Politique de confidentialité

1. Qui sommes-nous ?

Le Service et le site brainattic.ai sont exploités par Finite Software Systems Ltd. (en bulgare : ФИНИТ Софтуер Системс ЕООД) (« FSS », « nous », « notre »), fournisseur du produit brainattic.

• Siège social : 4 Gorotzvet Street, Sofia, Bulgarie
• Numéro d’entreprise (ЕИК) : 175276896 · TVA : BG175276896
• Contact confidentialité : privacy@brainattic.ai
• Délégué à la protection des données : aucun délégué n’a été désigné, cette désignation n’étant pas requise à notre échelle ; les demandes relatives à la confidentialité sont traitées via le contact ci-dessus.
• Autorité de contrôle : Commission for Personal Data Protection (CPDP), Sofia, Bulgarie — www.cpdp.bg

2. Champ d’application

La présente politique couvre (a) le site brainattic.ai et ses interfaces publiques de contact et d’inscription et (b) le Service brainattic — l’application web de base de connaissances et le connecteur qui l’expose aux clients IA au moyen du Model Context Protocol (MCP). brainattic est un service interentreprises destiné aux organisations et à leurs utilisateurs autorisés âgés d’au moins 18 ans. Il ne s’adresse ni aux consommateurs ni aux enfants.

3. Responsable du traitement et sous-traitant — qui décide de quoi

Cette distinction est importante, car elle détermine qui est responsable de quelles données :

• Contenu client et enregistrements du Service créés sur instruction du Client — documents, pièces jointes, requêtes de recherche, rappels et entrées d’audit dans le produit créés par l’utilisation de brainattic par votre organisation, y compris les données à caractère personnel que vous choisissez d’y inclure. Dans ce cadre, votre organisation est le responsable du traitement et FSS est un sous-traitant agissant sur instructions documentées. Ce traitement est régi par notre Accord de traitement des données.
• Données de compte, d’identité, d’authentification, de contrôle d’accès, d’acceptation contractuelle, de site web, d’assistance, de marketing et de sécurité opérationnelle — décrites ci-dessous. Dans ce cadre, FSS est le responsable du traitement, car FSS détermine pourquoi et comment ces données sont utilisées pour exploiter, sécuriser, administrer et assister le Service.

4. Données que nous traitons

Données de compte et d’identité (FSS en qualité de responsable du traitement). Nom, adresse e-mail professionnelle, organisation, mot de passe haché de manière sécurisée lorsque vous en définissez un, identifiants de compte du fournisseur et informations d’identité renvoyées par un fournisseur de connexion, telles que le nom, l’adresse e-mail et le statut de vérification de l’adresse e-mail, appartenance et rôle dans un espace de travail, ainsi que jetons OAuth et de session utilisés pour vous authentifier et vous autoriser.

Contenu client (FSS en qualité de sous-traitant). Documents, pièces jointes, représentations vectorielles dérivées du contenu, requêtes de recherche (pour chaque recherche : le texte de la requête, jusqu’à 500 caractères, l’identifiant du compte qui effectue la recherche, le mode de recherche, le nombre de résultats, les filtres de projet ou de groupe que vous avez appliqués, ainsi que des données de durée et de diagnostic sur la manière dont la recherche a été servie), rappels, brouillons de sessions d’édition (une copie de travail du document que votre client IA modifie, conservée avec l’identifiant du compte qui édite pendant une courte période après la validation ou l’abandon de la modification) et entrées d’audit dans le produit, chacune consignant l’identifiant et le rôle du compte agissant dans l’espace de travail, l’identifiant du client OAuth par lequel l’action est passée via le connecteur et l’identifiant de corrélation de la requête — ainsi que les données à caractère personnel que votre organisation choisit d’y inclure. Lorsque vous connectez un client IA, le connecteur renvoie à ce client le contenu de la base de connaissances dont vous demandez la récupération — corps des documents, passages, versions, documents de règles et fichiers joints, les noms et descriptions des projets et groupes qui les organisent, les différences entre deux versions d’un document et le passage dont votre client a demandé le remplacement lorsqu’une modification ne peut pas être appliquée — accompagné des données de réponse du connecteur décrites ci-dessous.

Données de réponse du connecteur (FSS en qualité de sous-traitant). Outre le contenu, les réponses du connecteur comportent : les identifiants d’enregistrement des objets que vous manipulez (identifiants de document, de version, de pièce jointe, de session d’édition, de rappel et de planification) ; les noms, noms courts (slugs) et liens qui situent un contenu dans votre espace de travail (slugs d’espace de travail, de projet, de groupe et de document, permaliens, numéros de version, position d’un passage extrait dans son document et indication qu’un extrait renvoyé est une vue abrégée du document dont il provient) ; les horodatages de dernière modification, d’archivage, de date du document, d’échéance, d’expiration, de début de planification et de prochaine exécution, de version et de remise ; les métadonnées de fichier (nom, type, taille) des pièces jointes ; les signaux de pertinence des résultats de recherche (un score relatif, le canal de correspondance et un niveau de confiance pour l’extraction de passages) ; des comptages et des tailles (documents d’un projet ou d’un groupe, destinataires d’un rappel, nombre total de correspondances, taille en octets d’une version et, en cas de refus, le nombre d’espaces de travail auxquels votre jeton donne droit ou la limite dépassée par l’appel) ; l’état d’un objet après un appel (créé, mis à jour, archivé, rattaché, détaché, lié, délié, abandonné, repris, supprimé, le fait qu’une écriture ait ou non modifié quelque chose, le fait qu’une planification soit active, les canaux de remise utilisés par un rappel, un statut de rappel ou de remise et, lorsqu’une remise a échoué, le motif consigné, un niveau ou une portée de règle) ainsi que les préférences d’affichage définies dans votre espace de travail pour un projet ou un groupe (épinglé au menu, masqué) ; un lien de téléchargement de courte durée pour une pièce jointe, uniquement lorsque votre client le demande ; et, lorsqu’un appel échoue, un code de référence d’erreur que vous pouvez citer à l’assistance, avec le champ, l’outil ou l’autorisation que le refus désigne et — lorsque le refus est lié aux politiques — le lien vers la page d’acceptation, les versions de l’ensemble de politiques et des documents, ainsi que la date de leur entrée en vigueur.

Événements d’accès MCP (FSS en qualité de sous-traitant ; FSS en qualité de responsable du traitement à des fins de sécurité). Chaque appel du connecteur qui touche votre base de connaissances — y compris les lectures — et chaque lecture d’une ressource de règles enregistre le nom de l’outil ou de la ressource, l’autorisation vérifiée, la décision (autorisé, refusé ou en échec), l’identifiant de votre compte, l’identifiant du client OAuth de votre client IA, l’identifiant du jeton d’accès utilisé (et non le jeton lui-même), l’identifiant de corrélation transmis par votre client et l’heure. Les administrateurs de votre organisation peuvent consulter ces événements, désactiver ou restreindre cet enregistrement, définir la durée de conservation dans la plage indiquée à l’article 10 et, s’ils le souhaitent, conserver les portées et attributs du jeton avec chaque événement.

Données d’envoi des rappels (FSS en qualité de sous-traitant). Le contenu et la destination nécessaires au canal activé par votre organisation : une adresse e-mail, un identifiant de membre Slack ou un numéro de téléphone mobile.

Preuves contractuelles et d’inscription (FSS en qualité de responsable du traitement). Nom de l’entreprise ou de l’espace de travail, ensemble de politiques, versions des documents et empreintes de contenu qui vous ont été présentés, langue, heure et source de l’acceptation, ainsi que des métadonnées limitées de la requête, telles que l’adresse IP, l’agent utilisateur et l’identifiant de requête ou de corrélation. Nous utilisons ces preuves pour établir et administrer la relation client et démontrer ce qui a été accepté.

Données techniques et de sécurité (FSS en qualité de responsable du traitement). Adresse IP, horodatages, point de terminaison ou requête et statut, identifiant de corrélation, ainsi que métadonnées élémentaires relatives à l’appareil et au navigateur dans les journaux opérationnels et de sécurité. Nous les utilisons pour assurer la fiabilité du Service, enquêter sur les abus et protéger les organisations. Les journaux opérationnels peuvent également contenir un code de référence d’erreur et, en cas de défaillance inattendue, le texte de l’erreur, qui peut inclure du texte envoyé par votre client.

Données du site web, de l’assistance et du marketing (FSS en qualité de responsable du traitement). Informations que vous transmettez par le formulaire de pilote ou de contact, le processus d’inscription ou une demande d’assistance, telles que l’adresse e-mail professionnelle, le nom de l’entreprise ou de l’espace de travail, le client concerné et la description prudente que vous fournissez.

Données d’acquisition et de campagne (FSS en qualité de responsable du traitement). Si vous consentez au stockage facultatif de l’attribution d’acquisition, nous pouvons enregistrer la première source de campagne autorisée associée à votre parcours sur le site public et lors de l’inscription : utm_source, utm_medium, utm_campaign, utm_content, utm_term, le chemin de la page d’arrivée sans sa chaîne de requête, l’origine du site référent (schéma et hôte uniquement), un identifiant de clic Meta dérivé de fbclid et un identifiant publicitaire de clic LinkedIn de première partie dérivé de li_fat_id, lorsqu’ils sont présents. Nous ne conservons pas de chaînes de requête complètes ou non limitées. Les identifiants publicitaires de clic ne sont collectés qu’après consentement. Nous conservons la première source au lieu de l’écraser lors de visites ultérieures et utilisons cet enregistrement pour mesurer nous-mêmes l’acquisition et les étapes ultérieures.

Enregistrements du parcours d’acquisition et de la relation commerciale (FSS en qualité de responsable du traitement). Nous enregistrons un ensemble limité d’étapes produit et commerciales, notamment l’inscription, la connexion et l’utilisation réussies de MCP, l’activation, la qualification commerciale, le paiement et le maintien d’utilisation à 7 ou 30 jours, avec l’instantané immuable de la première source, le statut commercial géré par le personnel de FSS et l’identifiant du compte de l’utilisateur dont l’action a produit l’étape ou l’enregistrement d’activité. Ces enregistrements ne contiennent pas de Contenu client et servent à comprendre si une acquisition aboutit à une relation activée ou commerciale.

Données d’envoi des conversions publicitaires (FSS en qualité de responsable du traitement). Si vous y consentez séparément, nous pouvons envoyer des données de conversion limitées à Meta Platforms Ireland Limited et/ou LinkedIn Ireland Unlimited Company, selon la source de la campagne et la plateforme publicitaire à laquelle votre consentement s’applique. Les données sont limitées à l’identifiant de clic de la plateforme concernée, au nom et à l’horodatage de l’événement, ainsi qu’à un identifiant pseudonyme de déduplication. Uniquement pour PaidWorkspace, lorsqu’une valeur contractuelle est enregistrée et que l’envoi de cette valeur à la plateforme est activé, nous pouvons également envoyer cette valeur et sa devise. Les seuls événements admissibles sont ActivatedWorkspace, CommerciallyQualifiedWorkspace, PaidWorkspace et, lorsqu’il est activé, RetainedWorkspace30d. À cette fin, nous n’envoyons ni adresse e-mail, ni numéro de téléphone, ni nom, ni nom d’entreprise, ni adresse IP, ni agent utilisateur, ni Contenu client, ni document, ni instruction, ni texte de recherche, ni identifiant interne non limité.

Données de sécurité reCAPTCHA (FSS en qualité de responsable du traitement ; Google en qualité de sous-traitant). Google reCAPTCHA protège le formulaire public de contact et, lorsqu’il est affiché, le formulaire public d’auto-inscription contre le spam, la fraude et les abus. Il traite l’adresse IP, les signaux de l’appareil, du navigateur ou de l’application, les signaux d’interaction et un jeton de vérification de courte durée. Google Cloud EMEA Limited traite ces données pour le compte de FSS. Il s’agit de données de sécurité du site web et des comptes contrôlées par FSS, et non de Données personnelles du Client traitées sur instruction d’un Client.

Cookies et technologies de sécurité. Nous utilisons des cookies de session et CSRF strictement nécessaires, ainsi que le cookie de sécurité _GRECAPTCHA de Google reCAPTCHA. Si vous y consentez, nous utilisons également un stockage facultatif de première partie dans le navigateur afin de conserver la première source d’acquisition et les identifiants publicitaires de clic pris en charge pendant le parcours en cours sur le site public et lors de l’inscription. Nous n’installons ni Meta Pixel, ni code LinkedIn Insight Tag, ni aucun autre environnement d’exécution tiers de publicité, d’analyse ou de suivi comportemental sur le site. Consultez la Déclaration relative aux cookies.

Ce que nous ne collectons pas. Nous ne demandons ni ne stockons le contenu plus large de vos conversations ou instructions adressées à une IA. Lorsque vous utilisez brainattic par l’intermédiaire d’un client IA, le connecteur reçoit uniquement les données nécessaires à l’action demandée et renvoie un résultat limité à votre organisation. Nous n’ingérons pas le reste de votre historique de discussion, les transcriptions ni votre localisation précise.

5. Traitement des données par le connecteur

brainattic expose des outils MCP qui lisent et écrivent dans votre base de connaissances selon vos instructions. Chaque outil traite uniquement les données nécessaires à l’appel concerné et renvoie le contenu demandé ainsi que les données de réponse du connecteur décrites à l’article 4. Les résultats sont renvoyés à votre client IA sous deux formes équivalentes — sous forme de données structurées et sous forme de rendu textuel des mêmes données — afin que les clients qui ne lisent qu’une seule forme reçoivent malgré tout le résultat. Chaque appel qui touche votre base de connaissances enregistre un événement d’accès MCP (article 4) ; une recherche enregistre en outre une entrée dans le journal des recherches ; une écriture enregistre en outre une entrée d’audit dans le produit. Les outils sont soumis aux autorisations, limités à l’organisation et paginés ; les actions d’écriture sont explicites ; les liens de téléchargement des pièces jointes et le corps des documents dans les confirmations d’écriture ne sont renvoyés que lorsque votre client le demande. Un Utilisateur autorisé qui n’a pas accepté une version substantielle requise des politiques se voit opposer un refus dont l’erreur indique la page d’acceptation, et ce refus n’enregistre rien.

6. Finalités du traitement et bases juridiques (article 6 du RGPD)

Nous ne vendons pas de données à caractère personnel, n’utilisons pas le Contenu client à des fins publicitaires, ne créons pas de profils publicitaires comportementaux dans brainattic et ne prenons pas de décisions automatisées d’éligibilité. Si vous y consentez, des événements de conversion limités peuvent être envoyés à Meta et/ou LinkedIn aux fins d’attribution, de mesure, de personnalisation et d’optimisation des publicités de FSS. Le destinataire peut mettre en correspondance et utiliser ces événements conformément à ses conditions applicables en matière de publicité et de protection des données. FSS n’envoie à cette fin ni Contenu client, ni adresse e-mail, ni numéro de téléphone, ni nom, ni nom d’entreprise, ni adresse IP, ni agent utilisateur.

7. Modèles et clients d’IA

brainattic n’envoie pas le Contenu client à un modèle d’IA tiers. Le client IA que vous choisissez, tel que Claude, ChatGPT ou Mistral, se connecte à brainattic en tant que votre client. Votre utilisation de cette IA est régie par votre relation avec son fournisseur. Pour cette finalité, ce fournisseur n’est pas notre Sous-traitant, et nous ne sommes pas le sien. Le client peut recevoir le contenu que vous demandez à brainattic de retourner.

8. Autres parties concernées

Le Service principal est auto-hébergé sur une infrastructure contrôlée par FSS dans l’Union européenne, y compris le stockage des documents, la recherche et les représentations vectorielles, l’e-mail et le serveur d’autorisation de FSS. Les parties externes suivantes peuvent intervenir :

Google Cloud EMEA Limited agit en qualité de sous-traitant pour notre compte pour les données reCAPTCHA utilisées afin de protéger les formulaires publics de contact et d’auto-inscription. Ce traitement est extérieur à l’ATD du Client et à son Annexe III, car FSS le contrôle pour ses propres finalités de sécurité du site web et des comptes. Google, Meta et Apple agissent en qualité de responsables du traitement distincts pour leurs services facultatifs de connexion et sont, pour cette raison différente, également hors de l’Annexe III. Séparément, la répartition des rôles de Meta pour le traitement effectué après consentement par la Meta Conversions API est régie par les Meta Business Tools Terms, comme décrit ci-dessus. LinkedIn Ireland Unlimited Company agit en qualité de responsable du traitement indépendant pour LinkedIn Marketing Solutions Conversion Tracking et Conversions API au titre du LinkedIn Independent Controller Addendum et peut utiliser les données afin de fournir, soutenir et améliorer ces produits, notamment les conversions, ainsi que pour ses propres analyses de rapports et de performance. Ces activités publicitaires contrôlées par FSS sont extérieures à l’ATD du Client et à son Annexe III.

9. Transferts internationaux

FSS stocke les données essentielles du Service sur une infrastructure située en Bulgarie, Union européenne. Un traitement en dehors de l’EEE peut avoir lieu lorsque votre organisation active l’envoi Slack aux États-Unis, lorsque vous choisissez un prestataire d’identité dont les opérations internationales traitent l’interaction de connexion, lorsque Google traite les données reCAPTCHA dans un pays où Google ou ses Sous-traitants disposent d’installations, ou lorsque des données de conversion publicitaire envoyées après consentement sont traitées dans le cadre des opérations internationales de Meta ou de LinkedIn. Les transferts restreints liés à reCAPTCHA reposent sur les mécanismes et garanties de l’Avenant de Google Cloud relatif au traitement des données. Le traitement des conversions par Meta est régi par les Meta Business Tools Terms, les conditions de traitement qui y sont incorporées et les garanties de transfert applicables. Pour les produits LinkedIn concernés décrits ci-dessus, les transferts restreints de données de l’Union européenne utilisent le Module 1 des Clauses contractuelles types entre responsables du traitement au titre du LinkedIn Independent Controller Addendum. Les autres destinataires doivent utiliser un mécanisme approprié au titre du chapitre V du RGPD lorsque cela est requis. L’envoi de SMS par Yettel reste dans l’Union européenne.

10. Durées de conservation

Pendant la période limitée de 90 jours suivant la fermeture, l’organisation reste désactivée. Les enregistrements conservés sont assainis et utilisés uniquement aux fins d’enquête de sécurité, de prévention des abus, de vérification de l’intégrité du Service, de preuve contractuelle et de constatation, d’exercice ou de défense de droits en justice. Une conservation légale doit être explicite et documentée ; elle ne constitue pas le régime par défaut. Lorsque la conservation ou l’obligation légale prend fin, la suppression reprend.

Les enregistrements d’acquisition, d’étapes, d’envoi des conversions et de relation commerciale énumérés ci-dessus sont des documents commerciaux et marketing propres à FSS. Ils sont stockés séparément du Contenu client, restent utilisables sans conserver l’espace de travail fermé ni son contenu et peuvent survivre à la fermeture pendant les durées indiquées. Ils ne préservent aucun Contenu client. À l’expiration de la durée applicable, les identifiants sont supprimés ou les statistiques restantes sont rendues véritablement anonymes, sauf si une obligation légale documentée ou une conservation légale impose une durée plus longue.

11. Protection des données

Nous utilisons le chiffrement TLS en transit, des contrôles d’accès fondés sur les rôles et une administration selon le principe du moindre privilège, l’isolation logique des organisations clientes, la segmentation du réseau et la sécurité physique de notre centre de données. Nos pratiques sont alignées sur les principes des normes ISO/IEC 27001, ISO/IEC 20000 et ISO 9001 ; FSS a été certifiée selon ces normes par le passé, mais ces certifications ne sont pas actuellement maintenues. Les journaux opérationnels ne contiennent pas d’instructions IA plus larges et n’enregistrent pas le corps des documents dans le cours normal des opérations ; lorsqu’une défaillance inattendue est enregistrée, le texte de l’erreur peut contenir du contenu envoyé par votre client, comme décrit à l’article 4 ; le texte des recherches n’est conservé que dans le journal des recherches décrit aux articles 4 et 10. Nous ne journalisons ni ne conservons le jeton reCAPTCHA ni la réponse brute de vérification de Google.

12. Vos droits

Sous réserve du RGPD, vous pouvez disposer de droits d’accès, de rectification, d’effacement, de limitation et de portabilité des données, ainsi que du droit de vous opposer au traitement fondé sur les intérêts légitimes. Lorsque le traitement repose sur le consentement, vous pouvez le retirer. Pour exercer vos droits concernant des données pour lesquelles FSS est responsable du traitement, écrivez à privacy@brainattic.ai ; nous répondons normalement dans un délai d’un mois.

Vous pouvez vous opposer à la mesure par FSS de l’acquisition, des étapes ultérieures et des résultats commerciaux fondée sur les intérêts légitimes. Si l’opposition est accueillie, nous supprimons toute utilisation future et tout envoi futur à des plateformes publicitaires liés à l’enregistrement identifiable. Vous pouvez retirer à tout moment votre consentement aux conversions publicitaires au moyen des choix relatifs aux cookies du site ou en écrivant à privacy@brainattic.ai ; le retrait met fin aux envois futurs à Meta et LinkedIn, mais n’annule pas les traitements déjà effectués par l’un ou l’autre destinataire. Nous effaçons les identifiants lorsqu’aucune base juridique prépondérante n’impose leur conservation ; des statistiques de campagne agrégées et véritablement anonymes peuvent être conservées.

Pour les données de conversion publicitaire, FSS demeure votre premier point de contact pour la collecte et la communication contrôlées par FSS et se coordonnera avec le destinataire concerné lorsque la répartition des rôles applicable l’exige. Meta et LinkedIn peuvent également proposer, dans le cadre de leurs services respectifs, leurs propres contrôles relatifs à la publicité et à l’activité en dehors de la plateforme concernée.

Pour le Contenu client dont votre organisation est responsable du traitement, adressez votre demande à cette organisation ; nous l’assisterons en qualité de sous-traitant. Pour les données traitées indépendamment par Google, Meta ou Apple lors de la connexion, exercez vos droits auprès du fournisseur concerné. Pour les données reCAPTCHA, FSS demeure votre point de contact en qualité de responsable du traitement et Google traite les données pour notre compte.

Vous pouvez introduire une réclamation auprès de la Commission for Personal Data Protection (CPDP), www.cpdp.bg, ou auprès d’une autre autorité de contrôle compétente de l’Union européenne.

13. Enfants

brainattic est destiné aux utilisateurs professionnels âgés d’au moins 18 ans. Il ne s’adresse pas aux enfants et nous ne traitons pas sciemment les données à caractère personnel d’enfants dans le cadre du processus public d’inscription.

14. Modifications de la présente politique

Nous pouvons mettre à jour la présente politique. Nous publions chaque version avec sa date de publication et sa date d’entrée en vigueur. Pour les modifications substantielles, nous accordons normalement un préavis d’au moins 14 jours et informons les Clients par le Service ou par e-mail. Nous pouvons demander une nouvelle acceptation avant que l’accès aux données de l’organisation par le web ou MCP ne se poursuive après la date d’entrée en vigueur.

15. Contact

Demandes relatives à la confidentialité et à la protection des données : privacy@brainattic.ai. Assistance produit : brainattic.ai/support ou hello@brainattic.ai.

Finite Software Systems Ltd. — 4 Gorotzvet Street, Sofia, Bulgarie.