Politique de confidentialité

1. Responsable du traitement

2. Données que nous collectons

Données d'identité

• Nom, adresse e-mail, pays de résidence

Données de paiement

• Coordonnées bancaires traitées exclusivement par Stripe : jamais stockées sur nos serveurs
• Historique des transactions, informations de facturation
• Pour l'essai : l'empreinte de votre carte, fournie par Stripe (un identifiant identique pour une même carte, qui ne contient pas son numéro)

Données d'usage

• Journaux de connexion, relevés d'activité
• Préférences du terminal, listes de suivi enregistrées, historique d'analyses
• Requêtes BRAIN AI : relayées par nos serveurs vers l'hébergeur du modèle d'IA ; nous conservons un journal technique (date, tailles en jetons, coût, temps de réponse) sans le contenu de vos messages

Données techniques

• Adresse IP, navigateur, système d'exploitation, type d'appareil
• Cookies et technologies de suivi similaires (voir la Politique cookies)

3. Pourquoi nous traitons vos données

• Fourniture du service : gestion du compte, accès au terminal
• Amélioration du service : analyse, corrections de bugs, performance
• Communications : e-mails transactionnels, newsletter optionnelle (sur consentement)
• Conformité légale et fiscale : registres comptables, prévention de la fraude
• Sécurité : contrôle d'accès, détection des abus
• BRAIN AI : produire les réponses que vous demandez, appliquer les limites d'usage de votre formule
• Un essai par personne : vérifier que l'essai n'a pas déjà été utilisé avec la même adresse e-mail ou la même carte

4. Bases légales (article 6 du RGPD)

• Exécution du contrat : pour fournir le service auquel vous souscrivez
• Consentement explicite : pour les communications marketing et les cookies optionnels
• Intérêt légitime : sécurité, lutte contre la fraude, amélioration du produit
• Obligation légale : comptabilité, registres fiscaux
• BRAIN AI : exécution du contrat pour produire les réponses que vous demandez ; intérêt légitime pour le journal technique des requêtes (limites d'usage de votre formule, suivi des coûts, sécurité) et pour le décompte mensuel des requêtes faites avec votre propre clé (statistiques d'usage)
• Essai : intérêt légitime à limiter l'essai à un par personne (vérification de l'adresse e-mail et de l'empreinte de la carte)

5. Durées de conservation

6. Sous-traitants et autres destinataires

• Stripe : traitement des paiements (UE et États-Unis ; Data Privacy Framework UE-États-Unis, avec clauses contractuelles types le cas échéant)
• Cloudflare : hébergement, CDN, sécurité (États-Unis et UE ; Data Privacy Framework UE-États-Unis, avec clauses contractuelles types en secours)
• Resend (Plus Five Five, Inc.) : e-mails de service, comme les codes de connexion et les messages liés à l'abonnement (société située aux États-Unis, e-mails envoyés depuis l'Irlande ; Data Privacy Framework UE-États-Unis, avec clauses contractuelles types)
• OpenRouter, Inc. : acheminement des requêtes BRAIN AI vers l'hébergeur du modèle d'IA (États-Unis, clauses contractuelles types de l'UE). Le modèle est DeepSeek V4 Flash, un modèle à poids ouverts publié par DeepSeek. Il tourne chez des hébergeurs sous liste blanche situés aux États-Unis (DigitalOcean, DeepInfra, Parasail, CoreWeave), engagés par OpenRouter comme sous-traitants ultérieurs sous les mêmes clauses, en rétention zéro : vos messages sont traités pour produire la réponse, ni conservés ni utilisés pour l'entraînement. Pour la recherche web, la requête contient aussi les résultats de recherche qu'OpenRouter a obtenus de Perplexity (voir ci-dessous). Rien n'est envoyé à DeepSeek ni en Chine.
• Cloudflare AI Gateway : relais et comptage des requêtes BRAIN AI (réseau mondial de Cloudflare, dont les États-Unis et l'UE ; Data Privacy Framework UE-États-Unis, avec clauses contractuelles types en secours) ; métadonnées seules, aucun contenu de message n'est journalisé
• Perplexity AI, Inc. (États-Unis) : recherche web, pour les seules requêtes de recherche (RESEARCH EXT). Pour ces requêtes, OpenRouter effectue une seule recherche sur l'API de recherche de Perplexity (Search API), avec le nom de l'actif que vous avez demandé. Le serveur d'EPTA5 retire tout le reste avant que la requête ne parte, y compris votre message, votre nom, votre adresse e-mail et votre identifiant de compte. Perplexity renvoie des titres, des liens et des extraits de pages web publiques, dont le modèle d'IA se sert pour rédiger le rapport. Base du transfert : clauses contractuelles types de l'UE (module responsable du traitement vers sous-traitant) et, pour les transferts depuis le Royaume-Uni, l'avenant britannique à ces clauses, prévus par le contrat entre EPTA5 et OpenRouter ; Perplexity AI, Inc. est en outre certifiée au titre du Data Privacy Framework UE-États-Unis et de son extension britannique. La rétention zéro décrite plus haut ne couvre pas cette étape : OpenRouter indique que Perplexity applique sa propre politique de conservation, et les conditions de Perplexity pour son API de recherche l'autorisent à conserver, copier, diffuser et utiliser les requêtes et les résultats de recherche à ses propres fins commerciales, y compris pour améliorer et développer ses produits et services, sans fixer de durée de conservation. N'incluez aucune donnée personnelle dans une requête de recherche.

BRAIN AI avec votre propre clé

Si vous branchez votre propre clé OpenAI, Google ou Anthropic, vos messages et le contexte EPTA5 qui les accompagne partent directement de votre navigateur vers ce fournisseur (États-Unis), selon ses propres conditions et sa politique de confidentialité. EPTA5 n'en reçoit pas le contenu, et les garanties du moteur EPTA5 (hébergeurs sous liste blanche, rétention zéro) ne s'appliquent pas. Avec une clé Google, utilisez une clé payante : avec l'offre gratuite de Google, Google peut utiliser vos messages pour améliorer ses produits, et des personnes peuvent les lire. EPTA5 compte seulement le nombre de requêtes que vous faites chaque mois civil, sans leur contenu, pour ses statistiques d'usage de BRAIN AI ; ce décompte ne limite pas vos requêtes.

Chaque transfert hors de l'EEE repose sur la base indiquée ci-dessus pour chaque destinataire : soit le Data Privacy Framework UE-États-Unis (décision d'exécution (UE) 2023/1795 de la Commission), pour les sociétés américaines certifiées, soit les clauses contractuelles types de l'UE (décision d'exécution (UE) 2021/914 de la Commission). Pour les transferts depuis le Royaume-Uni, l'extension britannique du Data Privacy Framework ou l'avenant britannique à ces clauses joue le même rôle. Vous pouvez obtenir une copie de ces garanties en écrivant à dpo@epta5.com.

7. Vos droits au titre du RGPD

Vous pouvez, à tout moment, exercer les droits suivants :

• Accès · obtenir une copie de vos données
• Rectification · corriger des données inexactes
• Effacement · « droit à l'oubli »
• Limitation · restreindre le traitement
• Portabilité · recevoir vos données dans un format structuré
• Opposition · vous opposer à certains traitements (notamment le marketing)
• Retrait du consentement · pour tout traitement fondé sur le consentement

Adressez votre demande à dpo@epta5.com. Nous répondons sous 30 jours.

8. Cookies

Les cookies essentiels ne nécessitent aucun consentement. Les cookies de mesure d'audience et fonctionnels requièrent votre consentement explicite via la bannière lors de votre première visite. Tous les détails dans notre Politique cookies.

9. Mineurs

EPTA5 est destiné aux utilisateurs âgés de 18 ans ou plus. Nous ne collectons pas sciemment de données auprès de mineurs. Si vous pensez que tel est le cas, contactez dpo@epta5.com.

10. Autorité de contrôle

Vous pouvez introduire une réclamation auprès de l'autorité française de protection des données : CNIL · 3 place de Fontenoy, 75007 Paris.

11. Mises à jour

Nous pouvons mettre à jour cette politique. Les changements importants seront notifiés par e-mail et annoncés sur cette page. La date « Dernière mise à jour » ci-dessus reflète toujours la version en vigueur.