, pour exploiter la plateforme. Ces fournisseurs traitent les données pour notre compte dans le cadre d'accords de traitement des données appropriés et sont tenus à des engagements de confidentialité et de sécurité conformes à la présente politique.

11. Modifications de la présente politique

Nous sommes susceptibles de mettre à jour cette Politique de confidentialité de temps à autre. La version mise à jour est signalée par la date de « Dernière mise à jour » indiquée ci-dessus.