Politique de confidentialité

La présente politique décrit la manière dont MÉROA collecte et traite les données à caractère personnel dans le cadre du Service, conformément au Règlement (UE) 2016/679 (« RGPD ») et à la loi Informatique et Libertés.

1. Responsable de traitement

Le responsable de traitement est la société E-KCOMMERCE (SIREN 990 188 492), 4 avenue Jules Guesde, 93240 Stains, France, éditrice du service MÉROA sous la marque MÉROA (la « Société »). Contact : contact@meroa.ai.

2. Données collectées

• Données de compte : nom, adresse email, identifiants de connexion.
• Données d'entreprise : informations relatives à l'activité professionnelle du Client.
• Données de diagnostic : réponses et éléments fournis lors de la configuration du Service.
• Données de paiement : traitées par le prestataire de paiement ; MÉROA ne stocke pas les numéros de carte bancaire.
• Données d'usage techniques : journaux de connexion et données nécessaires au fonctionnement et à la sécurité du Service.
• Messagerie « Le Vizir » (Telegram) : lorsque le Client choisit de relier son compte Telegram au Vizir MÉROA (fonctionnalité disponible pour toute formule active), sont traités l'identifiant technique de la conversation Telegram, le contenu des messages adressés au Vizir et, pour les messages vocaux, une transcription textuelle. Les fichiers audio ne sont pas conservés : ils sont transcrits puis supprimés. La liaison est volontaire et révocable à tout moment depuis les Réglages.

3. Finalités et bases légales

• Fourniture et gestion du Service, gestion du compte, base : exécution du contrat.
• Facturation et gestion des paiements, base : exécution du contrat et obligation légale.
• Sécurité, prévention des fraudes et amélioration du Service, base : intérêt légitime.
• Communications relatives au Service, base : exécution du contrat ou consentement pour les communications facultatives.

4. Hébergement et localisation

Les données sont hébergées en Europe et au Royaume-Uni. L'infrastructure applicative et la base de données sont opérées par des prestataires assurant une localisation des données en Europe et au Royaume-Uni (voir mentions légales).

Vos données ne sont pas utilisées pour entraîner des modèles d'IA. Les traitements réalisés par des modèles d'intelligence artificielle s'appuient sur des versions entreprise qui, par défaut, n'entraînent pas leurs modèles sur vos données.

5. Durées de conservation

• Données de compte : pendant la durée de la relation contractuelle.
• Données de facturation : conservées le temps requis par les obligations légales et comptables applicables (généralement plusieurs années).
• Journaux techniques : conservés pour une durée limitée, proportionnée aux besoins de sécurité et d'exploitation du Service.

Au-delà, les données sont supprimées ou anonymisées, sauf obligation légale de conservation.

6. Destinataires et sous-traitants

Les données sont accessibles aux équipes habilitées de MÉROA et à ses sous-traitants agissant sur instruction, notamment :

• les prestataires d'hébergement applicatif et de base de données (Europe et Royaume-Uni) ;
• un prestataire de paiement sécurisé, conforme aux standards du secteur (PCI-DSS) ;
• un prestataire d'envoi d'emails présentant des garanties de sécurité et de conformité ;
• Telegram Messenger Inc. (messagerie) : lorsque le Client utilise Le Vizir sur Telegram, ses messages transitent par l'infrastructure de Telegram, conformément à la politique de confidentialité propre à ce service, dont les serveurs peuvent être situés hors de l'Union européenne ;
• un prestataire de transcription vocale : le contenu audio des messages vocaux lui est transmis à seule fin de transcription, sans conservation ;
• un fournisseur de modèle de langage : les échanges avec Le Vizir sont traités pour générer les réponses, dans le cadre de garanties contractuelles de protection des données.

7. Transferts hors Union européenne

Lorsqu'un prestataire implique un transfert de données hors de l'Union européenne, celui-ci est encadré par des garanties appropriées (clauses contractuelles types de la Commission européenne ou mécanisme équivalent). L'utilisation de la messagerie Telegram par le Client implique notamment un transfert de données vers des infrastructures pouvant être situées hors de l'Union européenne, encadré par ces mêmes mécanismes.

8. Vos droits

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de portabilité, de limitation et d'opposition, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès. Ces droits s'exercent à l'adresse contact@meroa.ai.

9. Cookies

Le Service utilise les cookies strictement nécessaires à son fonctionnement (authentification, sécurité). Le cas échéant, les cookies de mesure d'audience ou de préférences ne sont déposés qu'avec votre consentement, que vous pouvez accepter, refuser ou retirer à tout moment via le panneau de gestion des préférences.

10. Contact et délégué à la protection des données

Pour toute question relative à vos données : contact@meroa.ai.

11. Réclamation auprès de la CNIL

Vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

12. Accès aux services Google (Google API Services)

Lorsque vous connectez un compte Google à MÉROA, vous autorisez le Service à accéder à certaines données de ce compte via les API Google, dans le seul but de faire fonctionner les assistants que vous avez activés. Selon les accès que vous accordez, cela peut concerner :

• Google Agenda (calendar.events) : lire vos rendez-vous à venir et créer des rendez-vous pour vous.
• Google Search Console (webmasters.readonly) : lire, en lecture seule, les positions et requêtes de recherche de votre site pour vous aider à être mieux trouvé sur Google.

MÉROA n'accède pas à votre Gmail via les API Google : la lecture de vos emails se fait, au choix, par une connexion email standard (IMAP) que vous configurez vous-même.

L'utilisation par MÉROA des informations reçues des API Google est conforme à la Google API Services User Data Policy, y compris à ses exigences d'usage limité (Limited Use). En particulier, les données obtenues via les API Google :

• sont utilisées uniquement pour fournir et améliorer les fonctionnalités que vous avez demandées ;
• ne sont jamais vendues ni cédées à des tiers ;
• ne sont jamais utilisées à des fins publicitaires ;
• ne sont pas utilisées pour entraîner des modèles d'intelligence artificielle généralisés ou indépendants ;
• ne font l'objet d'aucun accès humain, sauf : avec votre consentement explicite, pour des raisons de sécurité (par exemple enquête sur un abus), pour se conformer à la loi, ou lorsqu'elles sont agrégées et anonymisées.

Mesures de protection des données sensibles. Les données obtenues via les API Google (Google Workspace), comme l'ensemble des données sensibles traitées par le Service, sont protégées par des mesures techniques et organisationnelles appropriées :

• chiffrement en transit (TLS/HTTPS) pour tous les échanges, et chiffrement au repos des données stockées ;
• chiffrement spécifique des jetons d'accès et de rafraîchissement OAuth : ces secrets sont stockés chiffrés, jamais en clair ;
• contrôle d'accès strict selon le principe du moindre privilège : seuls les traitements et les personnes habilités accèdent aux données, sur la base du besoin d'en connaître ;
• cloisonnement (isolation) des données : les données des API Google/Workspace ne sont jamais transférées à des services d'intelligence artificielle tiers pour créer, entraîner ou améliorer des modèles d'IA/ML généralisés, et ne sont jamais intégrées à des jeux d'entraînement ;
• recours à des fournisseurs d'IA via leurs API configurées pour ne pas entraîner leurs modèles sur les données transmises (versions entreprise et, le cas échéant, absence de rétention des données) ;
• hébergement en Europe et au Royaume-Uni chez des prestataires présentant des garanties de sécurité et de conformité ;
• journalisation des accès et surveillance des usages abusifs ; suppression ou anonymisation des données au terme des durées de conservation, et suppression des données concernées lorsque vous révoquez l'accès.

Vous pouvez révoquer à tout moment l'accès accordé à MÉROA, soit depuis la page Connexions de votre espace, soit depuis les paramètres de sécurité de votre compte Google.