Version projet (bêta) — document en cours de relecture juridique.
Politique de confidentialité
Dernière mise à jour : 2 novembre 2026
1. Responsable de traitement
ARTI.AI, SARL à associé unique, RCS Nice 929 771 772, 61 bis Corniche Fleurie 06200 Nice, éditrice du logiciel Arti AI, gérant Guillaume Dieulafait — contact : service.arti.ai@gmail.com. Pour les données que le Client saisit sur ses propres clients finaux, le Client est responsable de traitement et ARTI.AI agit comme sous-traitant (art. 28 RGPD).
2. Données traitées
- Compte : nom, identifiant, mot de passe (haché bcrypt), entreprise, métier.
- Données métier du Client : clients finaux, interventions, devis/factures, écritures bancaires, justificatifs, mails professionnels connectés par le Client.
- Techniques : journaux serveur (sécurité), journal des erreurs techniques, cookies strictement nécessaires (article 5) — pas de cookie publicitaire ni de traceur tiers.
- Notifications (seulement si l'utilisateur les active sur un appareil) : l'adresse d'abonnement fournie par le navigateur, le nom lisible de l'appareil (« iPhone », « Chrome sur Windows ») et les types de notifications choisis.
Aucune date de naissance ni donnée relative à l'âge n'est demandée : le Service est destiné à un usage professionnel, et l'inscription suppose la capacité juridique déclarée dans les CGU.
3. Finalités et bases légales
Fourniture du service (exécution du contrat) ; facturation (obligation légale) ; sécurité et prévention des abus (intérêt légitime). Aucune vente de données, aucune publicité ciblée.
4. Sous-traitants techniques
Hébergement et base de données dans l'Union européenne : Vercel (fonctions, région Dublin) et Turso (base, Dublin). Paiements : Stripe. Fonctions d'analyse (justificatifs, brouillons) : Anthropic — seules les données strictement nécessaires à la fonction sont transmises, sans conservation à des fins d'entraînement. Connexion mail : Google (OAuth, à l'initiative du Client).
Selon les fonctions que le Client active : connexion bancaire par Enable Banking (lecture des comptes et des opérations, avec l'accord donné par le Client auprès de sa banque) ; facturation électronique par SuperPDP ; notifications par le service de notification du navigateur ou du téléphone (Google, Apple, Mozilla), qui ne transmet qu'un message chiffré qu'il ne peut pas lire. Suivi des erreurs techniques : Sentry, sans adresse IP ni identité de l'utilisateur. Pour compléter un numéro SIRET ou une adresse, l'application interroge les services publics de l'État (annuaire des entreprises, Base Adresse Nationale).
4 bis. Données Google (connexion Gmail et fiche d'établissement)
La connexion d'une boîte Gmail ou d'une fiche d'établissement Google est toujours à l'initiative du Client, depuis Paramètres → Connexions. Pour la boîte mail, Arti AI demande les accès Google gmail.modify et userinfo.emailafin de : lire les messages et pièces jointes reçus, les trier et les rattacher aux dossiers (interventions, justificatifs), préparer des brouillons de réponse et envoyer les messages que le Client déclenche lui-même depuis l'application. Pour la fiche d'établissement, l'accès business.manage sert à lire les avis et y répondre.
L'utilisation et le transfert par Arti AI des informations reçues des API Google respectent la Google API Services User Data Policy, y compris ses exigences d'usage limité (« Limited Use ») : ces données servent uniquement à fournir les fonctions ci-dessus, visibles par le Client dans l'application ; elles ne sont ni vendues, ni utilisées pour de la publicité ou du profilage, ni transmises à des tiers en dehors des sous-traitants techniques de l'article 4 (hébergement en Union européenne, et Anthropic pour le tri, la lecture des pièces jointes et les brouillons, sans conservation à des fins d'entraînement). Personne chez ARTI.AI ne consulte ces données, sauf à la demande du Client (assistance), pour des raisons de sécurité ou sur obligation légale.
Ces règles valent pour les données brutes comme pour les données dérivées, agrégées ou anonymisées. Les données reçues des API Google ne servent jamais à développer, améliorer ou entraîner un modèle d'intelligence artificielle, généraliste ou non, ni chez ARTI.AI ni chez un sous-traitant.
The use of raw or derived user data received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. This data is not used to develop, improve or train generalized or non-generalized AI or ML models.
Le jeton d'accès Google est stocké chiffré, isolé par entreprise. Le Client peut déconnecter sa boîte à tout moment (Paramètres → Connexions) : le jeton est supprimé immédiatement et plus aucune lecture n'a lieu ; l'accès peut aussi être révoqué depuis le compte Google du Client. Les éléments déjà importés (objet, extrait, pièces jointes rattachées à un dossier) restent dans le compte du Client et sont supprimés avec lui à la clôture (article 7) ; le Client peut aussi en demander la suppression à tout moment en écrivant à service.arti.ai@gmail.com.
5. Cookies et stockage du navigateur
Arti AI n'utilise que des cookies indispensables au fonctionnement : le cookie de session, qui garde l'utilisateur connecté, et des cookies temporaires posés uniquement pendant la connexion d'un service externe que le Client choisit de relier (compte bancaire, boîte mail, fiche Google Business Profile, plateforme de facturation électronique), pour sécuriser le retour depuis ce service. Le navigateur garde aussi quelques préférences et brouillons (menu replié, position de l'assistante, saisie en cours non enregistrée). Aucun cookie de mesure d'audience, de publicité ou de réseau social : ces traceurs indispensables étant exemptés de consentement (article 82 de la loi Informatique et Libertés), aucun bandeau de cookies n'est affiché.
6. Sécurité
Les échanges avec l'application sont chiffrés (HTTPS). Les mots de passe sont hachés et ne sont jamais lisibles, y compris par ARTI.AI. Les jetons d'accès aux services connectés sont stockés chiffrés. Chaque espace entreprise est isolé des autres, et chaque membre ne voit que ce que l'administrateur lui permet. Le contenu des notifications est chiffré pour l'appareil destinataire.
7. Durées de conservation
Données du compte : durée de l'abonnement + 90 jours. Documents de facturation : 10 ans (obligation comptable). Journaux techniques : 12 mois. Un appareil inscrit aux notifications est retiré dès que l'utilisateur le supprime, ou quand le service de notification indique que l'abonnement a expiré.
8. Vos droits
Accès, rectification, effacement, portabilité, limitation et opposition : écrire à service.arti.ai@gmail.com. Réponse sous 30 jours. Réclamation possible auprès de la CNIL (cnil.fr).