Politique de confidentialité

1Deux rôles, à ne pas confondreLink to “Deux rôles, à ne pas confondre”

Pour les comptes de nos clients — les personnes qui se connectent à Nodium — nous sommes responsables du traitement : nous décidons pourquoi et comment ces données sont traitées.

Pour les conversations entre un client et ses propres clients, nous sommes sous-traitant : c'est l'entreprise cliente qui décide, et nous n'agissons que sur ses instructions.

Si vous avez échangé avec une entreprise qui utilise Nodium et que vous vous interrogez sur vos données, adressez-vous d'abord à cette entreprise : c'est elle qui répond de ce traitement.

2Les données traitéesLink to “Les données traitées”

Compte : adresse électronique, nom si vous le renseignez, identifiant chez le fournisseur d'identité, rôle et espace, dates de création et de dernière connexion.

Espace : nom de l'espace, liste des membres, invitations émises.

Connecteur : adresse de l'API branchée, type d'authentification, réglages. Le secret d'authentification est chiffré et n'est jamais restitué.

Canaux : numéro de téléphone du canal, adresse de la boîte de courrier électronique, réglages de relève.

Conversations : les messages échangés et leurs pièces jointes, l'identité du contact — numéro de téléphone, adresse électronique, identifiant chez le client — et l'objet métier auquel la conversation est rattachée.

Journal d'appels : horodatage, opération appelée, résultat. Les champs marqués sensibles y sont masqués.

Données techniques : journaux du serveur, adresse IP, horodatage, nécessaires à la sécurité et au diagnostic.

3Pourquoi nous les traitonsLink to “Pourquoi nous les traitons”

Fournir le service : acheminer les messages, permettre à l'agent de répondre, afficher les conversations dans la console.

Assurer la sécurité du service : détecter les abus, diagnostiquer les incidents, conserver une trace des actions sensibles.

Facturer le service et en mesurer l'usage : le nombre de conversations traitées par mois civil, le nombre de messages échangés et le nombre d'appels adressés au logiciel du client.

Améliorer le service : comprendre les échecs et les refus. Aucune donnée de conversation n'est utilisée pour entraîner un modèle d'intelligence artificielle.

4Sur quel fondementLink to “Sur quel fondement”

L'exécution du contrat, pour tout ce qui relève de la fourniture du service au client.

L'intérêt légitime, pour la sécurité, la prévention des abus et l'amélioration du service.

Le respect d'obligations légales, notamment comptables.

Le consentement, lorsqu'il est requis — en particulier pour les messages engagés vers un contact.

5Qui d'autre y a accèsLink to “Qui d'autre y a accès”

Nous faisons appel à des prestataires, chacun lié par un contrat qui leur interdit tout usage propre de ces données.

Hébergement de l'application : Vercel Inc. (États-Unis), exécution dans la région de Paris.

Base de données : Supabase, Inc., centre de données situé en Irlande (Union européenne).

Fournisseur du canal WhatsApp : Kapso, passerelle qui relaie les messages vers l'API WhatsApp Business de Meta Platforms Ireland Limited, dont le siège européen est établi en Irlande. Ces prestataires n'accèdent aux messages que pour les acheminer, et leur acheminement obéit aux conditions de WhatsApp Business que l'entreprise cliente accepte en branchant son numéro.

Fournisseur du modèle d'intelligence artificielle : Anthropic PBC (États-Unis), qui s'engage contractuellement à ne pas réutiliser pour l'entraînement de ses modèles les contenus transmis par son interface de programmation : vos conversations ne nourrissent aucun modèle.

Nous ne vendons aucune donnée et n'en cédons aucune à des fins publicitaires.

6Google account dataLink to “Google account data”

When a business customer connects a Google account to Nodium — its Gmail mailbox or the Google profile of its business —, it grants that access itself, from Google’s own consent window, and only for the following scopes.

Gmail, read (gmail.readonly): fetch the messages received in the connected mailbox, to display them in the console and let the Nodium assistant reply to them.

Gmail, send (gmail.send): send, from that mailbox, the replies written by the assistant or by the business’s team, in its customer’s thread. Nodium never modifies, moves or deletes any message in the mailbox.

Business profile (business.manage): read the reviews left on the selected business profile and publish replies, each one approved by a person from the business.

Account identity (openid, email): check that the authorized Google account is the one of the connected mailbox or profile.

The authorization token is encrypted in our database, in the European Union, and is never displayed or returned. Fetched messages are kept like any other conversation (section 8).

The content of a message may be sent to the artificial intelligence model provider (section 5), solely to draft the reply the business expects. It is never used to train any model, ours or a third party’s.

No one on the Nodium team reads these messages, except at the explicit request of the business customer for support, for the security of the service, or to comply with a legal obligation.

This data is not sold, not transferred to third parties other than the providers required to run the service (section 5), not used for advertising, and not used to determine creditworthiness or for lending purposes.

The business can revoke access at any time: with « Disconnect » in Nodium, or from the myaccount.google.com/permissions page of its Google account. The token is then erased, and nothing is fetched or sent any more.

Nodium's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

7Transferts hors de l'Union européenneLink to “Transferts hors de l'Union européenne”

Les conversations et les contacts sont conservés dans l'Union européenne (Irlande), et l'application qui les sert est exécutée à Paris. Des transferts vers les États-Unis ont lieu pour l'exécution de l'application (Vercel), la génération des réponses (Anthropic), l'encaissement des abonnements (Stripe) et l'envoi de nos courriers de service (Resend). Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne, complétées le cas échéant par l'adhésion du prestataire au cadre de protection des données UE—États-Unis.

8Combien de tempsLink to “Combien de temps”

Les conversations et leurs pièces jointes restent disponibles tant que l'espace de l'entreprise cliente existe — c'est elle qui en garde la maîtrise. Elle peut à tout moment effacer un contact et l'intégralité de ses échanges : l'effacement est immédiat, définitif, et une trace de l'opération est conservée pour pouvoir en rendre compte.

À la fermeture d'un espace, les comptes et les données qui s'y rattachent sont conservés trente jours, le temps d'une reprise éventuelle, puis effacés.

Les journaux techniques, le journal des appels adressés au logiciel du client et le journal d'accès sont conservés douze mois : ils servent à diagnostiquer un incident et à prouver ce qui a été fait. Les champs marqués comme sensibles par l'entreprise cliente n'y figurent jamais. Les traces de consommation servant à la facturation ne contiennent ni nom, ni numéro, ni texte, et sont conservées le temps prévu par les obligations comptables.

Les données nécessaires au respect d'une obligation légale sont conservées pour la durée prévue par cette obligation.

9Vos droitsLink to “Vos droits”

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de retirer votre consentement à tout moment.

Ces droits s'exercent auprès de contact@nodium.io. Nous répondons dans le délai prévu par la réglementation.

Si vous êtes le client final d'une entreprise qui utilise Nodium, adressez votre demande à cette entreprise : nous ne pouvons agir que sur ses instructions.

10Délégué à la protection des donnéesLink to “Délégué à la protection des données”

Vos questions sur les données personnelles sont traitées directement par le président de By-Tech.io, à l'adresse contact@nodium.io, sans intermédiaire. La désignation d'un délégué à la protection des données n'est pas requise au regard de nos activités ; elle interviendra si elle le devient.

11RéclamationLink to “Réclamation”

Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

12Cookies et stockage localLink to “Cookies et stockage local”

Un cookie de session vous maintient connecté à votre espace. Un cookie retient la langue que vous avez choisie.

Votre navigateur conserve localement des préférences d'affichage — le thème clair ou sombre, l'état replié du menu. Elles ne quittent jamais votre poste.

Aucun cookie publicitaire n'est déposé. Aucun outil de mesure d'audience ni de traçage publicitaire n'est employé : votre navigation n'est ni suivie, ni profilée, ni revendue.

13SécuritéLink to “Sécurité”

Les secrets d'authentification des connecteurs sont chiffrés et ne ressortent jamais du service.

Chaque espace est cloisonné : une ressource qui appartient à un autre espace est déclarée introuvable, et non interdite.

Les champs marqués sensibles sont masqués dans les journaux d'appel.

Aucun système n'est infaillible. En cas de violation de données susceptible d'engendrer un risque, nous informons l'autorité de contrôle et, lorsque la réglementation l'exige, les personnes concernées.

14Modification de cette politiqueLink to “Modification de cette politique”

Cette politique peut évoluer. La date de dernière mise à jour figure en tête de page, et toute modification substantielle est portée à la connaissance de nos clients.