Données personnelles

Pour la gestion de vos licences, vous êtes responsable du traitement et Mister IA est votre sous-traitant (article 28 du RGPD). Nous ne traitons vos données que sur vos instructions documentées : votre contrat, l’accord de sous-traitance qui l’accompagne, et vos demandes ultérieures.

Si nous estimons qu’une de vos instructions enfreint le RGPD, nous vous le disons — et nous pouvons en suspendre l’exécution jusqu’à ce que vous la confirmiez, la modifiiez ou la retiriez.

Selon les services que vous avez souscrits :

• Identité et coordonnées professionnelles : nom, prénom, email professionnel, téléphone professionnel, organisation, fonction.
• Données de compte, de licence et d’habilitation : identifiant, formule attribuée, rôle, niveau d’autorisation, statut, dates d’activation ou de suppression.
• Données d’usage : activation, volumes, taux d’adoption, coûts associés — pas le contenu de vos conversations.
• Données de connexion et de traçabilité : méthode d’authentification, adresses IP, journaux d’activité, opérations d’administration.
• Données de support : vos demandes et ce qu’il faut pour les résoudre.

Vos contenus IA — prompts, conversations, fichiers téléversés, documents analysés, résultats générés — ne sont pas consultés dans le cadre de l’administration courante de votre espace.

Nous n’y accédons que dans quatre cas, tous à votre initiative :

• vous nous y avez autorisés ;
• vous nous le demandez expressément ;
• vous nous les transmettez vous-même, par exemple dans un ticket de support ;
• une prestation que vous avez commandée l’exige.

Nous ne réutilisons jamais vos données pour notre propre compte : ni statistiques internes, ni amélioration de nos outils, ni entraînement, ni test. Toute réutilisation supposerait un accord écrit entre nous.

Lorsque la solution le permet, nous configurons les paramètres qui désactivent l’utilisation de vos données pour l’entraînement des modèles. Cette mesure dépend des réglages réellement disponibles chez l’éditeur et des conditions contractuelles applicables — c’est pour cela qu’elle est encadrée par un accord signé plutôt que par une case à cocher que personne ne rouvrira.

De notre côté :

• authentification multifacteur lorsqu’elle est disponible ;
• accès aux consoles clients limité à l’équipe de gestion des licences ;
• principe du moindre privilège sur toutes les autorisations ;
• pratique opérationnelle de gestion des incidents.

Sur vos espaces, quand la solution le permet, nous configurons :

• l’authentification unique (SSO) et le provisioning SCIM ;
• les durées de rétention ;
• les rôles et permissions ;
• la restriction des connecteurs et serveurs MCP autorisés, et la désactivation des connecteurs par défaut sauf demande contraire ;
• la désactivation des évaluations utilisateurs et des métadonnées de localisation.

Nous faisons appel aux prestataires ci-dessous. Vous disposez de 15 jours pour vous opposer à tout ajout ou remplacement, à compter de notre information.

Chacun est lié par un contrat lui imposant, en substance, les mêmes obligations que celles que nous acceptons envers vous. S’il manque à ses obligations, nous en restons pleinement responsables devant vous.

Certains prestataires sont établis hors de l’Union. Ces transferts sont encadrés conformément au chapitre V du RGPD, soit par une décision d’adéquation, soit par les clauses contractuelles types de la Commission européenne — modules « responsable du traitement vers sous-traitant » et « sous-traitant vers sous-traitant » selon le cas.

• OpenAI : ISO/IEC 27001:2022, 27701:2019, 27017, 27018, ISO/IEC 42001:2023 et rapports SOC 2 Type 2. trust.openai.com
• Anthropic : programme de sécurité évalué chaque année par des auditeurs tiers indépendants, tests d’intrusion annuels, chiffrement AES-256 au repos et TLS 1.2+ en transit. trust.anthropic.com

Ces certifications sont celles des éditeurs, pas les nôtres : nous n’en portons aucune à ce jour, et nous préférons le dire.

À la cessation des services, et selon votre choix, nous supprimons toutes les données personnelles traitées pour votre compte et vous le certifions, ou nous vous les restituons et détruisons les copies — sauf obligation légale de conservation.

Le diagnostic en ligne se calcule dans votre navigateur : nous ne voyons ni vos réponses ni votre passage, et le lien que vous copiez ne contient que vos choix.

La mesure d’audience, lorsqu’elle est activée, est assurée par une solution sans cookie ni identifiant persistant — d’où l’absence de bandeau de consentement sur ce site.

Si vous nous laissez votre adresse email, elle sert à vous envoyer ce que vous avez demandé et nos publications. Un lien de désinscription figure dans chaque message.

Les personnes concernées exercent leurs droits (accès, rectification, effacement, limitation, opposition, portabilité) auprès du responsable du traitement, c’est-à-dire auprès de votre organisation. Si une demande nous parvient directement, nous la transmettons sans délai et nous vous assistons pour y répondre.

Pour toute question relative à la protection des données — y compris une demande d’assistance, une violation de données ou une question sur nos sous-traitants : privacy@mister-ia.com

MISTER IA Entreprise — 128 rue La Boétie, 75008 Paris. RCS Paris 938 949 054.

Vous pouvez également introduire une réclamation auprès de la CNIL — cnil.fr.