Politique de confidentialité

MiningCopilot est un service de questions-réponses documentaires exploité par Gisande Group, SAS (RCS 104 607 379 R.C.S. Rouen ; EUID FR7608.104607379), dont le siège social est situé Domaine du Cailly, 76230 Quincampoix, France. Pour toute question relative à la confidentialité ou pour joindre notre contact protection des données : contact@miningcopilot.eu.

Pour les documents qu’un client téléverse, l’organisation cliente est responsable de traitement et nous agissons en qualité de sous-traitant, ne traitant ce contenu que pour fournir le service et sur instructions documentées du client (définies dans l’accord de traitement des données).

Pour les données de compte et d’authentification (votre email, vos identifiants de connexion, votre appartenance à une organisation), nous sommes responsables de traitement.

Données de compte : email, identifiants d’authentification et appartenance à une organisation.

Contenu client : les documents que vous téléversez et les données personnelles qu’ils contiennent, les fragments de texte et vecteurs qui en sont dérivés, et les questions que vous posez.

Données opérationnelles : compteurs de limitation de débit et de dépense, métadonnées des travaux d’ingestion, et télémétrie de qualité des réponses (issues et nombre de citations) — indexées par identifiants uniquement, jamais par du contenu documentaire.

Un journal d’audit en ajout seul des actions sensibles pour la sécurité (action, auteur, cible, horodatage) — sans contenu documentaire.

Pour fournir, sécuriser et maintenir le service (exécution de notre contrat). Pour prévenir les abus, faire respecter les limites d’usage et maintenir le service disponible et sûr (nos intérêts légitimes, mis en balance avec vos droits).

Nous n’utilisons pas vos documents pour entraîner un modèle d’IA — ni le nôtre, ni celui d’un fournisseur.

Nous recourons à un nombre restreint de sous-traitants pour exploiter le service : Supabase (hébergement, base de données, authentification, stockage), Vercel (hébergement applicatif, ainsi que la mesure d’audience sans cookie via Web Analytics et Speed Insights), Anthropic (génération des réponses et OCR), OpenAI (vecteurs) et Upstash (compteurs de débit/dépense et file de traitement). Chacun est lié par des clauses de protection des données équivalentes aux nôtres. La liste à jour, avec les rôles et les régions, est disponible sur demande et fait partie du DPA ; nous notifions toute évolution substantielle.

La résidence des données est configurable par client et précisée dans le DPA de chaque client — il ne s’agit pas d’une garantie générale attachée au produit. Ce qui est configurable, et ce qui ne l’est pas, énoncé précisément : l’hébergement et le stockage des documents peuvent être situés dans l’Union européenne (régions Supabase et Vercel), et la génération des plongements (embeddings) peut être routée vers un point d’accès UE. La génération des réponses et l’OCR s’exécutent sur l’API d’Anthropic, qui ne propose pas à ce jour de région de traitement européenne : ces appels sont traités hors EEE, et nous ne prétendons pas le contraire. Pour ceux-ci, nous nous appuyons sur une absence totale de conservation des données au titre d’un accord au niveau du compte, de sorte qu’aucun contenu de requête ou de document n’est conservé par ce prestataire. Tout transfert hors EEE est encadré par des garanties appropriées (par exemple les clauses contractuelles types).

Les documents et leurs données dérivées sont conservés jusqu’à ce que vous supprimiez le document ou effaciez votre organisation. Les données de compte sont conservées pendant la durée de vie du compte. Les compteurs opérationnels expirent sous environ deux jours et la télémétrie de qualité des réponses sous environ 35 jours. Les enregistrements d’audit sont conservés pendant la durée de vie de l’organisation. La suppression et l’effacement retirent les fichiers stockés, toutes les données dérivées et, en cas d’effacement de compte, le compte et l’adresse email.

Sous réserve du droit applicable, vous pouvez demander l’accès, la rectification, l’effacement, la limitation, la portabilité et exercer un droit d’opposition. Vous pouvez effacer vous-même votre organisation et votre compte dans Paramètres → Données et confidentialité, ou écrire à contact@miningcopilot.eu pour toute demande, un export de données ou une copie de notre DPA. Vous pouvez également introduire une réclamation auprès de votre autorité de contrôle (en France, la CNIL).

Les données de chaque organisation sont isolées de celles de toute autre au niveau de la base de données (sécurité au niveau des lignes), avec une vérification continue. Les fichiers sont stockés de façon privée et servis uniquement par des liens autorisés à durée de vie courte. Les données sont chiffrées en transit. Notre journalisation est conçue pour ne jamais enregistrer de contenu documentaire.

Le site public ne dépose aucun cookie. Rien n’est stocké sur votre appareil tant que vous ne vous êtes pas connecté, et nous n’utilisons aucun cookie publicitaire, aucun traceur tiers et aucun suivi inter-sites.

Une fois connecté, nous ne stockons que ce dont l’espace de travail a besoin pour fonctionner : votre session d’authentification, l’organisation dans laquelle vous travaillez, et quelques préférences d’interface. Tout cela est strictement nécessaire au service que vous avez demandé — c’est pourquoi aucun bandeau de consentement n’est requis au titre de la directive ePrivacy et de la doctrine de la CNIL. Vous avez néanmoins le droit de savoir exactement ce qui est stocké : la liste figure ci-dessous.

La mesure d’audience repose sur Vercel Web Analytics et Speed Insights, qui fonctionnent sans cookie : rien n’est déposé sur votre appareil et aucun profil inter-sites n’est constitué.

Nous pouvons mettre à jour cette politique ; toute modification substantielle sera notifiée. Questions ou demandes : contact@miningcopilot.eu.