EN CLAIR
Ce site reçoit les messages que vous envoyez via le formulaire de contact ; son hébergeur (Vercel, région non prouvée — hors UE possible) tient des journaux techniques automatiques. Après votre clic sur « Accepter » : PostHog (mesure d'audience par événements pseudonymes, localStorage + cookie) et Sentry dans votre navigateur (rapports d'erreur). Sans consentement : aucun cookie ni traceur d'analyse. Côté serveur, le journal d'erreurs Sentry, lorsqu'il est activé, fonctionne indépendamment de votre consentement et n'enregistre par défaut ni adresse IP, ni cookies, ni contenu de requête, ni paramètres d'URL (pages portail, playground et comparateur exclues). Le portail (comptes), le playground, l'assistant et le comparateur sont fermés par défaut ; ouverts, ils envoient vos données au cerveau ELYSÉA (tableau du § 2). Aucune publicité, aucune revente de données. Le formulaire de contact est relayé par Brevo (région non prouvée — hors UE possible). Vous pouvez demander la suppression de vos données à tout moment par e-mail.
Périmètre. Cette politique couvre le site
elysea.appdans son intégralité : les pages publiques (présentation, formulaire de contact) et le portail intégrateur (/portail/*— authentification Supabase, gestion de clés API, logs, facturation). Elle ne couvre pas les applications tierces intégrant le SDK ELYSÉA (dont ELYSÉA Academy), qui traitent des données distinctes (dont la mémoire utilisateur) et disposent de leur propre politique.
1. Responsable du traitement
ELYSÉA — raison individuelle de droit suisse, Genève, en cours de constitution (inscription au registre du commerce en cours) — joignable à contact@elysea.app.
Contact RGPD : contact@elysea.app. La désignation d'un délégué à la protection des données (DPO) formel n'est pas obligatoire à ce stade et relève d'un arbitrage séparé.
2. Données collectées et finalités
| Donnée | Quand | Finalité | Base légale (RGPD) | Durée de conservation |
|---|---|---|---|---|
| Nom / prénom, e-mail, message | Envoi du formulaire de contact | Répondre à la demande | Intérêt légitime (art. 6.1.f) — répondre à une sollicitation | 12 mois après le dernier échange, puis suppression |
| E-mail, mot de passe (hashé), horodatage de création de compte | Création de compte sur /portail | Authentification et gestion du compte intégrateur | Exécution du contrat (art. 6.1.b) | Jusqu'à la suppression du compte |
| Clés API (sk_test_ / sk_live_) | Utilisation du portail intégrateur | Fourniture du service SDK | Exécution du contrat (art. 6.1.b) | Durée de vie de l'application |
| Journaux d'appels SDK, métriques MAU | Appels du SDK par l'application intégrée | Fourniture du service SDK, facturation, détection d'anomalies | Exécution du contrat (art. 6.1.b) | Durée non encore fixée par le cerveau |
| Journal des échanges (par échange SDK ou widget : posture, action du gardien, contraintes appliquées, indicateur de crise ; ni message, ni réponse, ni identifiant d'utilisateur) | Écrit par le cerveau à chaque échange SDK ou widget | Journal de conformité (AI Act, art. 12 et art. 26 § 6), consultable par le constructeur propriétaire de l'application | Base légale non encore publiée | 183 jours |
| Registre des accords et des retraits de consentement | À chaque accord ou retrait | Piste d'audit des consentements (RGPD) | Base légale non encore publiée | Registre des accords et des retraits : conservé (piste d'audit RGPD). Le tableau de vos consentements en cours est effacé avec le compte. |
| Données de crise : état « risque vital confirmé » (état de session, passage de relais de session), notification d'escalade humaine au constructeur (identifiant utilisateur haché), alerte au destinataire choisi par le constructeur à l'installation | Lorsque le cerveau confirme un danger vital | Maintenir la réponse de sûreté pour la suite de la conversation ; prévenir le constructeur et, s'il l'a choisi, son destinataire | Base légale non encore publiée | Durée non encore fixée par le cerveau |
| Données techniques (journaux serveur : IP, horodatage, user-agent) | À chaque visite, par l'hébergeur | Sécurité et bon fonctionnement | Intérêt légitime (art. 6.1.f) | Durée réglée chez le fournisseur, relevé à joindre |
| Événements de navigation pseudonymes (pages vues) — PostHog | Après votre clic sur « Accepter » | Mesure d'audience par événements pseudonymes — amélioration des parcours | Consentement (art. 6.1.a) | Durée réglée chez le fournisseur, relevé à joindre |
| Rapports d'erreur du navigateur (type d'erreur, trace, URL sans paramètres) — Sentry | Après votre clic sur « Accepter » | Détection et correction de bugs | Consentement (art. 6.1.a) | Durée réglée chez le fournisseur, relevé à joindre |
| Rapports d'erreur techniques côté serveur (type d'erreur, trace, URL sans paramètres) — Sentry | Lorsqu'une erreur serveur survient, si le journal est activé — indépendamment du consentement navigateur | Détection et correction de bugs | Intérêt légitime (art. 6.1.f RGPD) : sécurité et bon fonctionnement du service | Durée réglée chez le fournisseur, relevé à joindre |
| Messages écrits dans le playground et la bulle d’assistance (avec la langue de la page, le pays si vous le déclarez, l’identifiant de conversation) | À chaque message, si l’interrupteur PLAYGROUND_OPEN est ouvert — fermé par défaut | Faire répondre le cerveau ELYSÉA (un modèle de langage génère la réponse). Destinataires : Cerveau ELYSÉA — Google Cloud (Cloud Functions, Cloud Logging), europe-west1 (UE) | Base légale non encore publiée | Durée non encore fixée par le cerveau |
| Messages écrits dans l’assistant du portail, avec votre jeton de session (compte du portail requis) | À chaque message, si l’interrupteur PLAYGROUND_OPEN est ouvert — fermé par défaut | Faire répondre le cerveau ELYSÉA dans une conversation authentifiée (un modèle de langage génère la réponse). Destinataires : Cerveau ELYSÉA — Google Cloud (Cloud Functions, Cloud Logging), europe-west1 (UE) | Base légale non encore publiée | Durée non encore fixée par le cerveau |
| Message écrit dans le comparateur | À chaque envoi, si l’interrupteur COMPARATEUR_OPEN est ouvert — fermé par défaut | Comparer, sur votre message, les réponses des modèles du banc du cerveau ELYSÉA. Destinataires : Cerveau ELYSÉA (banc benchComparateur), puis les modèles : Claude (eu.anthropic.claude-haiku-4-5-20251001-v1:0) — AWS Bedrock, profil d’inférence UE (LLM_PROVIDER=BEDROCK_EU), eu-west-3 (Paris) ; GPT (gpt-4o) — api.openai.com, hors UE — OpenAI (résidence de données UE non activée) ; Gemini (gemini-2.5-flash) — Vertex AI (europe-west1-aiplatform.googleapis.com), europe-west1 (Belgique) ; Mistral (mistral-large-latest) — api.mistral.ai, UE déclarée par Mistral AI (Paris), non vérifiable depuis le code | Base légale non encore publiée | Message de 500 caractères au plus ; aucun message n’est conservé. |
| Actions du portail connecté : compte, applications et clés, consentements, mémoire, journaux | À chaque action, si l’interrupteur PORTAIL_OPEN est ouvert — fermé par défaut | Créer, lire, modifier ou supprimer ces éléments chez le cerveau ELYSÉA. Destinataires : Cerveau ELYSÉA (europe-west1 (UE)) ; comptes : Supabase (eu-central-1 (Francfort) (UE)) | Exécution du contrat (art. 6.1.b) | Selon la donnée : lignes « compte », « clés API » et « journaux d’appels SDK » ci-dessus |
Le Site ne collecte aucune donnée de santé et n'utilise pas le formulaire pour de la prospection commerciale non sollicitée.
3. Destinataires
Les données ne sont transmises qu'aux prestataires ci-dessous. La liste est la copie conforme de la source unique de conformité ; aucune entrée n'est rédigée par le site.
| Prestataire | Rôle | Données | Région | Affichage | Base de transfert |
|---|---|---|---|---|---|
| Google Cloud (Cloud Functions, Cloud Logging) | Exécution du cerveau (toutes les routes) et journaux techniques | Messages, identifiants pseudonymisés, métadonnées de requête | europe-west1 | UE | aucun (région UE prouvée) |
| Google Firebase (Firestore) | Base du cerveau : applications SDK, usage, registre des consentements, conversations | Identifiants, consentements, conversations, métadonnées | europe-west9 | UE | aucun (région UE prouvée) |
| Amazon Web Services (Bedrock) | Modèle de génération et classifieurs de sûreté (LLM_PROVIDER / SAFETY_LLM_PROVIDER = BEDROCK_EU) | Messages des utilisateurs, invites système | eu-west-3 | UE | aucun (région UE prouvée) |
| Google Cloud (Vertex AI) | Classifieurs de crise ; génération (VERTEX_EU) et palier de secours de génération, même modèle (décision du 01/10) | Messages des utilisateurs, invites système | eu | UE | aucun (région UE prouvée) |
| Anthropic (API directe) | Génération et filet de sûreté si LLM_PROVIDER ou SAFETY_LLM_PROVIDER = US_DIRECT | Messages des utilisateurs, invites système | États-Unis (api.anthropic.com) | hors UE possible | non établie |
| OpenAI | Sur main : mémoire vectorielle (embeddings), repli de génération, raisonneur, voix (synthèse), apport de clé. Après #1066 : raisonneur, voix (synthèse), apport de clé. | Messages (500 premiers caractères pour les embeddings sur main), textes à vocaliser | non fixée par le code | hors UE possible | non établie |
| Deepgram | Voix : transcription (STT) Retrait décidé, non encore effectif dans le code | Voix des utilisateurs | non fixée par un paramètre de région (hôte api.eu.deepgram.com fixé par le code ; lieu de traitement non prouvé) | hors UE possible | non établie |
| audEERING | Voix : analyse émotionnelle en ombre (si AUDEERING_API_KEY) Retrait décidé, non encore effectif dans le code | Voix des utilisateurs | non fixée par le code | hors UE possible | non établie |
| Scaleway (Generative APIs) | Classifieur de sûreté (SAFETY_LLM_PROVIDER = SCALEWAY_EU) | Messages des utilisateurs | non fixée par un paramètre (hôte api.scaleway.ai) | hors UE possible | non établie |
| Mistral AI | Détection sémantique du gardien (SEMANTIC_DETECTION_ENABLED=true, désactivée par défaut) ; pipeline de génération Mistral (apport de clé) | Messages des utilisateurs | non fixée par le code | hors UE possible | non établie |
| Google AI (API Gemini) | Pipeline de génération Gemini (fournisseur d'application ou apport de clé) | Messages des utilisateurs, invites système | non fixée par le code | hors UE possible | non établie |
| DuckDuckGo | Outil de recherche web du pipeline | Requêtes issues des messages des utilisateurs | non fixée par le code | hors UE possible | non établie |
| Telegram | Bot de conversation (webhook) | Messages et identifiants Telegram des utilisateurs du bot | non fixée par le code | hors UE possible | non établie |
| Notion | Journal interne de l'activité des dépôts (webhook GitHub) | Activité des dépôts (auteurs, messages de commit) ; aucune donnée d'utilisateur final | non fixée par le code | hors UE possible | non établie |
| Resend | E-mails transactionnels (constructeurs, avertissements de rétention, invitations) | Adresses e-mail, contenu des e-mails | non fixée par le code | hors UE possible | non établie |
| Stripe | Facturation des constructeurs et paiement (fermé tant que les ventes sont fermées) | Identité et coordonnées de facturation des constructeurs | non fixée par le code | hors UE possible | non établie |
| Supabase | Comptes et authentification ; mémoire, consentements, journal d'audit | E-mails, sessions, mémoire, consentements | eu-central-1 (Francfort) | UE | aucun (région UE relevée) |
| Vercel | Hébergement du site et de ses routes serveur (portail, formulaire de contact) | Messages du formulaire de contact, jetons de session transmis au cerveau, journaux | non fixée (vercel.json sans région) | hors UE possible | non établie |
| Brevo | Relais SMTP du formulaire de contact du site | Nom, adresse e-mail et message des personnes qui écrivent | non fixée par le code (hôte smtp-relay.brevo.com) | hors UE possible | non établie |
| Sentry | Remontée d'erreurs du site (et du cerveau après #1066, si SENTRY_DSN) | Traces d'erreur, adresses de requête, métadonnées techniques | non fixée par un paramètre (CSP du site vers *.ingest.de.sentry.io ; DSN serveur non lu) | hors UE possible | non établie |
| PostHog | Mesure d'audience du site, après consentement | Événements de navigation pseudonymes | non fixée par un paramètre de région (hôte eu.i.posthog.com fixé par le code ; lieu de traitement non prouvé) | hors UE possible | non établie |
| Messagerie de l'éditeur | Boîte qui reçoit les messages du formulaire de contact (variable CONTACT_INBOX) | Nom, adresse e-mail et message des personnes qui écrivent | non établie (fournisseur de la boîte non inscrit dans une pièce) | hors UE possible | non établie |
Aucune donnée n'est vendue ni cédée à des tiers à des fins publicitaires ou commerciales.
4. Localisation et transferts hors Union européenne
Région de l'Union européenne fixée par le code : Google Cloud (Cloud Functions, Cloud Logging) (europe-west1) ; Google Firebase (Firestore) (europe-west9) ; Amazon Web Services (Bedrock) (eu-west-3) ; Google Cloud (Vertex AI) (eu) ; Supabase (eu-central-1 (Francfort)).
Hors de l'Union européenne possible (région non prouvée par le code) : Anthropic (API directe) ; OpenAI ; Deepgram ; audEERING ; Scaleway (Generative APIs) ; Mistral AI ; Google AI (API Gemini) ; DuckDuckGo ; Telegram ; Notion ; Resend ; Stripe ; Vercel ; Brevo ; Sentry ; PostHog ; Messagerie de l'éditeur.
Hors UE possible ⇒ traité comme un transfert hors UE. Aucune base de transfert n'est présumée : tant qu'une pièce (contrat signé, clauses contractuelles types acceptées) n'est pas inscrite ici, la base est « non établie ».
Réserve : dans le cerveau déployé, le repli vers un modèle OpenAI et la mémoire vectorielle sont retirés (un modèle OpenAI n'est appelé qu'avec la clé du constructeur, s'il le choisit) ; la voix est retirée du cerveau ; la région de la base Supabase, eu-central-1 (Francfort), a été relevée sur le tableau de bord du fournisseur le 01/10 à 18:03, pièce formelle à joindre ; d'autres prestataires sont hors UE possible (liste complète dans la politique de confidentialité).
5. Durées de conservation
- — Messages du formulaire de contact : 12 mois après le dernier échange, puis suppression.
- — Compte du portail : jusqu'à la suppression du compte.
- — Clés API : durée de vie de l'application.
- — Journal des échanges écrit par le cerveau : 183 jours.
- — Registre des accords et des retraits : conservé (piste d'audit RGPD). Le tableau de vos consentements en cours est effacé avec le compte.
- — Journaux d'appels SDK, métriques MAU et données de crise : durée non encore fixée par le cerveau.
- — Journaux techniques de l'hébergeur, mesure d'audience PostHog, rapports d'erreur Sentry (navigateur et serveur) : durée réglée chez le fournisseur, relevé à joindre.
- — Fonctions fermées par défaut (playground et bulle, assistant, comparateur, portail) : voir le tableau du § 2.
6. Vos droits
Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données. Vous pouvez les exercer à contact@elysea.app. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).
Pour la mémoire entre sessions dans les applications ELYSÉA, le consentement et sa révocation sont gérables directement depuis votre espace personnel : Gérer la mémoire entre sessions →
7. Cookies
Ce site utilise PostHog (mesure d'audience par événements pseudonymes) et Sentry dans votre navigateur (rapports d'erreur) uniquement après votre clic sur « Accepter ». Après acceptation, PostHog persiste via localStorage + cookie ; sans consentement, aucune mesure d'audience n'est activée et aucun cookie d'analyse n'est déposé. Côté serveur, le journal d'erreurs Sentry, lorsqu'il est activé, fonctionne indépendamment de votre consentement (base légale : tableau du § 2). Aucun pixel publicitaire. Les pages d'échange (/playground, /comparateur, /portail) restent exclues de toute mesure. Pour retirer votre consentement : lien « Gérer les cookies » en pied de page.
Pour plus de détails : Politique cookies.
8. Transparence IA — AI Act Art. 50
Les fonctions de conversation du site — playground et bulle d'assistance, assistant du portail, comparateur — sont fermées par défaut (interrupteurs serveur). Ouvertes, elles envoient vos messages au cerveau ELYSÉA et, pour le comparateur, aux modèles listés avec leur région au tableau du § 2 : un modèle de langage génère alors la réponse affichée. Les applications intégrant le SDK ELYSÉA s'appuient aussi sur des modèles de langage (LLM). Conformément à l'article 50 du règlement (UE) 2024/1689 (applicable depuis le 2 août 2026 — art. 113), les personnes qui interagissent avec un système d'intelligence artificielle doivent en être informées. Les constructeurs qui intègrent le SDK restent responsables de cette transparence envers leurs utilisateurs.
9. Sécurité
L'éditeur met en œuvre des mesures techniques et organisationnelles raisonnables pour protéger les données contre tout accès, altération ou divulgation non autorisés.