Politique de Confidentialite
Dernière mise à jour : mars 2026
Conçue pour respecter le Règlement (UE) 2016/679 (RGPD), la directive ePrivacy 2002/58/CE, le règlement IA (UE 2024/1689) et la directive NIS2 (UE 2022/2555) ; statuts publiés sur /confiance.
Version beta — projet de document
Ce document est en cours de revue par un conseil juridique et n'a pas encore de valeur contractuelle definitive. La version applicable, signee, sera publiee a la mise en disponibilité generale (GA).
- 01. 1. Responsable du traitement
- 02. 2. Données collectees et finalités
- 03. 3. Hébergement, sécurité et sous-traitants
- 04. 4. Durée de conservation
- 05. 5. Vos droits (RGPD Art. 15 a 22)
- 06. 6. Cookies et traceurs
Les 10 sections de cette page, dans l'ordre. Elles totalisent 78 points.
1. Responsable du traitement
Chatbotaurus S.a r.l., société de droit luxembourgeois.
Siege social : Luxembourg, Grand-Duche de Luxembourg.
Email du responsable : contact@chatbotaurus.com
Délégué a la Protection des Données (DPO) :
Email : contact@chatbotaurus.com
Le DPO est joignable pour toute question relative au traitement de vos données personnelles, a l'exercice de vos droits, ou pour signaler une violation de données.
2. Données collectees et finalites
Nous appliquons le principe de minimisation des données (Art. 5.1.c RGPD). Seules les données strictement nécessaires sont collectees.
Données d'identification
Nom, prenom, email professionnel, nom d'entreprise, secteur d'activité.
Finalite : création et gestion du compte, personnalisation du service.
Base légale : execution du contrat (Art. 6.1.b RGPD).
Données de connexion et techniques
Adresse IP, User-Agent, logs d'accès, horodatage des sessions.
Finalite : sécurité, detection d'intrusion, audit trail.
Base légale : interet legitime (Art. 6.1.f) et obligation légale NIS2 (Art. 6.1.c).
Données d'utilisation
Workflows créés, configurations MCP, historique de conversations avec l'IA.
Finalite : fourniture du service, amelioration de la qualité.
Base légale : execution du contrat (Art. 6.1.b).
Données de facturation
Adresse de facturation, historique des paiements (via Mollie EU).
Finalite : facturation, comptabilite.
Base légale : obligation légale (Art. 6.1.c) et execution du contrat (Art. 6.1.b).
Données de newsletter
Email, date d'inscription, préférences de communication.
Finalite : envoi de communications marketing.
Base légale : consentement explicite (Art. 6.1.a).
Aucune donnée sensible (Art. 9 RGPD) n'est collectée sans consentement explicite pour les fonctionnalités biométriques optionnelles (voix).
3. Hébergement, sécurité et sous-traitants
Toutes les données sont hébergées exclusivement dans l'Union Européenne. Aucun transfert hors UE/EEE n'est effectue.
Sous-traitants techniques (Art. 28 RGPD) :
- • OVHcloud (FR) — hébergement de production et sauvegardes chiffrees
- • Scaleway / Iliad Group (FR) — environnement de test et calcul GPU IA
- • Mollie B.V. (NL) — traitement des paiements
- • Hébergeur cloud UE (Lituanie) — environnement de staging (pre-production)
Un DPA conforme à l'Art. 28 RGPD est signe avec chaque sous-traitant. Liste complete sur demande.
Mesures de sécurité techniques (Art. 32 RGPD) :
- Chiffrement au repos AES-256-GCM et en transit TLS 1.3
- Cryptographie post-quantique (ML-KEM-768, opt-in)
- Traitement chiffre compute-mode (FHE complet en roadmap)
- Preuves zero-knowledge (ZKP) pour la vérification sans divulgation
- Authentification multi-facteurs (Authentik SSO + TOTP)
- Gestion des secrets via sops+age (chiffres dans git) ; OpenBao (MPL/Linux Foundation) pour le regule
- Scan de vulnerabilites Trivy sur chaque image conteneur
- Architecture Zero Trust triple (mTLS + JWT + HMAC)
- Isolation réseau par conteneur (Podman rootless, AppArmor, seccomp BPF)
- Sauvegardes chiffrees quotidiennes avec vérification d'integrite SHA-256
4. Durée de conservation
| Type de données | Duree | Justification |
|---|---|---|
| Compte utilisateur | Durée du contrat + 30 jours | Execution contractuelle |
| Suppression de compte (art. 17) | Delai de grace de 30 jours, annulable, puis effacement definitif | Protection contre la suppression accidentelle ; effacement immédiat sur demande explicite |
| Logs techniques | 12 mois | Sécurité, NIS2 Art. 21 |
| Logs d'audit sécurité | 24 mois | NIS2, detection d'incidents |
| Données de facturation | 10 ans | Obligation légale (Code commerce LU) |
| Conversations IA | Durée du contrat + 30 jours | Execution contractuelle |
| Consentement cookies | 13 mois | Directive ePrivacy |
| Newsletter | Jusqu'au desabonnement | Consentement |
| Données de prospect | 36 mois après dernier contact | Interet legitime |
A l'expiration de ces délais, les données sont supprimees de manière sécurisée (effacement cryptographique ou ecrasement multi-passes).
5. Vos droits (RGPD Art. 15 a 22)
Conformement au RGPD, vous disposez des droits suivants :
- Art. 15 — Droit d'accès : obtenir une copie de vos données personnelles
- Art. 16 — Droit de rectification : corriger des données inexactes
- Art. 17 — Droit a l'effacement (droit a l'oubli) : suppression de vos données
- Art. 18 — Droit a la limitation du traitement
- Art. 20 — Droit a la portabilite : export en format structure (JSON)
- Art. 21 — Droit d'opposition au traitement
- Art. 22 — Droit de ne pas faire l'objet d'une decision automatisée
Pour exercer vos droits : envoyez un email a contact@chatbotaurus.com. Delai de réponse : 30 jours maximum (Art. 12.3 RGPD). Fonctionnalites en libre-service dans votre espace Compte (export RGPD, suppression de compte).
6. Cookies et traceurs
| Cookie | Type | Duree | Finalite |
|---|---|---|---|
| cookie_consent | Essentiel | 13 mois | Memoriser vos choix cookies |
| jwt | Essentiel | 7 jours | Session d'authentification (JWT) |
| csrf-token | Essentiel | 2 heures | Protection contre la falsification de requête |
| _pk_id / _pk_ses | Analytique | 13 mois / 30 min | Matomo (auto-hébergé EU) |
Aucun cookie de tracking tiers (Google Analytics, Facebook Pixel, etc.) n'est utilise. L'analytics est assuree par Matomo, auto-hébergé en Union Européenne, conforme RGPD. Les cookies analytiques ne sont deposes qu'après votre consentement explicite via le bandeau cookies.
7. Transferts internationaux
Aucun transfert de données personnelles vers un pays tiers non adéquat : nos prestataires sont établis dans l'UE/EEE, la Suisse bénéficiant d'une décision d'adéquation.
Tous nos sous-traitants, fournisseurs d'hébergement, prestataires de paiement et services d'intelligence artificielle sont etablis dans l'UE/EEE. Les modèles IA sont entraines et executes localement sur notre infrastructure européenne (Ollama, modèles open-source). Aucun appel vers des API de geants de la Tech extra-européens.
8. Notification de violation (Art. 33-34 RGPD)
En cas de violation de données personnelles, Chatbotaurus s'engage a :
- Notifier la CNPD dans les 72 heures (Art. 33 RGPD)
- Notifier les personnes concernees sans délai indu si risque eleve (Art. 34 RGPD)
- Notifier les autorites competentes dans les 24 heures (NIS2 Art. 23)
- Documenter l'incident dans le registre des violations
9. Analyse d'impact (DPIA — Art. 35 RGPD)
Conformement a l'article 35 du RGPD, Chatbotaurus realise une Analyse d'Impact relative a la Protection des Données (DPIA) pour tout traitement susceptible d'engendrer un risque eleve pour les droits et libertes des personnes concernees.
- DPIA réalisée pour le traitement des conversations IA (inference locale, modèles open-source)
- DPIA réalisée pour le système d'authentification et de gestion des accès (2FA, RBAC)
- Revue annuelle des DPIA existantes ou lors de tout changement significatif
- Consultation de la CNPD si le risque residuel reste eleve (Art. 36 RGPD)
Les DPIA sont disponibles sur demande aupres du DPO : contact@chatbotaurus.com. La DPIA principale est publiee :
Consulter la DPIA10. Contact et réclamation
Pour toute question relative a cette politique :
DPO : contact@chatbotaurus.com
Contact general : contact@chatbotaurus.com
Si vous estimez que le traitement de vos données constitue une violation du RGPD, vous avez le droit d'introduire une réclamation aupres de l'autorite de contrôle :
Commission Nationale pour la Protection des Données (CNPD)
15, Boulevard du Jazz, L-4370 Belvaux, Luxembourg
https://cnpd.public.lu
Cette politique est revisee au minimum annuellement et mise à jour en cas de changement significatif dans nos pratiques de traitement.
Besoin d'une réponse immédiate ?
Notre assistant MCP est disponible 24/7 pour repondre a vos questions techniques, vous guider dans votre projet ou resoudre vos problemes.