Politique de confidentialité

1. Responsable de traitement

• Mehdi Bennis Entrepreneur individuel, exerçant sous le nom commercial Noryzia
• Adresse : 1038 Route de Villette, 38380 Saint-Laurent-du-Pont, France
• SIRET : 105 346 704 00015 RCS Grenoble n° 105 346 704
• Contact général : contact@noryzia.com
• Contact pour les questions RGPD : contact@noryzia.com

2. Engagements de souveraineté

Noryzia s'engage de manière contractuelle et opérationnelle à :

• Héberger l'intégralité des données en France métropolitaine, chez Scaleway SAS (Paris, ISO 27001)
• Ne transférer aucune donnée hors de l'Union européenne dans la configuration par défaut — hébergement, calcul, indexation, sauvegarde et envoi d'e-mails sont assurés par des prestataires français (Scaleway, OVH)
• Ne jamais utiliser les contenus du Client pour entraîner des modèles d'IA, internes ou externes
• Ne jamais revendre, partager ou monétiser les données personnelles à des fins commerciales ou publicitaires

Les seules exceptions possibles, nommément. Nous préférons les énumérer plutôt que formuler un engagement absolu que deux fonctionnalités optionnelles viendraient contredire. Toutes deux sont désactivées par défaut et ne s'activent que par une action explicite de l'administrateur de votre organisation ou de vous-même :

• Recherche web en temps réel — Brave Search (États-Unis), avec repli DuckDuckGo. Seuls les termes de la recherche sont transmis : aucun document, aucun fichier, aucun extrait de vos contenus.
• Connecteur WhatsApp — Meta Platforms (États-Unis), pour les seuls messages que vous choisissez d'importer.

Ces transferts reposent sur les clauses contractuelles types de la Commission européenne. Si votre organisation souhaite exclure toute possibilité de transfert hors UE, ces deux fonctionnalités peuvent être verrouillées définitivement au niveau de votre espace : il suffit d'en faire la demande à contact@noryzia.com.

3. Données collectées

Données d'identification du compte :

• Nom d'utilisateur, nom d'affichage, adresse email professionnelle
• Mot de passe (stocké sous forme chiffrée bcrypt, jamais en clair)
• Nom de la société et secteur d'activité (déclaratif)
• Rôle au sein de l'organisation

Contenus utilisateur :

• Documents téléversés (PDF, DOCX, XLSX, TXT, EML, etc.)
• Requêtes saisies dans le chat et réponses générées par l'IA
• Métadonnées de connecteurs (Google Drive, IMAP, Notion, etc.)

Données techniques (logs) :

• Adresse IP de connexion (anonymisée après 30 jours)
• Identifiant de session, user-agent
• Logs d'audit LLM (requête, type, latence, modèle utilisé, tokens, statut)

Aucune donnée biométrique, aucune donnée de santé, aucune donnée de mineur n'est collectée.

4. Finalités et bases légales

5. Données Google Drive et Gmail

Lorsque vous connectez Google Drive ou Gmail à Noryzia, nous accédons uniquement aux fichiers, dossiers, emails et métadonnées que vous autorisez afin de fournir le Service.

• Finalités : indexer vos contenus, permettre la recherche documentaire et email, répondre à vos questions avec citations et éviter la ressaisie manuelle
• Périmètre : seuls les contenus sélectionnés ou rendus accessibles par votre configuration sont traités
• Stockage : les données indexées et les jetons techniques associés sont hébergés en France dans l'infrastructure Noryzia
• Partage : les données Google ne sont ni vendues, ni partagées à des fins publicitaires, ni utilisées pour entraîner des modèles d'IA
• Contrôle : vous pouvez à tout moment déconnecter Google Drive ou Gmail dans l'application et révoquer l'accès depuis votre compte Google

6. Sous-traitants (Art. 28 RGPD)

Noryzia fait appel à des sous-traitants encadrés par des accords conformes à l'article 28 du RGPD :

• Scaleway SAS (France) — hébergement, stockage, calcul, inférence LLM
• OVHcloud SAS (France) — hébergement du site vitrine et acheminement des emails
• Web3Forms — acheminement des formulaires de contact et de demande de pilote de ce site (nom, adresse email, société, message). Ne concerne pas les données traitées dans l'application.
• Google Ireland Ltd / Google LLC (Irlande, États-Unis) — mesure d'audience du site vitrine via Google Analytics, uniquement si vous l'acceptez. Ne concerne pas l'application.

La liste actualisée est disponible sur demande à contact@noryzia.com.

7. Durées de conservation

• Données du compte actif : durée de l'abonnement
• Données du compte résilié : 30 jours pour l'export RGPD, puis suppression irréversible sous 90 jours
• Documents et contenus indexés : conservés tant que le Client ne les supprime pas (droit à l'effacement Art. 17)
• Logs d'audit LLM : 12 mois
• Logs techniques de sécurité : 1 an (Art. 6 LCEN)
• Factures et données comptables : 10 ans (Code de commerce L123-22)

8. Sécurité des données (Art. 32 RGPD)

• Chiffrement en transit (TLS 1.3, HSTS)
• Chiffrement au repos (AES-256 chez l'hébergeur, tokens OAuth chiffrés Fernet par tenant)
• Authentification JWT RS256 (RSA 2048 bits), bcrypt 12 rounds, vérification email
• Isolation tenant : chaque client dispose d'un espace logique étanche
• Audit et traçabilité complète conservés 12 mois
• Notification de violation sous 72 heures (article 33 RGPD)

9. Vos droits RGPD (Art. 15 à 22)

• Droit d'accès (Art. 15) - obtenir une copie des données traitées vous concernant
• Droit de rectification (Art. 16) - corriger toute donnée inexacte
• Droit à l'effacement (Art. 17) - bouton « Supprimer mon compte » disponible dans votre espace
• Droit à la portabilité (Art. 20) - exporter vos données au format JSON / ZIP
• Droit d'opposition (Art. 21) -
• Droit à la limitation (Art. 18) -
• Droit de retirer votre consentement à tout moment (Art. 7)

Pour exercer ces droits, contactez-nous à contact@noryzia.com. Une réponse vous sera apportée dans un délai maximum d'un (1) mois à compter de la réception.

10. Cookies et traceurs

L'application Noryzia n'utilise que des cookies strictement nécessaires à son fonctionnement (authentification), exemptés de consentement conformément à l'article 82 de la loi Informatique et Libertés. Aucun traceur tiers n'y est déposé, et vos documents ne sont jamais exposés à un outil de mesure.

Ce site vitrine utilise en plus, si et seulement si vous l'acceptez, Google Analytics pour mesurer sa fréquentation (pages vues, provenance des visites, type d'appareil).

• Avant votre choix, aucun script Google n'est chargé et aucun cookie de mesure n'est déposé.
• Cookies déposés après acceptation : _ga et _ga_*, durée maximale 13 mois.
• Destinataire : Google Ireland Ltd, avec transfert possible vers Google LLC aux États-Unis, encadré par le Data Privacy Framework UE–États-Unis.
• Base légale : votre consentement (art. 6.1.a RGPD).
• Votre choix est conservé 6 mois, puis vous sera redemandé. Un refus n'a aucune conséquence sur votre navigation.

Vous pouvez retirer votre consentement à tout moment via le lien « Gérer les cookies » en bas de chaque page : l'envoi s'arrête immédiatement et les cookies de mesure sont effacés.

Les polices de caractères sont hébergées sur nos propres serveurs : votre adresse IP n'est transmise à aucun fournisseur tiers lors du simple affichage d'une page, avant tout choix de votre part.

11. Autorité de contrôle (CNIL)

Si, après nous avoir contactés, vous estimez que vos droits Informatique et Libertés ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• 3 Place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07
• cnil.fr/plaintes (ouvre dans un nouvel onglet)

12. Modifications de la politique

Cette politique peut être amenée à évoluer. Toute modification substantielle est notifiée par email aux utilisateurs et publiée sur cette page au moins 30 jours avant son entrée en vigueur.