Rôles et conformité RGPD

Enclosy agit en tant que responsable de traitement pour les données de gestion de votre compte (identification, facturation, logs de connexion), et en tant que sous-traitant (au sens de l'article 28 du RGPD) pour les contenus que vous confiez à nos modèles d'IA.

Un Accord de Traitement des Données (DPA) complet est mis à votre disposition dès la création de votre compte.

Référent données personnelles : notre formulaire.

Uniquement le strict nécessaire

Nous collectons les données suivantes, chacune fondée sur une base légale distincte :

Données d'identification professionnelle (raison sociale, SIRET, nom, email) — base légale : exécution du contrat (art. 6.1.b RGPD).

Données de facturation (adresse, moyens de paiement via Stripe) — base légale : exécution du contrat et obligation légale de conservation comptable (art. 6.1.b et 6.1.c RGPD).

Logs techniques de consommation (modèle utilisé, nombre de tokens, horodatage) — base légale : intérêt légitime pour l'application du Tarif Bouclier et la facturation (art. 6.1.f RGPD).

Contenus des échanges IA (questions et réponses) — traités en tant que sous-traitant pour le compte du Client, sur la base du DPA.

Conformément à nos conditions, le traitement de données de santé est strictement interdit sur la plateforme.

Qui traite vos données et où

Contenus IA, documents et conversations — traités et stockés exclusivement en France, sur les infrastructures de Scaleway et OVHcloud. Aucune donnée de contenu ne sort du territoire français. Nous utilisons exclusivement des modèles open-weights exécutés sur nos infrastructures françaises (Scaleway, OVHcloud). C'est le lieu d'exécution — et non la nationalité de l'éditeur du modèle — qui garantit que vos contenus ne quittent jamais le territoire et ne sont détenus par aucun acteur soumis au Cloud Act.

Données de paiement — traitées par Stripe Payments Europe, Ltd., entité de droit irlandais (Union européenne), certifiée PCI-DSS Niveau 1. Seules les données strictement nécessaires au paiement (numéro de carte ou IBAN, nom du titulaire) sont transmises à Stripe. Aucun contenu d'échange IA, aucun document, aucune conversation n'est communiqué à Stripe ni à aucun autre tiers.

Emails transactionnels — envoyés via Brevo (Sendinblue SA), société française.

Chiffrement applicatif AES-256

Vos conversations et documents ne sont pas seulement isolés par client ; ils sont chiffrés applicativement avant d'être stockés en base de données. Ce mécanisme garantit que même en cas d'accès physique non autorisé aux serveurs, vos contenus restent totalement illisibles pour un tiers, y compris pour les équipes techniques d'Enclosy.

Durées précises

Contenus des conversations — conservés pendant la durée de vie du compte, ou jusqu'à suppression manuelle par l'utilisateur. Supprimés définitivement dans les 30 jours suivant la suppression du compte.

Données de compte (identification, paramètres) — conservées pendant la durée du contrat, puis supprimées dans les 90 jours suivant la suppression du compte.

Factures et pièces comptables — conservées pendant 10 ans conformément à l'obligation légale française de conservation des documents comptables (art. L123-22 du Code de commerce).

Logs de connexion — conservés 12 mois glissants (obligation LCEN).

Logs d'acceptation des CGV/CGU (date, heure, IP) — conservés 10 ans.