Politique de Confidentialité
Dernière mise à jour le 22 septembre 2026
La présente politique décrit la manière dont INTUITA traite les données à caractère personnel dans le cadre de la plateforme PAM by Intuita, en application du Règlement (UE) 2016/679 (« RGPD ») et de la loi n° 78-17 du 6 janvier 1978 modifiée.
Responsable de traitement : INTUITA, 27 boulevard Lazare Carnot, 31000 Toulouse, France — 937 928 026 R.C.S. Toulouse. Contact pour toute question ou demande relative aux données : contact@agence-intuita.fr.
1. Rôles respectifs
La qualification d’Intuita varie selon la catégorie de données concernée.
Intuita agit en qualité de responsable de traitement pour les données qu’elle détermine elle-même : comptes des utilisateurs, facturation, support, sécurité et mesure d’usage du service.
Intuita agit en qualité de sous-traitant pour les données à caractère personnel éventuellement contenues dans les contenus que le client téléverse ou saisit dans la plateforme — documents de marque, images, notes vocales, messages de conversation. Le client en est le responsable de traitement : il détermine les finalités, s’assure de disposer d’une base légale et répond des données qu’il choisit d’y introduire. Ces traitements sont encadrés par un accord de sous-traitance conclu au titre de l’article 28 du RGPD.
La plateforme n’est pas conçue pour traiter des catégories particulières de données au sens de l’article 9 du RGPD, ni des données relatives à des condamnations pénales. Le client s’engage à ne pas en introduire.
2. Données traitées
- Données de compte et d’organisation
- Nom, prénom, adresse électronique professionnelle, identifiant technique du compte, organisation de rattachement, rôle et droits, date de création, préférences d’affichage et de langue.
- Données de connexion et de sécurité
- Adresse IP, horodatage des connexions et des requêtes, identifiant de session, type de navigateur et de système, journaux techniques d’erreur.
- Contenus déposés par le client
- Documents de marque et leurs représentations vectorielles, images téléversées ou générées, enregistrements vocaux et leur transcription, messages échangés avec les agents, mémoire de marque. Ces contenus peuvent incidemment comporter des données à caractère personnel, dont le client répond.
- Données de facturation
- Raison sociale, adresse de facturation, numéro de TVA, identifiant client du prestataire de paiement, historique des factures et des règlements. Intuita n’a jamais accès aux numéros de carte bancaire, traités directement par le prestataire de paiement.
- Données d’usage
- Volume de traitement consommé, agent sollicité, modèle employé, horodatage et coût associé, rattachés à l’organisation et au compte à l’origine de la demande.
- Données de support et d’administration
- Échanges relatifs à une demande d’assistance et journaux des actions réalisées par les administrateurs d’Intuita sur un espace client.
3. Finalités et bases légales
| Finalité | Données concernées | Base légale |
|---|---|---|
| Créer et administrer les comptes et les organisations, fournir la plateforme et ses agents | Compte, organisation, contenus déposés | Exécution du contrat (art. 6.1.b) |
| Facturer le service, suivre la consommation et recouvrer les sommes dues | Facturation, usage | Exécution du contrat (art. 6.1.b) |
| Assurer la sécurité de la plateforme, prévenir et détecter les abus et les fraudes | Connexion, sécurité, usage | Intérêt légitime d’Intuita à protéger son service et ses clients (art. 6.1.f) |
| Répondre aux demandes de support et diagnostiquer les incidents | Compte, support, journaux, contenus le cas échéant | Exécution du contrat et intérêt légitime (art. 6.1.b et 6.1.f) |
| Mesurer et améliorer le service au moyen de statistiques agrégées et anonymisées | Usage, journaux techniques | Intérêt légitime d’Intuita à faire évoluer son service (art. 6.1.f) |
| Respecter les obligations comptables, fiscales et de conservation | Facturation | Obligation légale (art. 6.1.c) |
| Constater, exercer et défendre des droits en justice | Selon le litige | Intérêt légitime d’Intuita (art. 6.1.f) |
Aucune décision produisant des effets juridiques ou affectant de manière significative une personne n’est prise sur le seul fondement d’un traitement automatisé. Aucune donnée n’est vendue, louée ou cédée à des tiers à des fins de prospection.
4. Traitement par les modèles d’intelligence artificielle
Le fonctionnement de la plateforme suppose la transmission des instructions du client et des extraits pertinents de ses contenus aux fournisseurs de modèles, aux seules fins de produire la réponse demandée.
Ces données ne sont pas utilisées pour entraîner des modèles d’intelligence artificielle, ni par Intuita, ni par ses fournisseurs. Intuita recourt aux offres professionnelles de ces fournisseurs, dont les conditions excluent contractuellement l’usage des données transmises par interface de programmation à des fins d’entraînement.
Les fournisseurs peuvent conserver temporairement les requêtes à des fins de sécurité et de prévention des abus, pour une durée limitée définie par leurs conditions, avant suppression.
Le fournisseur de modèles applicable à une organisation est paramétrable. Une organisation soumise à des exigences renforcées de localisation peut demander à Intuita de n’activer que des fournisseurs établis dans l’Union européenne.
5. Destinataires et sous-traitants ultérieurs
Les données sont accessibles aux personnels habilités d’Intuita dans la limite de leurs attributions, ainsi qu’aux prestataires suivants, agissant sur instruction d’Intuita :
| Prestataire | Rôle | Localisation du traitement |
|---|---|---|
| Scaleway SAS | Hébergement : calcul, base de données, stockage des fichiers, base vectorielle, sauvegardes | France (région fr-par) — Union européenne |
| Mistral AI SAS | Inférence des modèles de langage, vectorisation des documents, transcription vocale | France — Union européenne |
| Clerk, Inc. | Authentification, gestion des comptes, des organisations et des invitations | États-Unis — hors Union européenne |
| Anthropic, PBC | Inférence des modèles de langage (fournisseur activé par défaut) | États-Unis — hors Union européenne |
| OpenAI | Génération d’images ; sur option de l’organisation, vectorisation et transcription vocale | États-Unis — hors Union européenne |
| Stripe Payments Europe, Ltd. | Traitement des paiements et facturation | Irlande — Union européenne, avec transferts vers Stripe, Inc. aux États-Unis |
| Notion Labs, Inc. | Intégration documentaire, uniquement si l’organisation la connecte volontairement | États-Unis — hors Union européenne |
Les données peuvent en outre être communiquées aux autorités administratives ou judiciaires lorsque la loi l’impose, ainsi qu’aux conseils d’Intuita dans le cadre de la défense de ses droits.
Intuita informe le client de tout projet de changement de sous-traitant affectant le traitement de ses contenus, dans les conditions prévues par l’accord de sous-traitance, afin de lui permettre d’élever des objections.
6. Transferts hors de l’Union européenne
L’hébergement de la plateforme — serveurs de calcul, base de données, fichiers, base vectorielle et sauvegardes — est intégralement réalisé en France. Les contenus déposés par le client y sont stockés et n’en sortent pas, hors les transmissions ponctuelles décrites ci-dessous.
Certains traitements supposent toutefois une transmission vers des prestataires établis aux États-Unis : l’authentification des comptes, l’inférence de certains modèles, la génération d’images, le paiement, ainsi que l’intégration documentaire si le client l’active. Ces transmissions sont ponctuelles et proportionnées à la fonctionnalité concernée.
Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne le 4 juin 2021, complétées par une analyse d’impact des transferts et par des mesures techniques telles que le chiffrement des communications en transit et la minimisation des données transmises. Plusieurs de ces prestataires sont en outre certifiés au titre du cadre de protection des données UE–États-Unis.
Une copie des garanties applicables peut être obtenue sur demande auprès de contact@agence-intuita.fr.
7. Durées de conservation
| Catégorie | Durée de conservation |
|---|---|
| Compte utilisateur et organisation | Durée du contrat, puis suppression à l’issue du délai de réversibilité de trente (30) jours |
| Contenus déposés par le client et contenus générés | Durée du contrat. À compter de la résiliation, trente (30) jours pendant lesquels l’export peut être demandé, puis suppression des systèmes de production |
| Sauvegardes | Écrasement selon le cycle de rotation, dans un délai maximal de trente (30) jours après la suppression en production |
| Contenu supprimé par le client en cours de contrat | Suppression des systèmes de production à la demande, sauvegardes purgées sous trente (30) jours |
| Données de facturation et pièces comptables | Dix (10) ans à compter de la clôture de l’exercice, conformément à l’article L. 123-22 du Code de commerce |
| Données d’usage et de consommation | Durée du contrat, puis trois (3) ans à des fins de preuve |
| Journaux de connexion et de sécurité | Douze (12) mois |
| Journaux des actions d’administration | Douze (12) mois |
| Échanges de support | Trois (3) ans à compter du dernier échange |
| Données de prospects et de contact commercial | Trois (3) ans à compter du dernier contact |
8. Sécurité
Intuita met en œuvre des mesures techniques et organisationnelles appropriées au regard du risque, notamment :
- le chiffrement des communications en transit et le chiffrement des données au repos sur l’infrastructure d’hébergement ;
- le cloisonnement logique des données entre organisations : chaque marque dispose de ses propres collections documentaires, et toute requête est filtrée par l’organisation de l’utilisateur ;
- le chiffrement applicatif des jetons d’accès aux services tiers connectés par le client ;
- la gestion des habilitations selon le principe du moindre privilège, l’authentification des comptes étant déléguée à un prestataire spécialisé ;
- la journalisation des accès et des actions d’administration ;
- la conservation des secrets dans un gestionnaire dédié, hors du code source ;
- des sauvegardes régulières de la base de données et des fichiers.
En cas de violation de données à caractère personnel susceptible d’engendrer un risque pour les droits et libertés des personnes, Intuita notifie la CNIL dans les soixante-douze (72) heures et, lorsque la violation concerne des contenus client, informe le client sans délai injustifié afin de lui permettre de satisfaire à ses propres obligations.
9. Accès du personnel d’Intuita aux espaces clients
Un nombre restreint d’administrateurs habilités d’Intuita dispose de la faculté d’accéder à un espace client, y compris en se plaçant dans le contexte d’un compte utilisateur, afin de traiter une demande d’assistance, de diagnostiquer un incident ou de répondre à une obligation légale.
Ces accès sont limités à ce qui est nécessaire, réservés aux personnes habilitées, soumis à une obligation de confidentialité et systématiquement journalisés : la nature de l’action, son auteur et son horodatage sont enregistrés et conservés douze (12) mois.
11. Droits des personnes concernées
Toute personne concernée dispose, dans les conditions prévues par le RGPD, des droits d’accès, de rectification, d’effacement, de limitation du traitement, d’opposition pour motif tenant à sa situation particulière lorsque le traitement repose sur l’intérêt légitime, et de portabilité des données qu’elle a fournies. Elle peut également définir des directives relatives au sort de ses données après son décès.
Ces droits s’exercent à l’adresse contact@agence-intuita.fr ou par courrier au siège social. Intuita répond dans un délai d’un (1) mois à compter de la réception de la demande, prorogeable de deux (2) mois en cas de complexité. Une preuve d’identité peut être demandée en cas de doute raisonnable sur l’identité du demandeur.
Lorsque la demande porte sur des données contenues dans les contenus déposés par un client, Intuita agit comme sous-traitant : elle transmet la demande au client concerné, seul en mesure d’y répondre, et l’assiste dans son traitement.
Toute personne peut introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur www.cnil.fr.
12. Modification de la présente politique
La présente politique peut être mise à jour afin de refléter les évolutions du service, de ses prestataires ou de la réglementation. La date de dernière mise à jour figure en tête du document.
Toute modification substantielle, notamment l’ajout d’un sous-traitant traitant des contenus client ou l’extension d’une finalité, est notifiée au client par courrier électronique ou par un message affiché dans la plateforme avant son entrée en vigueur.