Politique de confidentialité

1. Responsable du traitement

Le responsable au sens du Règlement général sur la protection des données (RGPD) est : DocumentAnalyse, titulaire Maya Cherif, Brettnacher Str. 17, 14167 Berlin, Allemagne — e-mail : contact@documentanalyse.com

2. Consultation du site et journaux serveur

Lors de la consultation du site, des informations techniquement nécessaires sont traitées, notamment l'adresse IP, la date et l'heure, la page ou le fichier consulté, des informations sur le navigateur et l'appareil ainsi que la page de provenance.

Base légale : art. 6, par. 1, point b) RGPD pour la mise à disposition du site ; pour le reste, notre intérêt légitime à un fonctionnement sûr et stable (art. 6, par. 1, point f) RGPD). L'hébergement est assuré par Vercel. Les journaux ne sont conservés que le temps nécessaire au fonctionnement, à l'analyse des erreurs et à la lutte contre les abus.

Nous utilisons Vercel Web Analytics pour mesurer l'audience, sans cookies et sans reconnaissance entre appareils ; aucune information n'est stockée ni lue sur votre appareil. Sont traités : page consultée, référent, pays approximatif, type d'appareil et navigateur. Vercel en dérive un identifiant non réversible qui change chaque jour. Base légale : art. 6, par. 1, point f) RGPD.

3. Cookies et stockage local (§ 25 TDDDG)

Des informations techniquement nécessaires sont stockées dans le stockage local de votre navigateur : session de connexion (jeton d'authentification de notre sous-traitant Supabase), langue choisie et votre choix concernant la bannière de consentement. Ce stockage est indispensable au service demandé (§ 25, al. 2, n° 2 TDDDG) et ne requiert pas de consentement.

Uniquement avec votre consentement préalable, nous utilisons des technologies de mesure publicitaire de Google Ads et OpenAI Ads (sections 3a et 3b) ainsi que le cookie de recommandation de notre programme partenaire (Rewardful, voir section 11). Sans consentement, aucun événement de mesure n'est transmis à des fins publicitaires.

3a. Suivi des conversions Google Ads et Consent Mode v2 (avec consentement)

Si vous y avez consenti, nous utilisons le suivi des conversions de Google Ads (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande) pour mesurer si les utilisateurs effectuent certaines actions après un clic sur une annonce (notamment la souscription d'un abonnement).

La balise Google (gtag.js) n'est chargée qu'après consentement. Google dépose des cookies (en général jusqu'à 90 jours) et traite notamment l'adresse IP, des informations sur le navigateur et l'appareil, l'identifiant de clic (par ex. « gclid ») et l'événement de conversion. Nous ne recevons que des statistiques agrégées.

Nous utilisons le Consent Mode v2 : tant qu'aucun consentement n'est donné, tous les signaux (ad_storage, ad_user_data, ad_personalization, analytics_storage) sont sur « denied ».

Base légale : votre consentement (§ 25, al. 1 TDDDG ; art. 6, par. 1, point a) RGPD). Des données peuvent être transmises aux États-Unis ; Google LLC est certifiée au titre du EU-US Data Privacy Framework, complété par des clauses contractuelles types.

3b. Mesure des conversions OpenAI Ads (avec consentement)

Si vous y avez consenti, nous utilisons le pixel de mesure OpenAI Ads (OpenAI Ireland Limited, Dublin, Irlande) pour mesurer l'efficacité de nos annonces dans ChatGPT (inscription, début de paiement, souscription).

Le pixel est initialisé sans consentement de mesure ; aucun événement n'est transmis avant votre consentement exprès. Après un clic sur une annonce, OpenAI peut ajouter une référence pseudonyme (« oppref ») stockée dans un cookie first-party « __oppref ».

Si la correspondance avancée automatique est activée, les informations saisies dans les formulaires sont normalisées et hachées (SHA-256) dans votre navigateur avant transmission. Pour les abonnements payants confirmés, l'API Conversions d'OpenAI peut recevoir, avec votre consentement, les identifiants pseudonymes ainsi qu'un hachage SHA-256 de l'adresse e-mail et de l'identifiant interne — jamais en clair.

Base légale : votre consentement (§ 25, al. 1 TDDDG ; art. 6, par. 1, point a) RGPD).

4. Inscription et compte utilisateur

Pour les fonctions protégées, un compte est nécessaire. Nous traitons votre adresse e-mail, la langue choisie, des informations techniques de compte, le statut de l'abonnement et les contingents d'utilisation. L'authentification est assurée par Supabase ; nous n'avons jamais accès à votre mot de passe en clair. Base légale : art. 6, par. 1, point b) RGPD.

4a. Période d'essai gratuite et prévention des abus

Après confirmation de l'adresse e-mail, nous accordons une seule fois une période d'essai gratuite (actuellement 10 analyses, valables 7 jours). Nous traitons son début, sa fin et le nombre d'analyses utilisées (art. 6, par. 1, point b) RGPD).

Pour empêcher les inscriptions multiples, nous conservons une valeur de contrôle cryptographique (HMAC-SHA256) de l'adresse e-mail normalisée, inexploitable sans une clé secrète conservée uniquement sur nos serveurs. Base légale : art. 6, par. 1, point f) RGPD. Elle est conservée 12 mois, y compris après suppression du compte, puis supprimée automatiquement. Vous pouvez vous y opposer (art. 21 RGPD).

5. Données d'utilisation et de contingent

Nous traitons le nombre et la date des analyses, le mode d'analyse, le statut d'abonnement et les contingents restants, pour fournir le service, gérer les contingents et prévenir les abus (art. 6, par. 1, points b) et f) RGPD).

6. Documents téléversés et contenus saisis

Les contenus que vous téléversez ou saisissez sont traités pour produire l'analyse, le résumé ou la comparaison demandés.

Les fichiers téléversés sont supprimés dès la fin réussie de l'analyse ; en cas d'interruption, un nettoyage automatique les supprime au plus tard après 48 heures. Seul le rapport d'analyse reste enregistré (voir section 13). Les contenus que vous enregistrez expressément dans l'espace d'apprentissage restent jusqu'à leur suppression.

Base légale : art. 6, par. 1, point b) RGPD. Ne téléversez pas de documents dont le traitement est illicite ou pour lesquels vous n'êtes pas autorisé.

7. Analyse de documents assistée par IA

Pour réaliser l'analyse, les contenus fournis sont transmis au modèle Google Gemini utilisé par DocumentAnalyse et y sont traités pour produire le résultat demandé.

Le fournisseur est Google Ireland Limited ou Google LLC (États-Unis). Google agit en tant que sous-traitant pour l'utilisation payante de l'API et n'utilise pas les contenus pour entraîner ses modèles. Un traitement hors de l'UE n'est pas exclu ; il repose sur les garanties de la section 12.

Base légale : art. 6, par. 1, point b) RGPD. Les résultats sont générés automatiquement par IA ; aucune décision exclusivement automatisée produisant des effets juridiques à votre égard n'est prise.

8. Paiement via Stripe

Pour les abonnements payants, Stripe traite des données d'identification, de contact, de contrat, de paiement et de transaction. Les données de paiement complètes (numéros de carte) sont traitées directement par Stripe. Base légale : art. 6, par. 1, points b) et c) RGPD (obligations de conservation comptable).

9. E-mails transactionnels

Les e-mails nécessaires (confirmation de compte, gestion de l'abonnement, suppression du compte, rétractation, messages de sécurité) sont envoyés via Resend : adresse e-mail, contenu, date d'envoi et informations de remise. Base légale : art. 6, par. 1, points b) et f) RGPD.

10. Prise de contact

Si vous nous écrivez, nous traitons votre adresse e-mail, votre message et les informations fournies volontairement (art. 6, par. 1, point b) ou f) RGPD).

10a. Détection des abus et blocage de compte

Les saisies libres (instructions, questions, thèmes d'apprentissage) sont vérifiées automatiquement par des motifs de texte fixes, sans IA et sans analyse du contenu de vos documents, pour détecter les attaques connues contre les systèmes d'IA. En cas de détection, nous enregistrons la date, la fonction, le champ, le cas échéant le nom du fichier et un extrait de 300 caractères maximum, transmis à notre adresse interne pour évaluation humaine. L'analyse n'est pas interrompue et aucun blocage automatique n'a lieu.

En cas d'abus confirmé, un compte peut être bloqué manuellement ; la personne peut toujours consulter, exporter ou supprimer ses données. Base légale : art. 6, par. 1, point f) RGPD.

11. Destinataires et sous-traitants

Les données ne sont transmises que si cela est nécessaire au service, imposé par la loi ou autrement fondé juridiquement. Nos prestataires sont notamment :

Supabase (base de données et authentification, Francfort, UE) ;
Vercel (hébergement et fonctions serveur) ;
Google (API Gemini ou Google Cloud Vertex AI) pour l'analyse par IA ;
Google Ireland Ltd. pour le suivi des conversions Google Ads (avec consentement) ;
OpenAI Ireland Limited pour la mesure des conversions OpenAI Ads (avec consentement) ;
Stripe pour les paiements et abonnements ;
Resend pour les e-mails transactionnels ;
Rewardful Inc. (États-Unis) pour le programme partenaire (cookie uniquement avec consentement).

Pour les clients professionnels qui traitent des données de tiers, un contrat de sous-traitance (art. 28 RGPD) est disponible : contrat de sous-traitance (AVV) et liste des sous-traitants.

12. Transferts hors de l'Union européenne

Un traitement hors de l'Espace économique européen, notamment aux États-Unis, ne peut être exclu pour certains prestataires. Il n'a lieu que si les conditions des art. 44 et suivants RGPD sont remplies (décision d'adéquation, clauses contractuelles types ou autre garantie reconnue).

13. Durée de conservation

Données de compte : jusqu'à la suppression du compte.
Fichiers téléversés : supprimés immédiatement après une analyse réussie, au plus tard après 48 heures en cas d'interruption.
Rapports d'analyse (historique) : supprimés automatiquement 12 mois après leur création, sauf suppression antérieure par vous.
Contenus de l'espace d'apprentissage : jusqu'à leur suppression ou celle du compte.
Données contractuelles, de facturation et de paiement : selon les délais légaux de conservation commerciaux et fiscaux.
Données de sécurité et journaux : supprimés dès qu'ils ne sont plus nécessaires.

14. Suppression du compte

Vous pouvez supprimer votre compte depuis votre profil. Les données associées sont alors supprimées ou anonymisées, sauf obligations légales de conservation ou autres motifs légitimes. La valeur de contrôle décrite en 4a est conservée 12 mois. Les copies de sauvegarde techniques peuvent subsister jusqu'à leur écrasement régulier.

15. Vos droits

accès (art. 15 RGPD) ;
rectification (art. 16) ;
effacement (art. 17) ;
limitation du traitement (art. 18) ;
portabilité (art. 20) ;
opposition (art. 21) ;
retrait du consentement pour l'avenir (art. 7, par. 3).

Pour exercer vos droits : contact@documentanalyse.com

16. Droit de réclamation

Vous pouvez introduire une réclamation auprès d'une autorité de contrôle, notamment la Berliner Beauftragte für Datenschutz und Informationsfreiheit, ou la CNIL si vous résidez en France.

17. Modification de cette politique

Nous pouvons adapter cette politique en cas d'évolution des exigences légales, du traitement technique ou des services utilisés. La version publiée sur cette page fait foi.