Politique de confidentialité

1. Responsable du traitement

Qastel AI SAS (en cours de constitution), Paris, France, est responsable des traitements décrits dans la présente politique. Son identité et ses coordonnées postales figurent dans les mentions légales.

Pour toute question relative à vos données personnelles (une question, une demande, une réclamation), écrivez à privacy@qastel.ai. Une personne identifiée vous répond ; il n'y a pas de file de tickets.

2. Ce que couvre cette politique, et ce qu'elle ne couvre pas

La présente politique couvre ce site, qastel.ai, ainsi que les relations d'affaires qui y prennent naissance : les messages que vous nous adressez, les essais que vous demandez et les candidatures pour rejoindre l'équipe. Lorsqu'un lien vous conduit vers un service exploité par un tiers, c'est la politique de confidentialité de ce service qui régit ce qui se passe une fois que vous y êtes.

Elle ne couvre pas le produit Qastel, accessible sur app.qastel.ai. Là, les données proviennent des propres systèmes d'un client, et les rôles sont inversés : l'organisation cliente est responsable du traitement et Qastel est son sous-traitant, n'agissant que sur les instructions documentées de ce client, dans le cadre d'un accord de traitement des données (DPA). Ce que nous y traitons, où ces données sont hébergées et qui d'autre y a accès est documenté sur la page Trust Center, y compris la liste de nos sous-traitants ultérieurs et nos engagements de résidence des données dans l'UE.

Une conséquence mérite d'être énoncée clairement. Si votre employeur utilise Qastel et que vous souhaitez savoir ce qu'il enregistre de votre usage de l'IA, adressez-vous à votre employeur, pas à nous. C'est lui qui décide de ce qui est collecté et pour combien de temps ; nous ne pouvons légalement donner suite à votre demande sans ses instructions, et nous la lui transmettrons.

3. Données traitées, finalités et durées de conservation

Consultation du site

Notre serveur web inscrit une entrée dans son journal d'accès pour chaque requête : votre adresse IP, la page demandée, la date et l'heure, le code de statut HTTP et la chaîne user-agent de votre navigateur. Nous l'utilisons pour assurer la disponibilité du site et enquêter sur les abus, sur le fondement de notre intérêt légitime à exploiter un service sécurisé (article 6, paragraphe 1, point f), du RGPD). Les entrées sont conservées 30 jours, puis supprimées.

Nous écrire

Si vous utilisez le formulaire de contact, ou si vous écrivez à hello@qastel.ai ou à press@qastel.ai, nous traitons vos nom et adresse électronique, l'organisation que vous mentionnez et le contenu de votre message. Ce traitement repose soit sur l'exécution de mesures précontractuelles prises à votre demande (article 6, paragraphe 1, point b), du RGPD), soit sur notre intérêt légitime à répondre à la correspondance que nous recevons (article 6, paragraphe 1, point f), du RGPD). Nous conservons ces échanges jusqu'à trois ans après notre dernier contact, durée de référence fixée par la CNIL pour les données de prospects, puis nous les supprimons.

Demander un essai entreprise

Le formulaire de demande d'essai collecte vos nom, adresse électronique professionnelle et numéro de téléphone, votre entreprise et sa taille, le volet de Qastel qui vous intéresse et votre message. Le fondement juridique et la durée de conservation sont les mêmes que pour un message envoyé via le formulaire de contact.

Candidater à un poste

Les candidatures adressées à careers@qastel.ai (votre CV, votre lettre de motivation et vos coordonnées) sont traitées afin d'évaluer votre candidature, sur le fondement de mesures précontractuelles préalables à la conclusion d'un contrat de travail. Si nous ne vous recrutons pas, nous conservons votre dossier jusqu'à deux ans afin de pouvoir revenir vers vous si un poste correspondant à votre profil se libère, conformément aux recommandations de la CNIL, puis nous le supprimons. Si vous préférez que nous le supprimions immédiatement, dites-le-nous et nous le ferons.

Signaler une vulnérabilité

Les signalements adressés à security@qastel.ai sont traités afin que nous puissions corriger le problème et conserver une trace de la suite que nous y avons donnée, sur le fondement de notre intérêt légitime à assurer la sécurité du service. Nous conservons le signalement, ainsi que vos coordonnées si vous les avez communiquées, aussi longtemps que nécessaire pour corriger le problème et le documenter.

4. Mesure d'audience sans cookie, ni publicité, ni profilage

Nous utilisons un seul outil de mesure d'audience, Microsoft Clarity, en mode sans cookie. Avant le chargement de la balise Clarity, la page refuse les deux catégories de stockage prévues par l'API de consentement de Clarity. Microsoft indique que, lorsque ce consentement est refusé, Clarity ne dépose aucun cookie et crée un nouvel identifiant pour chaque page vue. Il ne peut donc ni relier une page vue à la suivante, ni reconnaître un visiteur qui revient.

Clarity enregistre la manière dont une page est utilisée : la page consultée, les clics, les défilements, les mouvements de souris, la taille de la fenêtre, le type d'appareil et l'en-tête User-Agent du navigateur. La racine du site est explicitement marquée pour le masquage : le texte des pages est donc masqué dans le navigateur avant l'envoi. Microsoft indique que le contenu masqué n'est jamais transmis à ses serveurs. Votre adresse IP parvient à Microsoft parce que votre navigateur s'y connecte directement, comme pour toute requête vers un tiers.

Nous utilisons ces informations pour savoir quelles parties du site sont lues et lesquelles sont ignorées, afin d'améliorer les pages qui prêtent à confusion : notre intérêt légitime au sens de l'article 6, paragraphe 1, point f), du RGPD. Nous ne les utilisons pas à des fins publicitaires, nous ne profilons pas les visiteurs et nous ne prenons aucune décision automatisée à leur égard. Clarity respecte le signal Global Privacy Control, et la politique de sécurité de contenu du site bloque son point de terminaison de synchronisation des cookies publicitaires.

Si vous préférez ne pas être compté, vous pouvez :

• activer le signal Global Privacy Control dans votre navigateur ou une extension ;
• utiliser le dispositif d'opposition interprofessionnel de Microsoft sur optout.aboutads.info ;
• bloquer www.clarity.ms, ce qui n'altère rien d'autre sur ce site ; ou
• vous opposer au traitement, pour des raisons tenant à votre situation, en écrivant à privacy@qastel.ai.

Microsoft conserve les enregistrements de session ordinaires pendant 30 jours. Les enregistrements que nous marquons comme favoris ou auxquels nous attribuons une étiquette, ainsi que les cartes de chaleur et les données de clics, sont conservés jusqu'à neuf mois. Nous ne pouvons accéder qu'aux rapports et aux enregistrements de ce site.

Notre police de caractères est servie depuis nos propres serveurs plutôt que par un CDN de polices : le chargement d'une page ne transmet donc pas votre adresse IP à un tiers à cette fin.

Une autre requête vers un tiers mérite d'être signalée. Pour afficher le logo d'un éditeur à côté des outils IA et des intégrations que nous décrivons, la page d'accueil et les pages d'intégration chargent de petites icônes depuis le service public de favicons de Google (google.com/s2/favicons, qui redirige vers gstatic.com). C'est votre navigateur qui effectue directement cette requête : Google voit donc votre adresse IP et l'icône demandée. Nous n'y joignons ni en-tête Referer ni identifiant vous concernant.

5. Destinataires de vos données

Nous ne vendons pas de données personnelles, nous ne les partageons pas à des fins publicitaires et nous ne les utilisons pas pour entraîner des modèles d'IA.

Destinataire	Finalité	Localisation
Scaleway SAS	Hébergement de ce site et de notre application	France (fr-par)
OVH SAS	Notre messagerie professionnelle	France
Microsoft Ireland Operations Limited	Mesure d'audience de ce site (Microsoft Clarity)	Irlande et États-Unis
Google LLC	Icônes des éditeurs (service public de favicons)	États-Unis

En dehors de ces destinataires, nous ne communiquons de données personnelles que lorsque la loi l'exige, ou à nos conseils, tenus à une obligation de confidentialité.

6. Transferts hors de l'UE

Deux services décrits à la section 4 transmettent des données aux États-Unis : Microsoft Clarity et le service public de favicons de Google. Pour les visiteurs de l'Espace économique européen, Microsoft désigne Microsoft Ireland Operations Limited comme responsable du traitement Clarity. La Déclaration de confidentialité de Microsoft et les Règles de confidentialité de Google indiquent que ces fournisseurs participent au cadre de protection des données UE–États-Unis et utilisent des clauses contractuelles types lorsque cela est nécessaire. Ce sont les garanties qu'ils publient pour les transferts vers les États-Unis.

Les données sont limitées par la configuration du site. Clarity ne reçoit aucun identifiant de cookie et le texte des pages est masqué avant l'envoi. La requête vers le service de favicons de Google ne comporte ni en-tête Referer ni identifiant transmis par nos soins, mais les deux fournisseurs reçoivent l'adresse IP du visiteur lorsque son navigateur se connecte.

Notre hébergement propriétaire et notre messagerie professionnelle restent dans l'UE. Scaleway et OVH sont établis en France, et les données qu'ils détiennent pour notre compte y sont stockées et traitées.

Il en va de même pour le produit : aucune donnée client ne quitte l'UE non plus. Voir la résidence des données.

7. Vos droits

En vertu du RGPD et de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi Informatique et Libertés), vous pouvez nous demander :

• d'accéder aux données personnelles que nous détenons à votre sujet, et d'en obtenir une copie ;
• de les rectifier si elles sont inexactes ou incomplètes ;
• de les effacer, lorsque l'un des motifs prévus à l'article 17 du RGPD s'applique ;
• d'en limiter l'utilisation tant qu'un différend les concernant n'est pas résolu ;
• de les recevoir dans un format portable, pour les données que vous nous avez fournies et que nous traitons sur la base de votre consentement ou d'un contrat ;
• de vous opposer à un traitement fondé sur notre intérêt légitime, pour des raisons tenant à votre situation.

Vous pouvez également définir des directives relatives au sort de vos données après votre décès, en application de l'article 85 de la loi Informatique et Libertés.

Pour exercer l'un de ces droits, écrivez à privacy@qastel.ai. Nous vous répondons dans un délai d'un mois et vous informons si nous devons prolonger ce délai. Nous pouvons vous demander un élément permettant d'établir votre identité si nous ne parvenons réellement pas à identifier l'auteur de votre demande, jamais pour en retarder le traitement.

Si vous estimez que nous avons traité vos données de manière inappropriée, vous avez le droit d'introduire une réclamation auprès de l'autorité française de protection des données, la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr), ou auprès de l'autorité de contrôle du lieu où vous résidez ou travaillez.

8. Sécurité

Nous décrivons la manière dont nous protégeons les données (chiffrement, contrôle d'accès, journalisation d'audit, feuille de route de certification) sur la page Trust Center. Si vous découvrez une faille, signalez-la à security@qastel.ai ; nous n'engagerons aucune poursuite contre vous pour un signalement effectué de bonne foi.

9. Modifications de la présente politique

La date indiquée en haut de cette page est celle de sa dernière modification. Lorsqu'une modification vous concerne de manière significative, nous le signalons sur le site plutôt que de compter sur vous pour relire la page.