Politique de confidentialité

Dernière mise à jour : 7 octobre 2026

Cette traduction est fournie pour faciliter la lecture. En cas de divergence, la version espagnole prévaut.

Cette Politique informe sur le traitement des données personnelles réalisé via le service AIM CODEX. BIOMAG, S.L.U. respecte le règlement (UE) 2016/679 (RGPD), la loi organique espagnole 3/2018 (LOPDGDD) et la LSSI, en garantissant la transparence et la sécurité dans l’utilisation des données.

1. Responsable du traitement

2. Deux rôles : responsable et sous-traitant

De par la nature du Service, deux rôles coexistent et il importe de les distinguer :

• BIOMAG, S.L.U. agit en tant que RESPONSABLE pour les données du compte et de la relation contractuelle : celles de la personne qui souscrit ou utilise le Service (nom, e-mail, entreprise, données de facturation) et les données d’utilisation nécessaires pour le fournir et le protéger.
• BIOMAG, S.L.U. agit en tant que SOUS-TRAITANT pour les données personnelles que l’utilisateur décide d’inclure dans les documents qu’il scelle, partage ou envoie via le Service, ainsi que pour les données des destinataires. Dans ce cadre, l’utilisateur est le responsable et BIOMAG traite les données pour son compte et selon ses instructions, conformément à l’Accord de sous-traitance.
• Page d’origine de l’inscription : si vous créez votre compte en cliquant sur un bouton de l’une de nos pages (par exemple, le modèle de devis), nous enregistrons le nom de cette page avec l’inscription, pour savoir quelles pages sont utiles. Seulement le nom de la page : rien n’est stocké dans votre navigateur et nous ne vous suivons pas d’une visite à l’autre. Base : intérêt légitime.

3. Quelles données traitons-nous ?

• Données d’identification et de contact : nom, adresse e-mail, organisation.
• Données de facturation : celles nécessaires pour émettre les factures et gérer le paiement de l’abonnement.
• Données d’utilisation et de sécurité : adresse IP, données de navigation et journaux des actions réalisées dans le Service (création, scellement, vérification, acceptation), à des fins de fonctionnement, de preuve et de prévention de la fraude.
• Contenu des documents et données des destinataires (nom et e-mail de la personne qui reçoit, ouvre, vérifie ou accepte un document) : traités en tant que sous-traitant, pour le compte de l’utilisateur responsable.
• Texte envoyé aux fonctions d’intelligence artificielle (rédiger, relire ou expliquer un document), uniquement lorsque l’utilisateur les utilise. Il peut inclure des données personnelles de tiers si le document en contient ; il est traité en tant que sous-traitant, pour le compte de l’utilisateur. N’utilisez pas ces fonctions avec des catégories particulières de données (santé, convictions, appartenance syndicale, origine ethnique, vie sexuelle, biométrie, données pénales).
• Enregistrements audio de réunions, uniquement lorsque l’utilisateur utilise la fonction de procès-verbaux : l’audio est envoyé au fournisseur d’intelligence artificielle (via OpenRouter) pour le transcrire et rédiger le projet de procès-verbal. CODEX ne conserve pas l’enregistrement : il ne garde que son empreinte SHA-256 et sa taille. Il contient la voix et les propos des participants ; il est traité en tant que sous-traitant, pour le compte de l’utilisateur, qui doit informer les participants avant d’enregistrer.
• Mesure anonyme du fonctionnement du site : en quittant chaque page, le navigateur envoie trois temps de chargement, la page et s’il s’agit d’un écran mobile. Pas de cookies, pas d’identifiants, et l’adresse IP n’est pas conservée.
• Rapports techniques du navigateur lorsque la politique de sécurité du site bloque quelque chose : la page (sans paramètres), la règle et l’origine bloquée. Aucune donnée sur la personne.
• Réponses à des enquêtes volontaires pour améliorer le site : anonymes ; nous ne demandons ni nom ni e-mail.

L’ancrage de la preuve dans la blockchain publique ne publie qu’une empreinte cryptographique (hash SHA-256) du document : ni le contenu du document ni aucune donnée personnelle ne sont publiés dans la chaîne.

4. Finalités et base juridique

5. Destinataires et sous-traitants (sous-traitants ultérieurs)

Les données ne sont pas communiquées à des tiers, sauf obligation légale ou nécessité pour fournir le Service. Pour le fournir, les prestataires suivants traitent des données en tant que sous-traitants de BIOMAG, S.L.U., sur la base d’un accord de sous-traitance (la liste à jour, avec les données que chacun traite et où, se trouve sur aim-codex.ai/subencargados) :

• Railway (États-Unis) : hébergement de l’application et de la base de données, sur des serveurs aux Pays-Bas.
• Resend (États-Unis) : envoi des e-mails du service, depuis sa région européenne (Irlande).
• Migadu-Mail GmbH (Suisse) : la boîte de contact et l’envoi d’e-mails de secours.
• OpenRouter, Inc. (États-Unis) : passerelle vers les modèles d’intelligence artificielle, uniquement lorsque ces fonctions sont utilisées : il reçoit le texte et, si les procès-verbaux de réunion sont utilisés, l’enregistrement audio. Chaque requête exige que le prestataire qui exécute le modèle ne conserve pas les données et ne les utilise pas pour l’entraînement.
• Paddle.com Market Limited (Royaume-Uni) : encaissement des abonnements en tant que revendeur ; il traite les données de paiement en tant que responsable, et non pour notre compte.
• Calendriers d’horodatage de la blockchain publique (OpenTimestamps) et autorités d’horodatage (DigiCert, Sectigo et FreeTSA) : ils ne reçoivent que l’empreinte SHA-256, aucune donnée personnelle.
• Explorateurs publics de Bitcoin (blockstream.info et mempool.space) : lorsque vous vérifiez un document, votre navigateur leur demande directement les données publiques du bloc dans lequel il est ancré ; comme tout site web, ils reçoivent votre adresse IP et le numéro de bloc, jamais le document ni son empreinte. Notre serveur les interroge aussi, avec le seul numéro de bloc.
• Conseillers fiscaux et comptables, auditeurs et services juridiques, le cas échéant, et autorités et administrations publiques, lorsque la loi l’exige.

Où sont vos données. Les données de votre compte et vos documents sont stockés dans l’Union européenne. Le texte et l’audio que vous envoyez aux fonctions d’intelligence artificielle sont traités aux États-Unis ou dans d’autres pays où se trouvent les fournisseurs des modèles.

Transferts internationaux : Railway, Resend et OpenRouter sont des entreprises américaines. Tout transfert ou accès depuis l’extérieur de l’Espace économique européen est couvert par les clauses contractuelles types de la Commission européenne incluses dans leurs accords de sous-traitance et, dans le cas de Resend, également par le cadre de protection des données UE-États-Unis. La Suisse et le Royaume-Uni bénéficient d’une décision d’adéquation de la Commission européenne.

6. Durées de conservation

• Données du compte et des documents : tant que le compte est actif et, après sa clôture, pendant la durée fixée par l’utilisateur ou celle nécessaire pour répondre à des responsabilités légales.
• Facturation : les délais imposés par la réglementation fiscale et commerciale.
• Demandes/assistance : jusqu’à leur résolution et, le cas échéant, pour la traçabilité.
• Sécurité/fraude : aussi longtemps que nécessaire ; ensuite, bloquées pour répondre à des responsabilités.
• Ouvertures de liens et codes : l’adresse IP et le navigateur de chaque ouverture sont supprimés au bout de 12 mois (seule la date est conservée) ; les codes de vérification et les liens de réinitialisation du mot de passe, le lendemain de leur expiration ; les abonnements aux avis jamais confirmés, au bout de 30 jours.
• Après la suppression du compte : ses documents et données sont supprimés. De chaque document scellé, seuls son empreinte cryptographique, sa version, la date du scellement et le fait qu’il ait été révoqué ou qu’il expirait sont conservés, sans titre ni donnée personnelle, afin que son destinataire puisse toujours vérifier qu’il est authentique.

Effacement des données de la personne qui signe ou accuse réception. À sa demande, l’émetteur efface ses données depuis la console : son nom, son e-mail, son IP et son navigateur disparaissent des listes, du journal d’activité et des exports, et son lien cesse de fonctionner. Les justificatifs et dossiers déjà scellés ne sont pas modifiés, car leur empreinte changerait et ils ne prouveraient plus rien : ils sont conservés sans lien public, seul l’émetteur peut les télécharger et uniquement pour la constatation, l’exercice ou la défense de droits en justice (art. 17.3.e RGPD), et ils sont supprimés avec le compte. Dans les dossiers partagés par lien, les e-mails sont masqués.

7. Vos droits

Vous pouvez exercer les droits d’accès, de rectification, d’effacement, d’opposition, de limitation, de portabilité et de retrait du consentement en vous adressant à :

• Courrier : c/ Barrachi, 39 – Pab. 3, 01013 Vitoria-Gasteiz (Álava, Espagne).
• E-mail : hola@aim-codex.ai.

Nous pouvons demander une preuve d’identité. Délai de réponse : 1 mois au maximum (prolongeable de 2 mois). Lorsque les données sont traitées en tant que sous-traitant (celles contenues dans les documents d’un client), les demandes des personnes concernées sont transmises au client responsable pour qu’il y réponde. Vous pouvez introduire une réclamation auprès de l’Agence espagnole de protection des données : www.aepd.es.

8. Mineurs

Le Service ne s’adresse pas aux moins de 14 ans et leurs données ne sont pas traitées sciemment. Si elles étaient détectées, elles seraient supprimées.

9. Sécurité et violations

Nous appliquons des mesures techniques et organisationnelles appropriées (contrôle d’accès, chiffrement en transit, scellement et intégrité de la preuve, journalisation des incidents et sauvegardes). En cas de violation de sécurité présentant un risque, nous la notifierons à l’AEPD dans un délai maximal de 72 heures et, le cas échéant, aux personnes concernées.

10. Cookies

Les informations sur les cookies figurent dans la Politique relative aux cookies.