Qui est responsable de quoi
Pour les conversations de vos visiteurs, vous êtes le responsable du traitement et nous sommes votre sous-traitant : nous les conservons et les traitons pour votre compte, afin de faire fonctionner votre agent, et pour rien d'autre. Nous ne vendons pas de données, n'affichons pas de publicité, ne créons pas de profils et n'entraînons aucun modèle sur votre contenu ni sur vos conversations. Une agence se place entre les deux : son client est le responsable du traitement, l'agence est son sous-traitant, et nous sommes celui de l'agence. Un accord de traitement des données (DPA) est disponible : écrivez à management@sri-group.eu.
Où se trouvent les données
| Quoi | Qui | Où |
|---|---|---|
| L'application | Vercel | Francfort, Allemagne |
| Agents, sources et conversations | Neon (Postgres) | Union européenne |
| Fichiers importés et logos | Cloudflare R2 | Juridiction de l'UE |
| Rédaction des réponses | Cortecs | Une passerelle de modèles européenne |
| Conversion du texte en vecteurs de recherche | OpenAI | États-Unis |
| E-mails que nous envoyons : rapports, alertes de prospects et de tickets | Resend | États-Unis, envoyés depuis des serveurs en Irlande |
Les deux étapes hors de l'UE. Pour chercher par le sens, chaque passage de vos sources et chaque question sont convertis en une suite de nombres. Cette étape se déroule chez OpenAI, aux États-Unis, dans le cadre de ses conditions de traitement des données, et OpenAI ne s'en sert pas pour entraîner ses modèles. Les e-mails que nous envoyons passent par Resend, qui traite les e-mails aux États-Unis dans le cadre du Data Privacy Framework UE-États-Unis et de clauses contractuelles types. Nous citons les deux plutôt que de laisser la mention « hébergé dans l'UE » suggérer le contraire.
Ce qui est conservé sur un visiteur
- La conversation, avec les sources et les mesures qui sous-tendent chaque réponse, jusqu'à ce que vous la supprimiez.
- Aucune adresse IP. Pour la limite de messages, nous en gardons une empreinte pendant 24 heures, calculée avec une clé qui change chaque jour.
- Aucun cookie. Le widget n'en dépose aucun et ne conserve rien dans le navigateur du visiteur avant qu'il utilise le chat.
- Ni nom ni adresse e-mail, sauf si vous activez le formulaire de contact ou les tickets et que le visiteur les remplit.
Ce que le RGPD vous demande, et comment ChatterLab vous aide
- Informer les visiteurs. Votre politique de confidentialité mentionne le chat, ce qu'il conserve et les sous-traitants ci-dessus. Notre page de confidentialité et Données et confidentialité (en anglais) vous donnent tous les éléments pour la rédiger.
- Ne collecter que le nécessaire. Le chat ne demande aucune donnée personnelle, sauf si vous activez le formulaire de contact ou les tickets. Si vous laissez le formulaire de contact demander le consentement aux actualités et aux offres, il le demande séparément et enregistre la formulation exacte que le visiteur a acceptée.
- Répondre aux demandes. Un visiteur peut vous demander quelles données vous détenez sur lui et en demander l'effacement. Vous retrouvez sa conversation dans Activité et la supprimez ; les coordonnées et les tickets se suppriment chacun à part.
- Garder les données dans l'UE quand c'est possible. Les conversations de vos visiteurs, vos sources et vos fichiers sont stockés dans l'UE.
L'AI Act vient s'ajouter
Le RGPD porte sur les données personnelles. L'AI Act européen ajoute que les visiteurs doivent savoir qu'ils parlent à une IA. Chaque widget ChatterLab le dit dans la langue du widget, et aucune offre ni aucun réglage ne permet de le retirer. L'AI Act et votre chatbot.
Questions sur le RGPD
ChatterLab est-il conforme au RGPD ?
Oui, pour ce qui relève de nous : nous agissons comme votre sous-traitant, avec un accord de traitement des données sur demande, conservons les conversations de vos visiteurs, vos sources et vos fichiers dans l'UE, ne déposons aucun cookie, ne stockons aucune adresse IP, et vous donnons les outils pour effacer ce qu'un visiteur vous demande d'effacer. Deux étapes se déroulent aux États-Unis dans le cadre de conditions de traitement des données, comme indiqué plus haut. La conformité de votre propre usage dépend aussi de vous : votre politique de confidentialité, et ce que vous demandez à vos visiteurs.
Des données sont-elles transférées hors de l'UE ?
Oui, deux choses, toutes deux encadrées par des conditions de traitement des données : le texte de vos sources et de chaque question passe par OpenAI aux États-Unis pour être converti en vecteurs de recherche, et les e-mails que nous envoyons passent par Resend aux États-Unis. Les conversations, les sources et les fichiers sont stockés dans l'UE.
Faut-il un bandeau cookies pour le chat ?
Le widget ne dépose aucun cookie et ne conserve rien dans le navigateur du visiteur avant qu'il utilise le chat. Une fois qu'il a envoyé un message, il garde deux nombres dans le stockage du navigateur jusqu'à la fermeture de l'onglet, pour assurer la continuité de la conversation ; aucun des deux n'identifie une personne. La relance, facultative, une invitation à discuter plus tard dans la visite, conserve une valeur de plus et n'apparaît que si votre site transmet le consentement de vos visiteurs. Libre à vous de les mentionner dans votre politique de cookies : la plupart les considèrent comme fonctionnels.
Puis-je obtenir un accord de traitement des données ?
Oui. Écrivez à management@sri-group.eu et nous vous enverrons notre accord de traitement des données à signer.
Un visiteur peut-il faire effacer ses données ?
Oui. Vous retrouvez la conversation dans Activité et la supprimez. Les coordonnées et les tickets se suppriment chacun à part, et un fichier envoyé par un visiteur peut être effacé séparément.