Protection des données

Partie A · Les données de nos clients dans emi

1. Rôles et cadre juridique

emi est un service édité par APRESTA (Société à responsabilité limitée (SARL), SIREN 537 518 540, 486 rue Sadi Carnot, 59184 Sainghin-en-Weppes, France), sous la marque aprestIA. Les traitements sont soumis au Règlement général sur la protection des données (RGPD, UE 2016/679), à la loi française Informatique et Libertés et, pour les personnes et traitements concernés, à la loi fédérale suisse sur la protection des données (nLPD).

• Votre entreprise est responsable du traitement des données qu’elle et ses utilisateurs confient à emi (conversations, documents, données issues des connecteurs, comptes utilisateurs). Elle détermine les finalités et les moyens de leur utilisation.
• APRESTA agit comme sous-traitant au sens de l’article 28 du RGPD et de l’article 9 de la nLPD : elle traite ces données pour votre compte, sur vos instructions documentées, et uniquement pour fournir le service.
• APRESTA est responsable du traitement pour ses propres besoins de gestion de la relation client : contrat, facturation, support, ainsi que pour les données des visiteurs du site (voir la partie B).

Ces engagements sont formalisés dans un accord de traitement des données (DPA) annexé au contrat d’abonnement. En cas de divergence, le contrat signé prévaut sur cette page.

2. Données traitées dans emi

• Contenus : questions posées à l’assistant et réponses générées, documents déposés dans la Médiathèque, contenus consultés via les connecteurs que vos utilisateurs activent.
• Données des utilisateurs : nom, prénom, adresse e-mail professionnelle, service, rôle et droits d’accès, acceptation de la charte IA.
• Données d’usage et techniques : journaux de connexion et de sécurité, consommation de tokens et de quotas, paramètres de l’espace.

Les personnes concernées sont vos collaborateurs et, selon les documents que vous déposez, vos clients, fournisseurs ou partenaires. Vous choisissez librement ce que vous confiez à emi et ce que l’IA a le droit de lire (interrupteur « lisible par l’IA », droits par dossier).

Données sensibles. emi est conçu pour le travail administratif et documentaire. Les catégories particulières de données (santé, opinions, données biométriques, condamnations…) et les données couvertes par un secret professionnel renforcé ne doivent y être déposées qu’après analyse de votre part et, le cas échéant, accord contractuel spécifique. En France, les données de santé à caractère médical relèvent d’un hébergement certifié HDS : contactez-nous avant tout usage de ce type.

3. Nos engagements de sous-traitant

Conformément à l’article 28 du RGPD, APRESTA s’engage à :

• ne traiter vos données que sur vos instructions documentées, y compris pour tout transfert, et vous alerter si une instruction lui paraît contraire à la réglementation ;
• garantir la confidentialité des données : toute personne autorisée à y accéder est soumise à une obligation de confidentialité contractuelle ou légale ;
• mettre en œuvre les mesures de sécurité décrites à la section 7 ;
• ne recourir à un sous-traitant ultérieur qu’aux conditions de la section 6 ;
• vous aider à répondre aux demandes d’exercice des droits des personnes ;
• vous aider à garantir la sécurité, à notifier les violations de données et à réaliser vos analyses d’impact (AIPD) et consultations préalables, en vous fournissant les informations dont nous disposons ;
• à la fin du contrat, vous restituer puis supprimer les données, selon votre choix (section 11) ;
• mettre à votre disposition les informations nécessaires pour démontrer le respect de ces obligations et permettre des audits (section 16) ;
• tenir un registre des traitements effectués pour votre compte.

4. Aucun entraînement, aucune réutilisation

• Vos conversations, documents et données ne servent jamais à entraîner, affiner ou évaluer un modèle d’IA, ni chez nous ni chez un tiers.
• Les modèles d’IA open source utilisés par emi sont exécutés sur notre infrastructure en Suisse : vos contenus ne sont pas envoyés à un fournisseur de modèle.
• Vos données ne sont ni vendues, ni louées, ni partagées à des fins commerciales ou publicitaires, et ne font l’objet d’aucun profilage pour notre propre compte.
• Seules des statistiques d’usage (volumes de tokens, nombre d’utilisateurs actifs) sont exploitées, pour la facturation, la gestion des quotas et le dimensionnement du service.

5. Localisation et transferts

Les données de l’application sont hébergées et traitées en Suisse, dans les centres de données de Infomaniak Network SA. La Suisse bénéficie d’une décision d’adéquation de la Commission européenne (2000/518/CE, confirmée le 15 janvier 2024) : les données peuvent y circuler depuis l’Union européenne sans garanties supplémentaires. Aucun transfert vers un pays tiers ne présentant pas un niveau de protection adéquat n’est réalisé sans votre instruction préalable et les garanties prévues aux articles 44 et suivants du RGPD.

Connecteurs. Lorsqu’un utilisateur relie emi à un service tiers (par exemple une messagerie), les échanges avec ce service ont lieu à votre initiative et selon les conditions de votre propre contrat avec son éditeur, qui n’est pas notre sous-traitant. L’administrateur choisit les connecteurs disponibles ; chaque utilisateur peut révoquer ses connexions à tout moment.

6. Sous-traitants ultérieurs

Tout ajout ou remplacement d’un sous-traitant ultérieur vous est notifié au moins 30 jours à l’avance. Vous pouvez vous y opposer pour un motif légitime ; à défaut d’accord, vous pouvez résilier le service concerné sans pénalité. Chaque sous-traitant ultérieur est lié par des obligations au moins équivalentes à celles de cette page, et APRESTA reste pleinement responsable envers vous de leur exécution (article 28.4 du RGPD).

7. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées au risque (article 32 du RGPD, article 8 de la nLPD), notamment :

• Chiffrement en transit de tous les échanges entre vos appareils et emi (HTTPS/TLS).
• Centres de données certifiés : notre hébergeur est certifié ISO 27001:2022 (sécurité de l’information) et ISO 9001:2015.
• Cloisonnement : les données de chaque client sont isolées logiquement de celles des autres clients ; dans votre espace, les droits par dossier (Gestion, Contribution, Lecture, Aucun) sont respectés par l’IA, qui ne cite jamais un document que l’utilisateur n’a pas le droit de lire.
• Contrôle des accès : authentification des utilisateurs, gestion des rôles par vos administrateurs, principe du moindre privilège pour nos équipes.
• Sauvegardes régulières, stockées en Suisse, conservées 30 jours puis écrasées, et testées pour garantir la restauration.
• Maintien en condition de sécurité : mises à jour, correctifs, surveillance de l’infrastructure et journalisation des événements de sécurité.
• Organisation : engagements de confidentialité des intervenants, procédure de gestion des incidents, sensibilisation des équipes.

La description détaillée des mesures est communiquée sur demande, sous engagement de confidentialité.

8. Accès par nos équipes

Les membres habilités de nos équipes n’accèdent à vos contenus que lorsque c’est strictement nécessaire : à votre demande pour une opération de support, pour traiter un incident de sécurité ou pour répondre à une obligation légale. Ils ne consultent jamais vos conversations ou vos documents à d’autres fins, notamment commerciales ou d’amélioration du produit.

9. Violations de données

En cas de violation de données personnelles (perte, altération, divulgation ou accès non autorisé) affectant vos données, APRESTA :

• vous notifie dans un délai maximal de 48 heures après en avoir pris connaissance, par e-mail à l’adresse de contact de votre compte ;
• vous communique la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises ou envisagées, puis complète ces informations au fur et à mesure ;
• prend sans délai les mesures pour contenir l’incident et en limiter les effets ;
• vous assiste pour la notification à l’autorité de contrôle (CNIL : 72 heures au plus tard ; en Suisse, le PFPDT dans les meilleurs délais) et, si nécessaire, l’information des personnes concernées ;
• documente chaque violation dans son registre interne.

10. Droits des personnes

Les personnes dont les données sont traitées dans emi disposent des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Votre entreprise, responsable du traitement, y répond ; vos administrateurs disposent pour cela des outils de l’Administration et de la Médiathèque. Nous vous apportons l’assistance nécessaire pour les demandes que vous ne pouvez pas traiter seuls. Si une demande nous parvient directement, nous vous la transmettons sans délai et n’y répondons pas sans votre accord.

11. Conservation et suppression

• Pendant le contrat, vos données sont conservées tant que vous les gardez dans emi. Un document supprimé de la Médiathèque n’est plus utilisé par l’IA ; les éléments supprimés disparaissent des sauvegardes au terme de leur rotation (30 jours).
• Journaux techniques : conservés pour une durée limitée, proportionnée aux besoins de sécurité et de facturation.
• À la fin du contrat, vous disposez de 30 jours pour récupérer vos données (section 12). Elles sont ensuite effacées définitivement, sauvegardes comprises, au plus tard 60 jours après la fin du contrat. Une attestation de suppression vous est remise sur demande.
• Seules les données que la loi nous oblige à conserver (par exemple les pièces comptables et de facturation) sont gardées au-delà, pour la durée légale.

12. Réversibilité et portabilité

Vous n’êtes jamais captif de emi. À tout moment pendant le contrat, et dans la fenêtre de récupération qui suit sa fin, vous pouvez obtenir l’export de vos données :

• les documents de la Médiathèque dans leur format d’origine ;
• les conversations, la liste des utilisateurs, leurs rôles et les paramètres de l’espace dans un format structuré, ouvert et lisible par machine ;
• une assistance raisonnable pour faciliter la reprise par vos équipes ou par un autre prestataire.

L’export standard est inclus dans l’abonnement. Une assistance de migration spécifique peut faire l’objet d’un devis préalable.

13. Continuité du service et défaillance

Une IA d’entreprise devient vite un outil du quotidien. Voici ce qui est prévu si quelque chose ne fonctionne pas comme attendu, y compris dans les cas les plus graves.

13.1 Incident technique ou panne

En cas d’indisponibilité ou de perte de données liée à un incident, nous rétablissons le service et restaurons les données à partir des sauvegardes les plus récentes. Les clients concernés sont informés de l’incident, de son impact et de sa résolution. Les engagements de disponibilité et les éventuelles compensations sont définis dans le contrat.

13.2 Défaillance d’un sous-traitant

Si notre hébergeur ou un autre sous-traitant ultérieur venait à faire défaut, APRESTA reste seule responsable envers vous. Nous organiserions la migration vers un prestataire offrant des garanties équivalentes, en Suisse ou dans l’Union européenne, selon la procédure de la section 6, en vous tenant informé à chaque étape.

13.3 Arrêt du service ou défaillance d’Apresta

Si APRESTA décidait d’arrêter emi, cédait son activité, ou faisait l’objet d’une procédure de sauvegarde, de redressement ou de liquidation judiciaire :

• Vos données restent votre propriété. Elles ne font pas partie des actifs d’APRESTA et ne peuvent être ni vendues, ni exploitées, ni transférées à un tiers pour d’autres finalités que la fourniture du service à votre entreprise.
• Préavis : en cas d’arrêt programmé du service, vous êtes prévenu au moins 3 mois à l’avance, afin d’organiser la transition.
• Récupération garantie : l’export de vos données (section 12) reste possible pendant toute la durée du préavis puis pendant la fenêtre de récupération de 30 jours.
• Reprise par un successeur : en cas de cession ou de reprise de l’activité, le repreneur est tenu par les mêmes engagements. Vous en êtes informé et pouvez refuser le transfert, résilier, récupérer vos données et demander leur suppression.
• Procédure collective : nous nous engageons à communiquer ces obligations aux organes de la procédure (administrateur, mandataire ou liquidateur) afin que la restitution puis la suppression de vos données soient assurées, dans les limites prévues par la loi.
• Suppression finale : à l’issue de la restitution, les données sont effacées chez APRESTA et chez ses sous-traitants ultérieurs, sauvegardes comprises.

13.4 Limites de l’IA

Comme tout système d’IA générative, emi peut produire des réponses inexactes ou incomplètes. emi cite ses sources pour faciliter la vérification ; les contenus générés doivent être relus par un humain avant tout usage engageant. emi ne prend aucune décision produisant des effets juridiques à l’égard d’une personne (article 22 du RGPD, article 21 de la nLPD) : ces décisions restent de la responsabilité de vos collaborateurs.

14. Demandes des autorités

Si une autorité nous demande l’accès à vos données, nous vérifions la légalité et la portée de la demande, la contestons si elle nous paraît infondée, ne communiquons que le strict nécessaire et vous en informons préalablement, sauf interdiction légale.

15. Vos responsabilités

En tant que responsable du traitement, votre entreprise s’engage notamment à :

• disposer d’une base légale pour les données qu’elle confie à emi et informer ses collaborateurs de l’utilisation de l’outil ;
• ne déposer que les documents nécessaires et régler les droits d’accès et l’interrupteur « lisible par l’IA » en conséquence ;
• définir une charte d’usage de l’IA, sécuriser les comptes administrateurs et retirer les accès des personnes qui quittent l’entreprise ;
• évaluer, avant de les activer, les connecteurs vers des services tiers ;
• respecter ses propres obligations au titre du règlement européen sur l’IA (AI Act) en tant que déployeur, notamment la maîtrise de l’IA par ses équipes, que l’Académie emi peut accompagner.

16. Documentation et audits

Sur demande, nous vous transmettons l’accord de traitement des données, la liste à jour des sous-traitants ultérieurs, la description des mesures de sécurité et les certificats de notre hébergeur, et répondons à vos questionnaires de sécurité. Vous pouvez réaliser, ou faire réaliser par un auditeur tenu au secret, un audit de conformité, moyennant un préavis raisonnable et selon les modalités prévues au contrat.

Partie B · Visiteurs du site et prospects

17. Visiteurs du site et demandes de démo

Responsable du traitement : APRESTA, 486 rue Sadi Carnot, 59184 Sainghin-en-Weppes, France — contact@apresta.fr.

Données collectées. Le formulaire de demande de démo collecte vos prénom, nom, e-mail professionnel, entreprise, taille de l’entreprise, secteur et votre message. L’hébergeur du site enregistre des données techniques (journaux du serveur, adresse IP, navigateur) pour la sécurité et le bon fonctionnement du site.

Finalités et bases légales. Organiser la démonstration et répondre à votre demande (mesures précontractuelles prises à votre demande) ; assurer le suivi commercial de votre projet (intérêt légitime) ; garantir la sécurité du site et prévenir les abus (intérêt légitime).

Destinataires et localisation. Les équipes habilitées d’APRESTA et les seuls prestataires techniques nécessaires à l’hébergement du site et à l’envoi des e-mails. Le site est hébergé en Suisse par Infomaniak Network SA. Vos données ne sont ni vendues, ni cédées.

Durée de conservation. 3 ans au maximum après le dernier contact, sauf si vous devenez client ; les journaux techniques pour une durée limitée.

Cookies. Aucun cookie de mesure d’audience ni de suivi publicitaire, aucun service tiers de suivi. Un cookie de session strictement technique est déposé uniquement sur la page de demande de démo (jeton de sécurité du formulaire) et supprimé à la fermeture du navigateur ; exempté de consentement, il ne sert à aucune autre fin.

18. Contact et réclamations

Pour toute question sur cette page ou pour exercer vos droits : contact@apresta.fr, ou par courrier à APRESTA, 486 rue Sadi Carnot, 59184 Sainghin-en-Weppes, France. Nous répondons dans un délai d’un mois.

Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr) ou, en Suisse, du Préposé fédéral à la protection des données et à la transparence (edoeb.admin.ch).

Voir aussi : Mentions légales · RGPD & nLPD expliqués · Données en Suisse · Confidentialité.

Dernière mise à jour : novembre 2026.