Politique de confidentialité

1. Responsable et contact

Le responsable des traitements est Alexy Jose Da Cruz, entrepreneur individuel sous le nom commercial GEOMTECH, SIREN 910 463 728, 14 rue Georges Jacques Danton, 91260 Juvisy-sur-Orge, France. Pour toute question sur vos données, utilisez le formulaire de contact GeomTech ou écrivez à cette adresse. Le formulaire est hébergé sur le site GeomTech, qui dispose de sa propre information de confidentialité.

2. Données et raisons de leur utilisation

• Compte et accès : adresse e-mail, identifiant, mot de passe sous forme hachée, vérification et sessions, pour créer le compte, vous authentifier et envoyer les courriels transactionnels. Base : exécution du service demandé (article 6.1.b du RGPD).
• Crédits et paiement : montants, taxes, références Stripe, lots et échéances des crédits, opérations et consommation IA, pour exécuter les achats et les fonctions payantes (article 6.1.b) ; pièces comptables requises par la loi (article 6.1.c). Stripe collecte directement les données de paiement et de facturation. Navigant ne reçoit pas le numéro complet de carte.
• Synchronisation des ressources : identifiant, nom, adresses et paramètres de configuration des ressources en ligne rattachées à votre compte, afin de les retrouver entre vos appareils (article 6.1.b). Les mots de passe, cookies de session et jetons d’authentification des sources sont exclus de cette synchronisation ; les adresses de ressources peuvent néanmoins révéler des informations sur vos services ou votre organisation.
• IA distante : messages, requêtes, extraits ou documents nécessaires à la fonction demandée, identifiant d’usage pseudonymisé, modèle et volumes traités, pour produire la réponse et calculer la consommation (article 6.1.b).
• Réseau et sécurité : adresse IP, informations de requête, horodatages, données techniques et compteurs de débit, pour acheminer le trafic, prévenir les abus et diagnostiquer les incidents. Base : intérêt légitime à assurer un service disponible et sécurisé (article 6.1.f), avec limitation des accès et pseudonymisation des IP dans le limiteur applicatif.
• Demandes et réclamations : coordonnées et contenu de vos échanges pour vous répondre, gérer le contrat ou exercer vos droits, selon l’objet de votre demande (articles 6.1.b, 6.1.c ou 6.1.f).

L’e-mail, le mot de passe et la vérification sont nécessaires au compte ; les informations de paiement et de facturation sont nécessaires à l’achat. Sans ces données, les fonctions correspondantes ne peuvent pas être fournies. Le compte n’est pas nécessaire pour les fonctions purement locales. Vous choisissez vos sources et le contenu des demandes IA ; évitez d’envoyer des données personnelles inutiles ou des informations sensibles concernant des tiers.

3. Données locales, sources et connecteurs

Les PDF, leurs index et l’historique local sont conservés sur votre appareil. L’inférence IA locale s’exécute sur celui-ci. Une analyse IA distante transmet en revanche les éléments nécessaires que vous lui confiez, y compris des extraits de PDF. Le téléchargement de modèles et l’accès aux sources nécessitent des connexions aux services concernés.

Vous choisissez les sites, comptes et connecteurs que vous activez. Une recherche transmet la requête et les données techniques nécessaires à la source sélectionnée ; une source authentifiée reçoit les informations nécessaires à votre connexion. Chaque service applique sa propre politique. La présence d’un service dans le catalogue ne signifie pas que votre compte Navigant lui est communiqué automatiquement.

La synchronisation du compte porte sur les configurations de ressources en ligne, et ne constitue pas une sauvegarde de vos PDF ou de votre historique local. Les configurations synchronisées restent liées à votre compte jusqu’à sa fermeture ou à leur effacement effectif ; supprimer une ressource sur un appareil ne garantit pas à lui seul son effacement du serveur. Vous pouvez demander cet effacement à GeomTech.

4. Prestataires et IA distante

• PulseHeberg, société française : hébergement du site, de l’API et des données de compte.
• Cloudflare : DNS, proxy/CDN et protection du trafic ; son réseau traite notamment les adresses IP et les requêtes.
• Amazon Web Services SES : courriels de vérification et avertissements d’inactivité, service configuré dans la région Paris (eu-west-3).
• Stripe : paiement, fiscalité et facturation, avec les données que vous saisissez dans le parcours de paiement. Stripe peut aussi agir comme responsable de traitement pour ses obligations propres, notamment réglementaires et de prévention de la fraude.
• OpenRouter : passerelle IA ; Microsoft Azure : fournisseur d’inférence autorisé par la configuration actuelle.
• Exa : moteur de recherche web utilisé via OpenRouter lorsque cette fonction est demandée.

Les appels d’inférence distante imposent actuellement Azure, sans repli vers un autre fournisseur, avec des paramètres exigeant la non-conservation du contenu des requêtes (« ZDR ») et refusant la collecte par les fournisseurs. Cela ne signifie pas qu’aucune métadonnée de sécurité, d’usage ou de facturation n’est traitée. Les outils de recherche web ont leurs propres règles de conservation : la garantie ZDR de l’inférence ne leur est pas automatiquement étendue.

Seul le contenu nécessaire à l’opération est destiné aux prestataires correspondants. L’accès administratif aux données est limité aux besoins d’exploitation et d’assistance. Des autorités ou conseils peuvent recevoir les informations nécessaires lorsqu’une obligation légale ou la défense de droits le justifie. GeomTech ne vend pas vos données personnelles et ne les utilise pas pour de la publicité ciblée.

5. Traitements hors Espace économique européen

L’utilisation d’un hébergeur français ne rend pas tous les traitements européens. Le réseau mondial de Cloudflare et les services AWS, Stripe, OpenRouter, Azure et Exa peuvent impliquer des traitements ou accès hors EEE, notamment aux États-Unis. Les appels OpenRouter utilisent actuellement l’API mondiale, sans garantie de résidence européenne du contenu.

Les cadres contractuels publiés par ces prestataires prévoient, selon le service et le rôle exercé, des accords de traitement et des garanties de transfert telles que les clauses contractuelles types de la Commission européenne. Les conditions OpenRouter incorporent un accord de traitement pour les usages commerciaux ; celui-ci prévoit notamment les clauses types UE et encadre les sous-traitants ultérieurs. Cloudflare publie également son accord de traitement. Ces textes ne constituent pas une promesse d’hébergement exclusivement européen.

Vous pouvez demander à GeomTech les informations sur les garanties applicables à vos données et une copie des clauses pertinentes, sous réserve de protéger les informations confidentielles. Les modalités contractuelles et les transferts ultérieurs doivent être appréciés pour chaque service ; les paramètres ZDR ne remplacent pas les garanties juridiques requises.

6. Conservation et suppression

• Jetons de vérification : validité de 30 minutes ; purge quotidienne après expiration.
• Sessions : validité de 30 jours ; suppression à la déconnexion ou lors de la purge quotidienne après expiration.
• Inscriptions non vérifiées : suppression après 30 jours.
• Compte vérifié, opérations et ressources synchronisées : pendant la relation de service ; suppression sur demande de fermeture. Après trois ans d’inactivité, une fermeture peut intervenir avec avertissement au moins 30 jours avant ; un solde à régulariser peut différer cette fermeture. Un paiement récent peut nécessiter un rapprochement préalable.
• Crédits : validité de 365 jours après le paiement ; l’expiration des crédits ne supprime pas à elle seule l’historique du compte.
• Limitation de débit : IP pseudonymisées et compteurs purgés quotidiennement lorsqu’ils dépassent 24 heures.
• Journaux du serveur web : rotation quotidienne, 14 archives conservées ; cette règle est distincte des journaux applicatifs et de ceux des prestataires.
• Pièces comptables : durée légale applicable, notamment dix ans à compter de la clôture de l’exercice pour les pièces concernées. Les obligations propres de Stripe subsistent indépendamment de la fermeture du compte Navigant.
• Demandes, litiges et sécurité : temps nécessaire au traitement de la demande ou de l’incident, puis uniquement les éléments nécessaires pendant les délais de prescription ou les obligations légales applicables.

Les journaux opérationnels et sauvegardes des prestataires suivent des cycles distincts selon les services, leurs obligations et leurs paramètres. Aucune durée unique de 30 jours n’est garantie pour l’ensemble de ces systèmes. La fermeture du compte déclenche l’effacement dans la base active de Navigant ; elle ne signifie pas un effacement instantané des justificatifs légalement conservés ou de toutes les copies techniques des prestataires. Contactez GeomTech pour une demande portant sur ces données.

Dans « Crédits IA », un export fournit les informations de compte, les opérations et les échéances de crédits. Il ne comprend actuellement ni les fichiers locaux ni les configurations de ressources synchronisées ; celles-ci peuvent être obtenues par une demande d’accès auprès de GeomTech.

7. Stockage sur votre appareil et sécurité

Le site Navigant n’intègre ni publicité ciblée ni mesure d’audience. Il mémorise le thème dans le stockage local du navigateur jusqu’à ce que vous l’effaciez. Les cookies ou mécanismes nécessaires au paiement, à la protection réseau et aux connexions aux sources relèvent des services correspondants. Le formulaire externe GeomTech est décrit dans sa propre politique.

Les échanges avec l’API utilisent HTTPS, les mots de passe sont hachés et les jetons de session sont protégés côté serveur. L’application conserve les données locales nécessaires à son fonctionnement. La sécurité dépend également de celle de votre appareil et de vos identifiants ; ne transmettez pas de mot de passe dans une demande d’assistance.

8. Vos droits

Vous pouvez demander l’accès, la rectification, l’effacement, la limitation et, dans les conditions prévues par le RGPD, la portabilité de vos données. Vous pouvez vous opposer aux traitements fondés sur l’intérêt légitime pour des raisons tenant à votre situation particulière. Si un traitement repose sur votre consentement, vous pouvez le retirer à tout moment sans remettre en cause les traitements antérieurs. GeomTech ne prend pas de décision exclusivement automatisée produisant des effets juridiques ou similaires significatifs à votre égard ; les réponses IA sont fournies à titre d’aide à la recherche.

Adressez votre demande par le formulaire GeomTech ou par courrier à l’adresse de la section 1, en indiquant l’e-mail du compte et le droit exercé. Une vérification proportionnée d’identité peut être demandée en cas de doute raisonnable. Vous recevrez une réponse dans le délai d’un mois ; une prolongation de deux mois supplémentaires peut être nécessaire pour une demande complexe, auquel cas vous en serez informé avec les motifs dans le premier mois.

Certains éléments peuvent être conservés pour respecter une obligation légale ou défendre des droits. Vous pouvez déposer une réclamation auprès de la CNIL, sans être tenu de nous contacter préalablement.

9. Évolution de cette politique

La date en haut de page identifie la version publiée. Les changements substantiels concernant les finalités, les destinataires ou vos droits feront l’objet d’une information adaptée avant leur mise en œuvre lorsque la loi l’exige. Consultez également les conditions d’utilisation pour les achats et la fermeture du compte.