Juridique & confiance
Politique de confidentialité
En vigueur le 19 octobre 2026 · version 2.0
Ceci est une traduction du texte original en anglais. En cas de divergence entre les versions linguistiques, la version anglaise prévaut.
1. Qui est responsable
Thalius AI AB (numéro d'organisation 559528-5635, TVA SE559528563501), Slipgatan 5, 117 39 Stockholm, Suède, est le responsable du traitement des données personnelles décrites dans la présente politique.
Contact confidentialité : [email protected]. Nous répondons aux demandes relatives à la confidentialité dans un délai d'un mois.
La présente politique couvre :
- les visiteurs de ce site ;
- les personnes qui s'inscrivent au service Hippocampus ou l'utilisent, en tant que propriétaires ou membres d'un espace de travail ;
- les personnes invitées dans un espace de travail ;
- les visiteurs d'un chat public qu'un espace de travail publie ;
- les personnes qui interrogent le Hippo Guide ;
- les personnes qui rejoignent la liste de notification de la bêta ou envoient le formulaire Corporate ;
- les partenaires de notre programme de parrainage.
Elle ne couvre pas les documents que les clients téléversent ou importent dans le Service. Pour ceux-ci, le client est le responsable du traitement et nous sommes son sous-traitant en vertu de l'accord de traitement des données.
2. Ce que nous collectons et pourquoi
| Qui | Données | Finalité | Base juridique (RGPD, art. 6) |
|---|---|---|---|
| Tout visiteur du site | Page, jour, balises de campagne (source et campagne UTM), lien de parrainage et empreinte salée à sens unique de l'adresse IP | Compter les visites et les inscriptions par page et par campagne, et freiner les abus, sans identifier personne | Intérêt légitime |
| Visiteurs du site et de l'application qui autorisent l'analyse d'audience ou le marketing | Événements et identifiants analytiques posés par les outils de la section 3 ; le cookie de première visite | Comprendre quelles pages et campagnes mènent à des inscriptions, et comment l'application est utilisée | Consentement |
| Personnes qui rejoignent la liste de notification de la bêta | E-mail ; nom et société si le formulaire les demande ; les termes que vous avez acceptés et quand ; votre provenance initiale (balises de campagne, lien de parrainage, site référent, page d'entrée) | Vous écrire à l'ouverture de la bêta | Consentement |
| Personnes qui envoient le formulaire Corporate | E-mail professionnel, organisation, taille de l'entreprise, message, provenance initiale | Répondre et assurer le suivi | Intérêt légitime ; mesures précontractuelles |
| Personnes qui s'inscrivent | E-mail, nom, mode de connexion choisi, versions des Conditions et de la Politique de confidentialité acceptées et date d'acceptation, balise de campagne de l'inscription | Créer le compte, prouver l'acceptation, compter les inscriptions par source | Contrat ; obligation légale ; intérêt légitime |
| Titulaires de compte et membres | Nom, e-mail, organisation, appartenances à des espaces de travail et rôles, événements de connexion, offre, consommation de crédits | Fournir et facturer le Service, prévenir les abus | Contrat |
| Personnes invitées dans un espace de travail | E-mail, espace de travail à l'origine de l'invitation, statut de l'invitation | Envoyer et suivre l'invitation | Intérêt légitime de la personne qui invite |
| Utilisateurs du Service | Questions posées et réponses données, rattachées à l'utilisateur connecté ; les questions posées au Hippo Guide sont journalisées dans votre propre espace de travail comme toute conversation | Historique des conversations, assistance, audit de sécurité | Contrat ; intérêt légitime (sécurité) |
| Utilisateurs qui connectent un service tiers (par exemple Google Drive ou Centuri, et tout connecteur ajouté ultérieurement) | Les fichiers, dossiers, identifiants et métadonnées que vous choisissez d'importer, via l'accès que vous accordez à ce service ; le jeton de connexion jusqu'à la déconnexion | Importer dans votre espace de travail | Contrat |
| Utilisateurs qui connectent une application via le serveur MCP ou des clés d'API | Nom et hôte de l'application, périmètre, date de l'autorisation, utilisation | Permettre à l'application d'agir pour vous ; sécurité | Contrat ; intérêt légitime (sécurité) |
| Utilisateurs qui interrogent via une application d'IA connectée (par exemple Claude ou ChatGPT) | Ce que l'application a consulté pour vous (une recherche ou un document ouvert), quand, et par quelle application | Vous montrer cette activité dans l'Historique | Contrat |
| Visiteurs d'un chat public | Question, réponse, adresse réseau hachée pour la limitation de débit, avis pouce levé ou baissé, et abonnement push si vous autorisez les notifications | Répondre, prévenir les abus, notifier | Intérêt légitime de l'espace de travail qui publie ; consentement pour le push |
| Clients payants | Adresse de facturation, numéro de TVA et résultat de sa vérification VIES, factures, statut de paiement ; les données de carte sont détenues par Stripe uniquement | Facturation, comptabilité, TVA | Contrat ; obligation légale |
| Partenaires de parrainage | Nom, e-mail, lien de parrainage, inscriptions attribuées au lien, compte du portail partenaire | Gérer le programme de parrainage | Contrat |
Les données Google reçues via le connecteur Google Drive sont utilisées uniquement pour réaliser l'import, conformément à la Google API Services User Data Policy, y compris les exigences de Limited Use.
Notre personnel peut lire les questions et les réponses à des fins d'assistance, de prévention des abus et de sécurité ; chaque accès est journalisé.
Nous ne collectons pas délibérément de catégories particulières de données personnelles et nous ne vendons pas de données personnelles.
Devez-vous nous fournir des données ? Non. Sans adresse e-mail, nous ne pouvons pas créer de compte, vous ajouter à la liste de la bêta ni répondre au formulaire Corporate. Refuser les cookies ne limite ni le site ni l'application.
D'où viennent les données. La plupart des données viennent de vous. Le fournisseur de connexion que vous choisissez nous transmet votre e-mail et votre nom. La balise de campagne d'une inscription est transmise de ce site à l'application, et la source d'un parrainage provient du lien que vous avez suivi.
3. Cookies et technologies similaires
Sur ce site, sans votre consentement, le seul cookie déposé est consent-v2, qui mémorise le choix que vous faites dans le bandeau (strictement nécessaire). Il est partagé par ce site et l'application sur les adresses thalius.ai, afin qu'un choix fait sur l'un ne vous soit pas redemandé sur l'autre. Si Cloudflare Web Analytics est activé, il mesure les chargements de page sans cookie et sans vous identifier (intérêt légitime). Le site conserve aussi deux éléments dans le stockage propre de votre navigateur : votre thème clair ou sombre, et la provenance de cette visite (stockage de session, effacé à la fermeture de l'onglet).
Dans l'application, un cookie de session vous maintient connecté (strictement nécessaire), et le stockage de votre navigateur conserve votre état de connexion, votre thème, votre progression dans la visite guidée et votre historique de chat. Sans consentement, l'application ne charge aucun outil d'analyse et ne mesure rien. Avec votre consentement, donné dans le bandeau cookies de l'application et modifiable dans les Paramètres, les outils ci-dessous fonctionnent avec des cookies.
Avec votre consentement, donné dans le bandeau et modifiable à tout moment via « Paramètres des cookies », nous pouvons utiliser les outils ci-dessous. Le bandeau n'apparaît que lorsqu'au moins l'un d'eux est activé.
| Outil | Catégorie | Ce qu'il fait |
|---|---|---|
Cookie interne th_ft |
Analyse d'audience ou marketing | Mémorise pendant 90 jours la campagne ou le lien de parrainage qui vous a amené ici la première fois, afin qu'une inscription ultérieure puisse lui être attribuée. Il ne contient ni nom ni e-mail et est supprimé lorsque vous retirez votre consentement. |
| PostHog (cloud UE) | Analyse d'audience | Pages vues, événements, parcours de la visite à l'inscription et cartes de chaleur lorsqu'elles sont activées. Sur ce site, avant consentement, il fonctionne en mémoire seulement, sans cookie ; dans l'application, il ne se charge qu'après consentement. |
| Google Analytics 4 | Analyse d'audience | Mesure des visites et des campagnes avec anonymisation de l'IP et Google Consent Mode. Dans l'application, lorsque vous créez un compte, aussi le nom et l'offre de votre nouvel espace de travail. Cookies uniquement après consentement. |
| Google Tag Manager | Analyse d'audience ou marketing | Charge les balises de mesure ou de publicité uniquement pour les catégories que vous avez autorisées, avec Google Consent Mode. |
| Mesure des conversions Google Ads (via Google Tag Manager) | Marketing | Enregistre qu'une visite issue de l'une de nos annonces Google a abouti à un compte, afin de voir quelles annonces fonctionnent. Lorsque vous créez un compte dans l'application, il envoie aussi votre adresse e-mail, hachée dans votre navigateur (conversions améliorées). Dépose _gcl_au et _gcl_aw uniquement après que vous avez autorisé le marketing. |
Google Ads. Si vous autorisez le marketing, nous mesurons si une visite issue de l'une de nos annonces Google aboutit à un compte, sur ce site et dans l'application. Google reçoit la visite, le clic sur l'annonce et le fait qu'une inscription a eu lieu. Lorsque vous créez un compte dans l'application, Google reçoit aussi votre adresse e-mail, hachée (SHA-256) dans votre navigateur avant son envoi, afin de rattacher l'inscription au clic sur l'annonce (conversions améliorées). Nous ne l'envoyons que si vous avez autorisé le marketing. Autoriser le marketing active les signaux ad_storage, ad_user_data et ad_personalization de Google. Nous ne les utilisons pas pour constituer des audiences publicitaires. Pour cette mesure, Google agit en tant que responsable du traitement indépendant en vertu des Google Ads Controller-Controller Data Protection Terms. Google est établi aux États-Unis ; voir la section 5.
4. Qui reçoit les données
- Les prestataires qui traitent des données pour notre compte dans le cadre d'accords de traitement des données : Stripe (paiements et factures) ; Google (connexion via Identity Platform, et l'API Drive lorsque vous la connectez) ; le fournisseur de connexion que vous choisissez, à savoir Google, Microsoft, Apple ou GitHub (votre identité auprès de ce fournisseur) ; Google Workspace (e-mails de service depuis [email protected]) ; Cloudflare (ce site et la périphérie réseau de l'application ; aucun journal de chat n'y est stocké) ; Google Cloud dans l'UE (le Service, y compris les journaux de conversation, les journaux des chats publics et les abonnements push) ; les services push des navigateurs d'Apple, Google et Mozilla (une charge utile chiffrée et un jeton d'appareil, uniquement lorsque vous autorisez les notifications) ; les outils d'analyse de la section 3 ; et les prestataires listés sur la page des sous-traitants ultérieurs pour le Service lui-même.
- Les autorités, lorsque la loi l'exige.
- Un acquéreur ou successeur, en cas de cession de l'entreprise, avec les mêmes garanties.
Les partenaires de parrainage ne voient que le nombre d'inscriptions attribuées à leur lien, jamais qui s'est inscrit.
5. Transferts hors UE/EEE
Les documents et la structure de connaissances du Service sont stockés dans l'UE (Finlande). Certains prestataires, dont Google, Microsoft, Apple, GitHub, Stripe, Cloudflare et les fournisseurs de modèles d'IA utilisés par défaut, sont établis aux États-Unis. Les transferts reposent sur le cadre de protection des données UE–États-Unis (EU–US Data Privacy Framework) lorsque le prestataire est certifié, et sinon sur les clauses contractuelles types accompagnées d'une analyse des risques liés au transfert. Les clients Corporate peuvent choisir une inférence hébergée dans l'UE ou dans leur propre environnement. Vous pouvez nous demander une copie des garanties.
6. Durée de conservation des données
| Données | Conservation |
|---|---|
| Comptages de visites avec IP hachée | 26 mois |
| Données des outils d'analyse | 26 mois, ou le réglage plus court de l'outil |
Cookie consent-v2 (votre choix en matière de cookies) |
13 mois dans votre navigateur |
Cookie th_ft |
90 jours dans votre navigateur |
Cookies Google Ads _gcl_au, _gcl_aw |
90 jours dans votre navigateur |
| Liste de notification de la bêta | Jusqu'à l'ouverture de la bêta et son annonce à votre attention, ou jusqu'au retrait de votre consentement, selon la première échéance |
| Demandes Corporate | 2 ans à compter du dernier contact |
| Enregistrements d'invitation | Jusqu'à l'acceptation, ou 90 jours |
| Données de compte, enregistrements d'acceptation et journaux de conversation | Pendant l'existence du compte ; supprimés dans les 30 jours suivant la suppression du compte, et des sauvegardes dans les 90 jours |
| Espace de travail Free inutilisé depuis 3 mois | Supprimé après un préavis de 30 jours par e-mail |
| Autorisations accordées aux applications connectées | Jusqu'à leur révocation |
| Jetons des connecteurs | Jusqu'à la déconnexion du service |
| Journaux des chats publics et abonnements push | 30 jours |
| Activité des connecteurs d'IA (ce qu'une application d'IA connectée a consulté pour vous) | 90 jours ; vous seul pouvez la lire, et vous pouvez la supprimer dans l'Historique |
| Factures, registres de TVA et enregistrements de paiement | 7 ans (loi suédoise sur la comptabilité) |
| Données des partenaires de parrainage | Pendant la durée du partenariat, plus 3 ans |
Passé ce délai, les données sont supprimées ou anonymisées. Un accord Corporate peut fixer d'autres durées.
7. Sécurité
Les données sont chiffrées en transit et au repos. Les documents du Service sont chiffrés avec des clés par document liées à l'espace de travail. L'accès aux données personnelles est limité aux personnes qui en ont besoin, et les opérations sensibles pour la sécurité sont journalisées. Les détails figurent sur la page sécurité.
Si une violation est susceptible d'engendrer un risque pour vos droits et libertés, nous la notifions à l'autorité suédoise de protection de la vie privée (IMY) dans les 72 heures et vous en informons dans les meilleurs délais.
8. Vos droits
Vous avez le droit :
- d'accéder à vos données personnelles et d'en obtenir une copie ;
- de les faire rectifier ;
- de les faire effacer ;
- d'en limiter le traitement ;
- de les recevoir dans un format portable ;
- de vous opposer au traitement fondé sur l'intérêt légitime, et à la prospection directe à tout moment ;
- de retirer votre consentement à tout moment, sans porter atteinte à la licéité du traitement effectué avant le retrait.
Dans l'application, vous pouvez supprimer votre compte, télécharger un export complet d'un espace de travail dont vous êtes propriétaire, supprimer un espace de travail dont vous êtes propriétaire dans les paramètres de facturation, et déconnecter des applications et des services connectés. Si vous ne le pouvez pas, écrivez à [email protected] ; nous donnons suite dans les 30 jours. Pour toute autre demande, écrivez à [email protected]. Nous ne facturons rien, sauf si une demande est manifestement infondée ou excessive. Si vos données se trouvent dans l'espace de travail d'un client, nous transmettons votre demande à ce client.
Vous pouvez aussi introduire une réclamation auprès de l'autorité suédoise de protection de la vie privée (IMY), Box 8114, 104 20 Stockholm, [email protected], www.imy.se, ou auprès de l'autorité de contrôle de votre lieu de résidence ou de travail.
9. E-mails et notifications
Nous envoyons des notifications de service sans solliciter votre accord, car le Service en a besoin : liens d'activation et de connexion, invitations, avis relatifs aux paiements et aux offres, avis d'inactivité et modifications des présents textes. En tant que client, vous pouvez également recevoir des actualités produit sur Hippocampus ; vous pouvez y mettre fin à tout moment via le lien présent dans chacun de ces e-mails ou, lorsqu'ils seront disponibles, dans les paramètres de notification.
10. Décisions automatisées
Nous ne prenons aucune décision produisant des effets juridiques ou vous affectant de manière significative de façon similaire sur le seul fondement d'un traitement automatisé. Les fonctions d'IA du Service sont décrites dans la Déclaration AI Act.
11. Âge
Le site et le Service sont destinés aux personnes âgées de 18 ans ou plus.
12. Modifications
Lorsque nous modifions la présente politique, nous mettons à jour la version et la date d'entrée en vigueur ci-dessus. Les modifications substantielles sont annoncées sur ce site au moins 30 jours avant leur application et, pour les titulaires de compte, par e-mail.