Politique de confidentialité
Quelles données à caractère personnel nous traitons en tant que responsable du traitement, pour quelles finalités, sur quelle base légale, pendant combien de temps, et comment exercer vos droits.
Information au titre des articles 13 et 14 du règlement (UE) 2016/679 · version du 13 novembre 2026
Qui traite vos données, et à quel titre
Thiago de Jesus Freire, entrepreneur individuel exerçant sous le nom commercial Hermetics, SIREN 130 271 075, établi 61 rue du Maréchal de Lattre de Tassigny, 94140 Alfortville, est responsable du traitement des données décrites ci-dessous. Contact : dpo@hermetics.fr.
Il faut distinguer deux rôles, et cette page ne parle que du premier. Pour les données de ce site et de votre compte, ainsi que pour le dossier de nos missions de délégué à la protection des données, Hermetics est responsable du traitement. Pour les données que vous déposez dans la plateforme sur vos propres salariés, clients ou fournisseurs, Hermetics est sous-traitant et n'agit que sur vos instructions : ce cadre est celui de l'accord de sous-traitance (art. 28) publié sur hermetics.fr/accord-de-sous-traitance, qui s'applique à toutes les offres, compte gratuit compris.
Ce que nous collectons, pourquoi, et sur quelle base
Quand vous nous écrivez par le formulaire de contact : votre nom, votre adresse électronique, le nom de votre organisation et votre message, pour vous répondre. Base légale : notre intérêt légitime à traiter une demande que vous nous adressez (art. 6(1)(f)). Aucune lettre d'information et aucune prospection ne découlent de ce formulaire. Les champs demandés sont nécessaires pour vous répondre : sans eux, votre message ne peut pas être envoyé.
Quand vous nous écrivez par courrier électronique, à l'adresse du délégué ou à celle qui vous a été communiquée pour votre organisation : votre adresse électronique, votre nom tel qu'il figure dans le message, le contenu du message et de ses pièces jointes, pour le traiter et vous répondre. Si vous nous demandez un tarif, nous vous répondons avec la grille publique correspondant à la taille de votre entreprise, au titre des mesures précontractuelles prises à votre demande (art. 6(1)(b)) ; dans les autres cas, la base légale est notre intérêt légitime à traiter les messages qui nous sont adressés (art. 6(1)(f)). Aucune prospection ne découle de votre message, et il vous suffit de répondre « stop » pour ne plus rien recevoir de notre part.
Quand vous souscrivez : l'identifiant de votre entreprise (SIREN ou numéro de TVA), sa raison sociale, son secteur et son adresse issus du registre officiel, la formule choisie, puis le nom, la qualité, l'adresse électronique et le numéro de téléphone du représentant, l'adresse IP et le navigateur depuis lesquels l'acceptation a été recueillie, et l'heure à laquelle le code de confirmation envoyé à l'adresse électronique a été saisi (le code lui-même n'est jamais conservé). La souscription ne recueille aucun mot de passe : la connexion à votre espace se fait par un code envoyé à votre adresse électronique. Un mot de passe n'existe que sur les comptes de l'équipe Hermetics et sur les comptes clients qui en possèdent un (notamment les comptes ouverts avant le passage à la connexion par code) : il n'est conservé que sous forme de condensat et ne sert plus à se connecter, seulement à confirmer l'identité avant certaines opérations sensibles. Base légale : l'exécution du contrat et les mesures précontractuelles prises à votre demande (art. 6(1)(b)). L'adresse IP, le navigateur, l'horodatage et la vérification de l'adresse électronique servent à établir la preuve de l'acceptation, ce que notre intérêt légitime et le vôtre commandent également. Ces informations sont nécessaires à la conclusion du contrat : sans elles, la souscription ne peut pas aboutir.
Quand vous utilisez la plateforme : les journaux techniques et de sécurité (connexions, actions sensibles, consultation des pièces, adresses IP) et les journaux d'accès du serveur (adresse IP, date, page demandée), pour détecter et instruire les incidents, au titre de notre obligation de sécurité (art. 32) et de notre intérêt légitime.
Quand nous facturons : les mentions obligatoires de la facture, au titre d'une obligation légale (art. 6(1)(c), art. L. 441-9 du code de commerce).
Quand nous sommes désignés délégué à la protection des données d'un organisme, nous conservons le dossier de cette mission : nos avis, la trace de nos diligences et nos échanges avec l'autorité de contrôle. Finalité : exercer la mission et pouvoir en prouver l'exécution. Base légale : notre intérêt légitime à établir, exercer ou défendre nos droits (art. 6(1)(f)). Ces données proviennent de l'organisme et de l'exercice de la mission ; elles peuvent concerner ses interlocuteurs et les personnes dont il traite les données, par exemple l'auteur d'une demande d'exercice de droits, dans la seule mesure nécessaire à cette preuve. Elles sont couvertes par l'obligation de confidentialité du délégué (art. 38(5)) et ne sont communiquées à aucun tiers, en dehors de nos prestataires techniques, sauf à l'autorité de contrôle ou à une juridiction.
Quand un assistant d'intelligence artificielle ou un programme interroge notre serveur MCP ou notre API (hermetics.fr/mcp, même adresse et même clé) : la question posée et les paramètres de l'appel sont traités le temps de la réponse, afin de rechercher les passages pertinents des textes officiels. Ils ne sont ni enregistrés ni journalisés ; seuls sont comptés, par jour et sans la question, les connexions et les arrivées sans compte avec le nom du logiciel client, les appels, l'outil appelé, le pays indiqué et si l'appel est fait avec un compte. L'adresse IP de l'appel, et l'adresse e-mail d'une demande de code, servent à limiter les abus, au titre de notre intérêt légitime (art. 6(1)(f)) : elles ne sont conservées que sous la forme d'une empreinte chiffrée, le temps de la limite (au plus vingt-quatre heures), puis effacées ; comme pour toute page de ce site, elle figure aussi dans les journaux d'accès du serveur (quatre-vingt-dix jours). La question est transmise, pour le calcul de la recherche, à notre prestataire d'hébergement et d'intelligence artificielle établi dans l'Union européenne, dans les conditions décrites à la section V. Nous recommandons de ne pas inclure de données à caractère personnel dans les questions.
Quand vous créez un compte gratuit pour le serveur MCP (en connectant votre assistant, en vous connectant sur hermetics.fr, ou en demandant une clé d'API sur hermetics.fr/mcp/cle) : votre adresse électronique, pour vous envoyer un code de confirmation (valable dix minutes) et rattacher vos fiches ; une empreinte des jetons de connexion et de votre clé, jamais les jetons ni la clé eux-mêmes, avec l'adresse de retour de l'application connectée ; les fiches du registre que votre assistant enregistre, avec chaque version, et la date de dernière utilisation ; le nombre de questions, de fiches, d'analyses, de demandes de droits et d'incidents utilisés, sans leur contenu, pour appliquer les limites de votre offre (conservé treize mois, et celui des analyses du compte gratuit tant que le compte existe). À la création du compte, sauf si votre adresse est celle d'un utilisateur d'une organisation cliente, nous vous demandons aussi l'identité de votre entreprise : son numéro SIREN, avec lequel nous retrouvons sa dénomination, l'adresse de son siège et son activité dans le registre public Sirene, ou à défaut sa dénomination et son adresse ; votre espace est alors créé à son nom, et elle figure comme responsable du traitement sur les documents que vous y préparez. L'adresse électronique à laquelle les personnes exercent leurs droits vous est demandée plus tard, lorsqu'un document qui doit l'indiquer est préparé. À la première fiche enregistrée, si ce n'est pas déjà fait, votre compte reçoit son espace sur la plateforme : un registre où votre assistant enregistre les fiches, et un accès au portail avec la même adresse et un code, sans mot de passe ; il ne comprend aucun délégué à la protection des données et n'est vu par aucun membre de l'équipe Hermetics. Si votre adresse est aussi celle d'un utilisateur d'une organisation cliente, le compte suit l'offre de cette organisation, partage son décompte et enregistre les fiches dans son registre. Avec une offre payante, lorsqu'une règle change, vos fiches sont comparées automatiquement à cette règle (y compris par un outil d'intelligence artificielle) et celles qui sont peut-être concernées vous sont signalées, sans être modifiées. Les jetons de connexion expirent au bout d'une heure, et leur renouvellement au bout de quatre-vingt-dix jours sans utilisation. Base : l'exécution du service que vous demandez (art. 6(1)(b)). Le compte, la clé, l'espace et les fiches sont supprimés sur simple demande à dpo@hermetics.fr ou après vingt-quatre mois sans utilisation. Si vous cochez la case prévue à cet effet, à la création du compte ou depuis votre compte, et seulement dans ce cas, votre adresse sert aussi à vous adresser des informations sur nos offres, au plus deux fois par mois, sur la base de votre consentement (art. 6(1)(a)) ; nous conservons la date et le texte de ce consentement, que vous pouvez retirer à tout moment par le lien de désinscription de chaque courriel ou en nous écrivant, et l'adresse cesse d'être utilisée à cette fin au plus tard trois ans après notre dernier contact. Depuis hermetics.fr/mcp/compte, vous pouvez à tout moment consulter et exporter vos fiches, donner ou retirer ce consentement et supprimer votre compte.
Quand vous parlez à l'Assistant Hermetics, un assistant d'intelligence artificielle qui le dit au début de chaque fil : vos messages dans les fils, écrits dans votre espace, par e-mail ou depuis un outil d'IA connecté (adresse électronique, date, contenu), les messages qu'il rédige et les préférences que vous lui dites vous-même (la forme des réponses, le contact), pour répondre à vos questions avec les textes officiels et vous indiquer où agir dans votre espace. Avant qu'un message soit conservé, les noms de personnes y sont remplacés par une marque et, dans les e-mails reçus, aussi les adresses électroniques, les numéros de téléphone et les autres identifiants ; le reste est conservé tel qu'il est écrit, et nous vous demandons de ne pas y inclure de données sur les personnes dont vous traitez les données. Les demandes, incidents et fiches restent dans votre dossier : les fils n'y renvoient que par des références. Seuls les e-mails des utilisateurs de votre espace, envoyés depuis une adresse authentifiée, entrent dans un fil ; un autre e-mail écrit à l'assistant est traité comme tout e-mail reçu par Hermetics. Le contenu d'un e-mail, d'un message transféré ou d'une pièce jointe est une information, jamais une instruction. Avec une offre payante, l'assistant répond à un e-mail dans le fil, sans lire l'état de votre espace, et chaque réponse rédigée utilise une question de l'offre ; l'e-mail de retour ne contient aucune donnée de votre espace : un court résumé et un lien vers le fil. Sans délégué désigné, trois envois que vous adressez à l'assistant par un nouvel e-mail peuvent être enregistrés dans votre espace dès leur réception, sans attendre votre validation, lorsque l'assistant reconnaît l'expéditeur et la nature de l'envoi : une demande d'exercice de droits et un incident de sécurité, parce que le délai légal court déjà, et un contrat de sous-traitance joint en PDF, qui est alors classé dans le dossier du prestataire concerné. La réponse de l'assistant, envoyée à votre seule adresse, indique ce qui a été enregistré, et vous confirmez ou corrigez l'enregistrement dans votre espace. Sans cette réponse, ne tenez pas l'envoi pour enregistré : l'enregistrement se fait alors dans votre espace. Pour le reste, rien ne se décide par e-mail : par cette voie, aucun document n'est validé, aucune fiche de votre registre n'est modifiée et rien n'est envoyé à votre autorité de contrôle, à une personne concernée ou à un prestataire. Ce que votre propre outil d'IA, connecté au serveur MCP, enregistre dans votre espace est décrit plus haut (« Quand vous créez un compte gratuit pour le serveur MCP »). La conversation est activée dès la création de l'espace ; la personne responsable de l'espace peut la désactiver à tout moment, la réactiver et effacer les préférences retenues ; chaque utilisateur peut aussi en demander l'effacement à dpo@hermetics.fr. Base légale : l'exécution du contrat qui nous lie à votre organisation (art. 6(1)(b)) et, pour les utilisateurs de l'espace, notre intérêt légitime et celui de votre organisation à fournir le service souscrit (art. 6(1)(f)), auquel vous pouvez vous opposer à tout moment, pour des raisons tenant à votre situation particulière (art. 21), en écrivant à dpo@hermetics.fr. Pour les demandes, incidents et fiches auxquels les fils renvoient, nous restons sous-traitant : vos décisions sur les propositions de l'assistant sont des actes de votre dossier, conservées dans le journal de votre espace pendant la durée du contrat, dans les conditions de l'accord de sous-traitance.
Demandes envoyées pour le compte de nos clients. Quand un client nous y autorise, nous écrivons à l'adresse de contact qu'il nous indique chez un de ses prestataires, pour lui demander son contrat de sous-traitance. Nous agissons alors comme sous-traitant de notre client, qui est responsable de ce traitement. Les demandes et les réponses sont conservées dans l'espace du client. Quand le prestataire publie son contrat sur son site, nous le récupérons à cette adresse publique sans lui écrire, et nous en gardons la date et l'adresse d'origine. La réponse d'un prestataire est lue par un assistant d'intelligence artificielle qui la classe (contrat joint, lien, question, refus) : le prestataire ne reçoit que des textes fixes, jamais un texte rédigé par l'assistant, et une réponse que seul le client peut donner part seulement quand il l'envoie lui-même.
Fréquentation du site. Pour savoir combien de personnes consultent nos pages publiques, notre serveur compte les pages servies : des totaux par jour, par page et par catégorie de provenance (moteur de recherche, assistant d'intelligence artificielle ou annuaire, réseau social, autre site, navigation dans le site, accès direct ou provenance inconnue), sans cookie ni traceur, sans adresse IP ni identifiant conservés. L'adresse de la page d'où vous venez et le nom de votre navigateur sont lus le temps de choisir la catégorie et d'écarter les robots connus, puis ne sont pas conservés ; les personnes connectées ne sont pas comptées. Aucun outil de mesure tiers n'est utilisé, et ces totaux ne permettent d'identifier personne. Les journaux d'accès du serveur, décrits plus haut, restent distincts de ce comptage. Base : notre intérêt légitime à mesurer la fréquentation du site (art. 6(1)(f)).
Démarrage de votre espace. Si vous ne créez aucune fiche dans votre registre, nous vous écrivons au plus deux fois : le lendemain de la création de votre compte et sept jours après, pour vous dire par où commencer. Ce sont des messages de service sur le compte que vous avez créé, jamais de la prospection ; chacun contient un lien pour ne plus les recevoir. Si votre adresse est celle de votre entreprise, nous vous proposons de parcourir le site de ce domaine pour repérer les activités qui traitent des données à caractère personnel : seulement si vous le demandez, d'un clic, et seulement les pages publiques et les enregistrements publics du domaine (DNS). Votre accord est inscrit au journal de votre espace, avec le domaine lu. Rien n'entre dans votre registre sans votre confirmation. Les espaces suivis par un DPO désigné ne reçoivent pas ces messages : c'est le DPO qui accompagne leur démarrage. Base : l'exécution des conditions d'utilisation de votre compte, y compris à votre demande pour la lecture du site (art. 6(1)(b)).
Statistiques du service. À partir des comptes et des espaces, nous calculons des totaux pour mesurer et améliorer le service et fixer les limites des offres : le nombre de fiches par porte d'entrée (plateforme, assistant, interface de programmation) et le nombre de points à revoir que nos règles fixes y relèvent, l'usage des limites (questions, analyses, demandes de droits, incidents) et le coût de l'intelligence artificielle. Ce ne sont que des totaux : ils ne visent personne, ne servent à aucune décision vous concernant et ne sont ni vendus ni communiqués à des tiers. Base : notre intérêt légitime à mesurer et améliorer le service (art. 6(1)(f)) ; vous pouvez vous y opposer en écrivant à dpo@hermetics.fr.
Qualité des réponses de l'assistant. Chaque matin, un programme relit les réponses de l'assistant de la veille, dans tous les espaces, pour en calculer des totaux : réponses appuyées sur une source vérifiée, refus, langue, mots que nous nous interdisons, durée. Ce contrôle ne conserve pas le texte des réponses, seulement des nombres. Dans les espaces suivis par un DPO d'Hermetics, une réponse jugée « pas utile », sans source vérifiée ou corrigée par notre équipe est signalée par une simple référence, sans son texte, conservée quatre-vingt-dix jours ; une personne habilitée de notre équipe peut la relire après masquage des noms, adresses et identifiants, et chaque lecture est inscrite au journal de l'espace. Si elle retient le cas pour corriger l'assistant, seule la version masquée est conservée, dans l'espace, et elle est supprimée avec lui. Rien de tout cela ne sert à entraîner un modèle. Base : notre intérêt légitime à fournir un assistant exact (art. 6(1)(f)) ; pour les espaces sous contrat, l'accord de sous-traitance s'applique. Vous pouvez vous y opposer en écrivant à dpo@hermetics.fr.
Mesure du temps passé dans votre espace. Finalité : vous montrer, et à notre équipe, le temps que la conformité vous demande chaque semaine. Base légale : notre intérêt légitime à mesurer la charge que notre service vous épargne (art. 6(1)(f)), auquel vous pouvez vous opposer en écrivant à dpo@hermetics.fr. Données : la semaine et un total de secondes par espace, jamais par personne ; aucun cookie. Durée : treize mois.
La question du mois. Une fois par mois, nous demandons au responsable de l'espace s'il a le sentiment que nous nous occupons de sa conformité. Finalité : améliorer le service. Base légale : notre intérêt légitime (art. 6(1)(f)), auquel il peut s'opposer en ne répondant pas ou en écrivant à dpo@hermetics.fr. Données : le mois, la réponse et un commentaire facultatif, liés à l'espace et jamais à la personne. Durée : treize mois.
Le rapport du mois. Le 1er de chaque mois, nous envoyons au responsable de l'espace le résumé du mois précédent, dans le cadre du contrat (art. 6(1)(b)). Il peut l'arrêter à tout moment dans son espace.
Combien de temps
Une souscription abandonnée avant paiement est supprimée après trente jours. Les tentatives de connexion échouées sont conservées quatre-vingt-dix jours, comme les journaux d'accès du serveur. Le journal des actes de conformité (validations, avis, notifications, consultations de pièces) est conservé pendant la durée du contrat. La preuve de l'acceptation du contrat (date, heure, adresse IP, empreinte des documents acceptés) est conservée pendant la durée du contrat puis cinq ans, délai de prescription. Les messages reçus par le formulaire de contact, qui arrivent dans la boîte du DPO où ils sont conservés chiffrés, sont gardés trois ans après notre dernier échange. Les courriers électroniques sans objet (publicité, doublons) sont supprimés après trente jours. Les échanges avec une entreprise qui s'intéresse au service sont conservés trois ans après son dernier message. Les factures et les pièces comptables sont conservées dix ans, durée imposée par la loi. Le dossier d'une mission de délégué est conservé le temps de la mission, puis cinq ans, délai de prescription. Les données de votre compte, dont la date de votre dernière connexion, sont conservées pendant la durée du contrat, puis restituées et supprimées dans les conditions de réversibilité prévues à l'accord de sous-traitance. Les fils de l'assistant et leurs messages sont supprimés douze mois après le dernier message du fil ou sa clôture, au premier des deux termes ; les préférences qu'il retient, trente jours après la désactivation de la conversation, ou aussitôt que vous les effacez ; les signaux qui lui permettent de vous prévenir, quatre-vingt-dix jours après leur traitement.
Les durées de trente et de quatre-vingt-dix jours sont exécutées automatiquement : par un travail de purge, dont un test compare les constantes à cette page, et par la rotation des journaux du serveur.
Qui d'autre y a accès
Vos données ne sont accessibles qu'aux personnes habilitées de Hermetics, dans la limite de leurs fonctions, et à un nombre restreint de prestataires techniques qui agissent sur nos seules instructions : hébergement et infrastructure, stockage des copies de sauvegarde (chiffrées par nous avant leur envoi), messagerie électronique, envoi des courriers du service. Tous sont établis dans l'Union européenne et liés par un contrat conforme à l'article 28 du règlement.
L'encaissement de l'abonnement est confié à un établissement de monnaie électronique agréé dans l'Union européenne. Il agit comme responsable de traitement autonome pour les données de paiement, au titre de ses propres obligations réglementaires. Nous ne recevons ni votre numéro de carte ni vos coordonnées bancaires complètes.
Vos données à caractère personnel sont hébergées dans l'Union européenne et aucun transfert n'intervient hors du cadre du chapitre V du règlement.
L'identité de chacun de ces destinataires vous est communiquée sur simple demande à dpo@hermetics.fr. Pour nos clients, la liste nominative figure en annexe de l'accord de sous-traitance, et tout changement leur est notifié à l'avance dans les conditions de cet accord.
Intelligence artificielle
La plateforme emploie des outils d'aide à l'analyse et à la rédaction. Aucune décision produisant des effets juridiques n'est prise de manière automatisée : avec un délégué désigné, les documents de conformité sont validés par le délégué désigné avant toute remise ; sans délégué désigné, ce sont des propositions que vous validez vous-même ; et le sort de chaque proposition (acceptée, modifiée ou rejetée) est tracé. L'organisation du travail (relances, demandes de précisions tirées de notre catalogue de questions, réouverture d'un dossier incomplet, suivi des délais) est automatisée et tracée au journal. Les contenus que vous saisissez sont traités dans l'Union européenne, ne sont pas conservés par nos prestataires au-delà du traitement, sauf conservation temporaire, limitée à deux semaines, pour instruire une erreur ou un abus, et ne servent jamais à entraîner des modèles. Un client peut obtenir à tout moment, sur simple demande à son délégué, le rapport des usages d'intelligence artificielle sur son dossier.
Les courriers électroniques adressés au délégué sont lus et classés par un assistant d'intelligence artificielle hébergé dans l'Union européenne, qui peut en proposer un résumé et un projet de réponse : aucune réponse qu'il rédige n'est envoyée sans la validation du délégué. Seuls des textes fixes, rédigés à l'avance, partent automatiquement (accusé de réception, demande de précision sur l'organisation concernée, réponse à une demande de tarif) : ils ne comportent aucune appréciation de votre situation.
L'Assistant Hermetics se présente comme un assistant d'intelligence artificielle au début de chaque fil. Il répond à partir des textes officiels, qu'il cite mot pour mot, et ne prend aucune décision : il ne valide rien, ne signe rien, n'écrit jamais l'avis du délégué et n'envoie rien à votre autorité de contrôle, à une personne concernée ou à un prestataire. Il peut proposer de lancer un travail que la plateforme sait déjà faire : ce travail ne se lance qu'avec l'accord donné dans votre espace par la personne qui décide, jamais par e-mail. Seule exception, décrite à la section II : sans délégué désigné, la demande de droits, l'incident ou le contrat de sous-traitance que vous lui adressez par e-mail peuvent être enregistrés dès leur réception, et le travail de préparation prévu par votre offre commence alors ; les documents qui en résultent restent des propositions que vous validez vous-même.
Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité prévus aux articles 15 à 22 du règlement. Écrivez à dpo@hermetics.fr : nous répondons dans un délai d'un mois, prorogeable de deux mois pour une demande complexe, et nous vous le dirons alors.
Vous pouvez à tout moment introduire une réclamation auprès de votre autorité de contrôle : en France, la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 ; au Portugal, la Comissão Nacional de Proteção de Dados (CNPD) ; au Luxembourg, la Commission nationale pour la protection des données (CNPD).
Lorsque vos données ont été déposées dans la plateforme par une organisation cliente, la demande s'adresse à cette organisation, qui en est le responsable du traitement. Adressée à nous, elle lui est transmise sans délai injustifié et nous n'y répondons pas de notre propre initiative. Le dossier de nos missions de délégué relève en revanche de nous : une demande qui le concerne nous est adressée, et nous y répondons dans le respect de l'obligation de confidentialité du délégué.