Vos données et nos agents IA

Les questions sur les données arrivent toujours au même moment : juste avant la signature, souvent par écrit, parfois sous forme de questionnaire fournisseur. Y répondre au coup par coup produit des réponses légèrement différentes d'un client à l'autre, ce qui est le meilleur moyen de perdre la confiance qu'on cherchait à établir. Cette page fixe donc les réponses une fois pour toutes, publiquement et de manière datée. La politique de confidentialité décrit ce que nous faisons de vos données quand vous naviguez sur ce site ; cette page-ci décrit en plus ce que nous faisons des données de vos clients quand nous construisons quelque chose pour vous, et ce ne sont pas les mêmes obligations.

Deux rôles se succèdent et il est important de ne pas les confondre. Sur ce site, HelyOs Global est responsable de traitement : nous décidons pourquoi et comment vos données sont utilisées, et la politique de confidentialité en rend compte. Dans une prestation, la relation s'inverse : vous restez responsable des données de vos clients, de vos patients ou de vos salariés, et HelyOs Global devient votre sous-traitant au sens de l'article 28 du RGPD. Concrètement, cela veut dire que nous n'agissons que sur votre instruction documentée, que nous ne décidons jamais seuls d'une nouvelle utilisation de ces données, et que nous vous restituons ou supprimons l'ensemble en fin de contrat, à votre choix. Un troisième cas existe et mérite d'être nommé : quand un agent IA que nous déployons collecte lui-même des données auprès de vos visiteurs, c'est toujours vous le responsable de traitement, et ce sont donc votre information et votre base légale qui doivent figurer sur le formulaire ou dans l'accroche vocale. Nous rédigeons les mentions, vous les validez.

Les données persistantes de l'espace client — comptes, messages, fiches de projet — sont hébergées sur l'infrastructure Supabase, dans la région eu-west-3, à Paris. C'est vérifiable et c'est l'engagement que nous prenons : ce qui est écrit sur un disque l'est en France. Le site lui-même est servi par Vercel, dont le réseau de diffusion réplique les pages publiques dans le monde entier — des pages publiques, sans aucune donnée personnelle. Les fonctions serveur qui traitent un formulaire ou une requête à l'assistant s'exécutent quant à elles sans rien écrire : elles reçoivent, transmettent, répondent et oublient. Nous ne prétendrons pas ici que chacune de ces fonctions s'exécute physiquement en Europe tant que la région d'exécution n'est pas épinglée dans la configuration : c'est un chantier en cours, et l'annoncer avant qu'il soit fait serait exactement le genre d'approximation que cette page cherche à éviter.

Un sous-traitant qu'on ne nomme pas est un sous-traitant qu'on ne peut pas auditer. Voici les nôtres, avec ce que chacun voit et à quelle occasion. Vercel Inc. héberge et sert le site : il voit les requêtes HTTP, donc les adresses IP, le temps d'une réponse. Supabase héberge les comptes, les messages et les projets de l'espace client, à Paris. Web3Forms achemine les formulaires de contact vers notre boîte e-mail : il voit ce que vous avez tapé dans le formulaire. Resend envoie les notifications internes qui nous préviennent d'un nouveau message : il voit l'adresse de destination et le contenu de la notification. Notre fournisseur de modèle de langage — Anthropic, OpenAI, Google ou OpenRouter selon la configuration en vigueur — reçoit le texte que vous écrivez à l'assistant du site, le temps de produire une réponse. ElevenLabs fait parler et écouter les agents vocaux : il traite l'audio d'un appel lorsque vous demandez à être rappelé. Le script de ce widget vocal est servi par le CDN unpkg, adossé à Cloudflare, et il ne se charge que si vous ouvrez le cockpit de l'agent vocal — depuis l'assistant du site ou depuis la page qui présente cet agent. Tant que vous ne l'ouvrez pas, rien n'est demandé à unpkg. Lorsque vous l'ouvrez, unpkg voit votre adresse IP et votre navigateur, le temps de livrer un fichier JavaScript, et rien d'autre. L'interface Gmail de Google est appelée pour la démonstration de l'agent Iris, mais uniquement sur une boîte de démonstration qui nous appartient : aucune donnée de visiteur n'y transite. Upstash, ou son équivalent Vercel KV, stocke les compteurs anti-abus : un identifiant technique dérivé de votre adresse, sans nom ni contenu, effacé automatiquement au bout de vingt-six heures. Airtable reçoit les fiches de prospect créées dans la démonstration d'agent commercial, et uniquement celles-là. Sentry, lorsqu'il est activé, collecte les erreurs techniques du site — pile d'appel, page concernée, version déployée — sans donnée personnelle. Enfin Google Tag Manager et le pixel Meta ne se chargent qu'après votre consentement explicite au bandeau de cookies, et rien n'est demandé à leurs serveurs tant que vous n'avez pas cliqué. Trois canaux souvent présents ailleurs sont absents ici et ne traitent donc rien : la prise de rendez-vous Cal.com, WhatsApp et le téléphone direct sont désactivés sur le site à ce jour.

Une durée de conservation qui n'est pas écrite est une durée infinie. Les nôtres : une demande envoyée par le formulaire de contact est conservée le temps d'y répondre, puis trois ans au maximum après notre dernier échange, délai qui correspond à la prospection commerciale admise par la CNIL. Une adresse e-mail laissée pour recevoir un guide suit la même règle et se supprime immédiatement sur demande. Un compte de l'espace client vit aussi longtemps que la relation, puis se supprime à votre demande ou après une inactivité prolongée. Les messages et fiches de projet de l'espace client sont conservés le temps du suivi, puis archivés avec le dossier. Les compteurs anti-abus expirent d'eux-mêmes après vingt-six heures. Les factures et pièces comptables, elles, sont conservées dix ans : ce n'est pas un choix, c'est l'article L. 123-22 du Code de commerce. Les conversations avec l'assistant du site ne sont conservées nulle part, ce qui fait l'objet de la rubrique qui leur est consacrée plus bas.

Vos données ne servent à entraîner aucun modèle, ni le nôtre — nous n'en entraînons pas — ni celui d'un fournisseur. Les appels aux modèles de langage passent par des accès professionnels dont les conditions excluent la réutilisation des contenus pour l'entraînement ; c'est le point que nous documentons noir sur blanc dans le contrat de sous-traitance, avec le nom du fournisseur retenu pour votre projet. Nous ne revendons ni ne louons aucune donnée. Nous ne croisons pas les données d'un client avec celles d'un autre : chaque projet a son propre espace, ses propres clés, et rien ne circule d'un dossier à l'autre. Nous ne mettons en place aucun profilage publicitaire, et le site ne dépose aucun cookie de mesure avant votre accord. Enfin, aucune décision produisant un effet juridique ou significatif — un devis, un tarif, l'acceptation d'un projet — n'est prise par une machine : l'article 22 du RGPD n'a pas à s'appliquer parce qu'il n'y a rien à quoi l'appliquer.

C'est la question la plus posée, et elle mérite une réponse technique plutôt qu'une promesse. Quand vous écrivez à l'assistant, votre message part vers notre serveur, qui l'accompagne du contexte de la conversation en cours et l'envoie au fournisseur de modèle. La réponse revient et s'affiche. À aucun moment ce serveur n'écrit la conversation dans une base de données, un fichier ou un journal : la route qui traite ces échanges ne comporte aucune écriture, et c'est vérifiable dans le code du site. Concrètement, fermer l'onglet efface la conversation. Il en découle une limite qu'il faut connaître : nous ne pouvons pas vous restituer l'historique d'un échange avec l'assistant, puisque nous ne l'avons pas. La contrepartie est qu'il n'existe nulle part et ne peut donc fuiter de nulle part. L'espace client, lui, fonctionne à l'inverse : les messages que vous y échangez avec l'équipe sont bien conservés, parce que c'est précisément leur utilité.

Le règlement (UE) 2024/1689 répartit les obligations selon le rôle tenu, pas selon la taille de l'entreprise. Quand nous concevons et paramétrons un agent pour vous, HelyOs Global agit comme fournisseur de ce système au sens du règlement ; quand vous l'exploitez auprès de vos clients, vous en êtes le déployeur. Les obligations de transparence de l'article 50 s'appliquent à compter du 2 août 2026 : une personne qui parle à une machine doit le savoir, et un contenu généré artificiellement doit être identifiable comme tel. C'est pourquoi nos agents conversationnels annoncent leur nature dès le premier message ou la première seconde d'appel, sans qu'on ait à le demander, et pourquoi nous refusons de livrer un agent qui se ferait passer pour un humain. Un délai transitoire court jusqu'au 2 décembre 2026 pour le marquage technique des contenus synthétiques produits par des systèmes déjà sur le marché. Les obligations lourdes des systèmes à haut risque ne concernent aucune des prestations que nous vendons : ni recrutement, ni évaluation scolaire, ni scoring de crédit, ni biométrie. Si un projet devait relever de l'annexe III, nous vous le dirions avant le devis, et le calendrier applicable serait celui du 2 décembre 2027. Nous nous engageons enfin à fournir, pour chaque agent livré, la documentation technique nécessaire à votre propre conformité de déployeur : finalité, données d'entrée, limites connues, points de reprise humaine.

L'article 28 du RGPD impose un contrat écrit entre vous et nous dès qu'une prestation nous fait toucher aux données de vos clients. Nous le fournissons dans les quarante-huit heures ouvrées suivant votre demande, et il est signé avant tout accès, jamais après. Il nomme l'objet et la durée du traitement, les catégories de personnes concernées, la liste des sous-traitants ultérieurs effectivement mobilisés pour votre projet — pas la liste théorique de la rubrique précédente, celle qui vous concerne — les mesures de sécurité, le sort des données en fin de contrat et le délai de notification en cas d'incident. Nous ne mettons délibérément aucun modèle vierge en téléchargement. Un contrat de sous-traitance générique, avec ses crochets à compléter et ses annexes vides, donne l'apparence d'une conformité qu'il ne produit pas : la valeur juridique de ce document tient entièrement à ses annexes, c'est-à-dire au détail de votre traitement à vous. Un document prérempli au hasard serait signé sans être lu, ce qui est précisément le risque que l'article 28 cherche à écarter. Demandez-le, vous l'aurez rempli.

Les mesures utiles tiennent en peu de lignes, ce qui est plutôt bon signe. Les échanges avec le site sont chiffrés en transit. Les clés d'accès aux services tiers vivent côté serveur, jamais dans le navigateur, et ne sont pas versionnées. L'espace client s'appuie sur les politiques de sécurité au niveau des lignes de Supabase : un utilisateur authentifié n'atteint que ses propres enregistrements, la règle étant appliquée par la base elle-même et pas seulement par l'interface, ce qui la rend insensible à une erreur de code côté application. Les routes qui écrivent sont protégées par un contrôle d'origine et par des plafonds de débit. La supervision technique remonte les erreurs sans leur contenu personnel. En cas de violation de données nous concernant, nous vous informons sans délai injustifié avec ce que nous savons, y compris ce que nous ne savons pas encore, afin que vous puissiez tenir le délai de soixante-douze heures de l'article 33 vis-à-vis de votre autorité de contrôle. Chaque incident est consigné, y compris ceux qui n'atteignent pas le seuil de notification : l'article 33.5 impose ce registre interne, et c'est aussi le seul moyen de repérer une dérive.

HelyOs Global n'a pas désigné de délégué à la protection des données, et ce n'est pas un oubli : l'article 37 rend la désignation obligatoire pour les organismes publics, pour ceux dont l'activité de base implique un suivi systématique à grande échelle, et pour ceux qui traitent à grande échelle des données sensibles ou pénales. Aucun de ces trois cas ne correspond à l'activité du studio. Écrire le contraire pour rassurer serait une mention décorative. Vos demandes — accès, rectification, effacement, portabilité, opposition, retrait d'un consentement — vont donc directement à contact@helyosglobal.com, et reçoivent une réponse dans le mois, délai de l'article 12.3, prolongeable de deux mois pour une demande complexe, auquel cas nous vous le disons avant l'échéance et non après. Si la réponse ne vous convient pas, la CNIL peut être saisie gratuitement, en ligne, sur www.cnil.fr, sans avoir à nous prévenir. Le jour où l'une de ces trois conditions changerait — un projet de grande ampleur portant sur des données de santé, par exemple — un délégué serait désigné et son nom figurerait ici.