Politique de confidentialité

Cette politique décrit comment Stratta (ci-après « nous ») traite vos données personnelles, conformément à la Loi fédérale sur la protection des données (nLPD, en vigueur depuis le 1ᵉʳ septembre 2023) et, lorsqu’il s’applique, au Règlement général sur la protection des données (RGPD).

1. Responsable du traitement

Hugo Gebel Développement Conseil, entreprise individuelle de droit suisse, Chemin des Vignes 6, 1135 Denens (VD), identifiée dans les mentions légales. Contact : contact@hgdc.ch.

2. Données que nous traitons

• Compte : adresse e-mail, mot de passe (stocké haché, jamais en clair), et, quand vous ouvrez votre espace, vos prénom, nom et numéro de téléphone.
• Clés API : stockées hachées ; la valeur en clair ne vous est affichée qu’une seule fois.
• Organisation : nom de l’entreprise, adresse de son site web et l’icône que ce site publie (récupérée une fois par notre serveur et conservée chez nous pour servir de logo), membres, invitations.
• Usage : événements d’appel du serveur MCP (outil appelé, statut, durée, identifiant de session, et l’adresse de ce qui a été demandé : code de norme, chemin de section, termes cherchés, identifiant de dossier, jamais le contenu des champs libres), pour appliquer les quotas et vous montrer le parcours de vos agents dans le corpus.
• Facturation : nom et adresse de facturation, identifiants Stripe (client, abonnement, factures, achats de normes) et historique des montants. Nous ne recevons ni ne stockons jamais de numéro de carte : il est saisi dans un formulaire de Stripe.
• Demandes de contact : ce que vous écrivez dans le formulaire de contact ou de demande de norme (adresse du compte, entreprise, nom, norme demandée, message), conservé pour vous répondre et suivre la demande.
• Déclaration de droits : à chaque dépôt d’un document, qui a déclaré en détenir les droits, quand, pour quel fichier, et la version des conditions acceptée. Conservée comme preuve, même après la suppression du document.
• Contenu que vous apportez : les normes et documents de référence que votre organisation téléverse, l’arbre de sections, formules, tableaux et figures qui en sont extraits, le filigrane et la mention de copyright de votre copie (conservés avec la norme et joints à chaque extrait), les dossiers de projet (entrées, valeurs retenues, questions ouvertes, commentaires), ainsi que les pièces de projet déposées dans un dossier (rapports, procès-verbaux, fiches techniques, images) et le texte qui en est extrait page par page. Le PDF d’une norme déposée depuis l’application n’est conservé que jusqu’à la livraison, au refus ou au retrait de la norme ; le texte qui en est tiré reste dans le corpus de votre organisation. Quand vous créez un lien de lecture vers un dossier, seule l’empreinte du jeton est conservée ; toute personne qui détient le lien lit les questions, preuves et décisions du dossier jusqu’à son expiration ou sa révocation, sans les commentaires ni les pièces.
• Données techniques : adresse IP, journaux de requêtes, identifiants de session, nécessaires à la sécurité et au fonctionnement.

3. Ce qu’un agent IA connecté reçoit

Quand vous branchez Stratta comme connecteur ou plugin dans un agent conversationnel (ChatGPT, Claude, Codex ou un autre client MCP), les réponses de nos outils traversent ce service et sont donc traitées par son éditeur, selon ses propres conditions. Voici exactement ce qui part.

• Le contexte de connexion : le nom de votre organisation, votre rôle dans celle-ci, le nom de votre forfait, le nombre de normes disponibles, et un identifiant opaque de la connexion, qui permet à l’agent de distinguer deux comptes connectés sans rien révéler de vous.
• Le contenu des normes lues : titre, arborescence, texte des sections demandées, formules, tableaux, renvois, et l’image d’une figure quand elle est demandée.
• Le contenu des dossiers ouverts : nom et référence du projet, entrées avec leurs citations et leurs valeurs, questions ouvertes, commentaires, et le texte des pièces de projet du dossier quand l’agent les lit ou les cherche.
• Votre identité, si vous l’accordez : au moment de l’autorisation, un connecteur peut demander la permission email. Elle donne au service qui héberge l’agent, et non au modèle, l’adresse e-mail de votre compte, l’indication qu’elle est vérifiée et votre nom d’affichage. C’est ce qui permet à un espace de travail d’entreprise de rattacher le connecteur à son propre domaine. L’écran d’autorisation l’annonce avant que vous validiez, et vous pouvez refuser.

Ne sont jamais renvoyés : votre mot de passe, vos clés API, vos données de facturation, votre adresse IP, les journaux techniques, ni aucune donnée d’une autre organisation. Les réponses de nos outils ne contiennent pas votre adresse e-mail : elle ne peut partir que par la permission décrite ci-dessus. Les identifiants internes transmis (dossier, entrée, figure) le sont uniquement parce que l’appel suivant les exige.

Un connecteur se retire à tout moment depuis vos connexions ; l’accès cesse immédiatement.

4. Finalités et bases légales

• Fournir et sécuriser le service : exécution du contrat (CGU).
• Authentification et gestion des accès : exécution du contrat.
• Prévention des abus, sécurité, journaux : intérêt légitime.
• Facturation, encaissement et conservation des pièces comptables : exécution du contrat et obligation légale.
• Réponse aux demandes de contact et ouverture d’un espace : mesures précontractuelles et intérêt légitime.
• Preuve des droits déclarés sur un document déposé : intérêt légitime (défense en cas de réclamation d’un ayant droit).
• Communications liées au service (vérification e-mail, réinitialisation de mot de passe, invitations) : exécution du contrat.

5. Sous-traitants et destinataires

Nous faisons appel à des sous-traitants qui traitent des données pour notre compte :

Nous ne vendons pas vos données et n’utilisons pas de traceurs publicitaires tiers.

6. Transfert hors de Suisse / UE

Nos prestataires hébergent les données aux États-Unis. Ces transferts sont encadrés par des garanties appropriées (clauses contractuelles types et/ou certification au Swiss-US / EU-US Data Privacy Framework, selon le prestataire). Vous pouvez nous demander une copie des garanties applicables.

7. Durée de conservation

Nous conservons vos données tant que votre compte est actif, puis le temps nécessaire au respect de nos obligations légales. Vous pouvez demander la suppression de votre compte à tout moment.

8. Vos droits

Conformément à la nLPD (et au RGPD le cas échéant), vous disposez des droits d’accès, de rectification, d’effacement, d’opposition et de portabilité. Le propriétaire ou un administrateur d’un espace en exporte lui-même tout le contenu depuis la page Organisation, et un compte se supprime depuis Réglages, Profil. Pour le reste, écrivez à contact@hgdc.ch. Vous pouvez également saisir l’autorité compétente (en Suisse, le PFPDT).

9. Cookies

Nous utilisons uniquement des cookies strictement nécessaires (session d’authentification) et un stockage local technique (préférence de thème, état de l’interface). Aucun cookie de suivi publicitaire.

La mesure d’audience ne pose aucun cookie et n’écrit rien sur votre appareil. Nous utilisons Umami, dont nous faisons tourner notre propre instance : les chiffres ne sont partagés avec aucun service tiers de mesure, et la base qui les contient est hébergée à Zurich. Une visite est identifiée par un calcul qui change chaque jour, ce qui interdit de vous reconnaître d’un jour à l’autre comme de reconstituer votre navigation d’un site à l’autre.

Les adresses enregistrées sont des modèles de page (par exemple /dossiers/$id, jamais l’identifiant réel), sans leurs paramètres ; les écrans d’administration ne sont pas mesurés. Votre adresse IP sert uniquement à déduire un pays au moment de la visite : elle n’est ni conservée, ni transmise. Si vous préférez ne pas être compté, activez le signal « Do Not Track » de votre navigateur : nous le respectons et aucune mesure n’est alors envoyée.

10. Modifications

Nous pouvons mettre à jour cette politique. La date de dernière mise à jour figure en haut de page.