Politique de confidentialité

1. Qui est responsable de vos données

Le responsable du traitement des données personnelles collectées via ce site et via les services Noor Agency est :

• Dénomination légale : SAM-WING Marie, Aurélie, entrepreneur individuel, exerçant sous le nom commercial Noor Agency
• SIRET : 81387388200068
• Adresse : 6 rue du Petit Bois, 44170 Treffieux
• Contact : contact@nooragency.digital
• Téléphone : +33 7 66 20 01 93

Compte tenu de la taille de la structure, aucun délégué à la protection des données (DPO) n'a été désigné. Toute question relative à vos données peut être adressée directement à l'adresse ci-dessus.

2. Quelles données sont collectées, et pourquoi

3. Transparence sur l'assistant automatisé « Sara »

Sara est un assistant conversationnel automatisé, reposant sur un modèle de langage. Ce n'est pas une personne.

• Les réponses reçues en messagerie peuvent être générées automatiquement.
• Le contenu de la conversation est transmis à un fournisseur de modèle d'intelligence artificielle pour produire la réponse : voir l'article 5 pour le détail par canal. Il n'est pas utilisé pour entraîner ce modèle.
• Vous pouvez à tout moment demander à parler à un humain : écrivez simplement « humain » ou « je veux parler à quelqu'un » dans la conversation.
• Aucune décision produisant un effet juridique à votre égard n'est prise de façon exclusivement automatisée.

4. Combien de temps vos données sont conservées

À l'échéance, les données sont supprimées ou anonymisées de manière irréversible.

5. Qui accède à vos données

Vos données ne sont ni vendues, ni louées, ni cédées à des fins publicitaires. Elles sont traitées par Noor Agency et par les prestataires techniques strictement nécessaires au fonctionnement du service :

Certains de ces prestataires étant établis hors de l'Union européenne, les transferts s'appuient sur les clauses contractuelles types de la Commission européenne ou sur un mécanisme d'adéquation reconnu.

Modèles d'intelligence artificielle. Selon le canal, le modèle qui rédige les réponses de Sara n'est pas le même. Dans les deux cas, seul le contenu nécessaire à la rédaction de la réponse est transmis, et il n'est pas utilisé pour entraîner le modèle :

• Instagram et Messenger : le modèle est fourni par la plateforme ChatPlace, dans le cadre de ses propres conditions et de sa propre liste de sous-traitants. Noor Agency ne contracte pas directement avec l'éditeur de ce modèle et ne lui transmet aucune donnée en dehors de cette plateforme.
• WhatsApp : le modèle est appelé directement par Noor Agency auprès de Mistral AI SAS, société française établie à Paris. Les données restent traitées en France, sans transfert hors Union européenne.

Cette liste constitue la liste des sous-traitants ultérieurs autorisés au sens de l'article 28 du RGPD. Elle reflète l'état du service à la date indiquée en haut de page.

Changement de prestataire. Noor Agency peut être amenée à remplacer l'un de ces prestataires : notamment le fournisseur du modèle d'intelligence artificielle, ce secteur évoluant rapidement. Dans ce cas, le remplaçant est soumis aux mêmes obligations contractuelles que celui qu'il remplace, la présente liste est mise à jour, et les clientes sous contrat en sont informées par e-mail au moins trente jours avant la mise en œuvre, avec la possibilité de formuler une objection et, à défaut d'accord, de résilier sans frais ni préavis.

6. Vos droits

Conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Accès : obtenir une copie des données que nous détenons sur vous
• Rectification : corriger une donnée inexacte ou incomplète
• Effacement : demander la suppression de vos données
• Opposition : vous opposer à un traitement fondé sur l'intérêt légitime
• Limitation : demander le gel temporaire d'un traitement
• Portabilité : recevoir vos données dans un format réutilisable
• Retrait du consentement : à tout moment, sans justification

Pour exercer l'un de ces droits, écrivez à contact@nooragency.digital. Une réponse vous sera apportée dans un délai maximum d'un mois. Une pièce justificative d'identité pourra être demandée en cas de doute raisonnable sur l'identité du demandeur.

Pour la suppression de vos données, une procédure dédiée est décrite sur la page Suppression des données.

7. Sécurité

Les mesures techniques et organisationnelles suivantes sont mises en œuvre, conformément à l'article 32 du RGPD :

• Chiffrement en transit (HTTPS/TLS) de tous les échanges avec ce site, l'espace de gestion et les plateformes de messagerie.
• Authentification individuelle. Chaque cliente dispose de son propre identifiant et de son propre mot de passe. Le mot de passe n'est jamais conservé en clair : seule une empreinte cryptographique dérivée (PBKDF2-SHA256, 210 000 itérations, sel aléatoire unique) est stockée. Elle ne permet pas de retrouver le mot de passe d'origine.
• Session signée. Le cookie de session est signé cryptographiquement et transmis en HttpOnly : il n'est pas lisible par un script, et sa modification par un tiers le rend immédiatement invalide.
• Protection contre les tentatives répétées. Au-delà de huit échecs de connexion, l'accès est temporairement bloqué. Le message d'erreur est identique que l'identifiant existe ou non, afin qu'il soit impossible de découvrir la liste des clientes.
• Aucun secret dans les pages consultées par la Cliente : les jetons d'accès aux services techniques sont conservés côté serveur, en variables d'environnement chiffrées, et ne sont jamais transmis au navigateur.
• Accès minimal : les accès délégués par la Cliente sont limités au strict nécessaire, protégés par des mots de passe uniques et une authentification à deux facteurs lorsqu'elle est disponible, et révoqués à la fin de la prestation.
• Cloisonnement : les données de chaque cliente sont isolées et ne sont jamais mutualisées ni utilisées pour une autre cliente. L'identité de la cliente est déterminée uniquement par sa session signée, côté serveur ; aucune valeur transmise par le navigateur ne permet d'accéder aux données d'une autre cliente.
• Journalisation des traitements automatisés, permettant de retracer chaque envoi et chaque écriture.

8. Nos engagements en tant que sous-traitant (article 28 du RGPD)

Lorsque Noor Agency traite, pour le compte d'une cliente sous contrat, les données personnelles des clients de celle-ci, la Cliente est responsable de traitement et Noor Agency agit en qualité de sous-traitant. Le présent article vaut acte d'encadrement au sens de l'article 28.3 du RGPD et fait partie intégrante du contrat de prestation.

• Instructions. Les données ne sont traitées que sur instruction documentée de la Cliente, aux seules fins de la prestation. Elles ne sont jamais utilisées à des fins propres, ni pour de la prospection, ni pour entraîner un modèle d'intelligence artificielle.
• Confidentialité. Toute personne autorisée à accéder aux données est tenue à une obligation de confidentialité.
• Sécurité. Les mesures décrites à l'article 7 sont appliquées et réexaminées à chaque évolution du service.
• Sous-traitants ultérieurs. La liste figure à l'article 5. Tout changement est notifié au moins trente jours à l'avance, la Cliente pouvant s'y opposer et, le cas échéant, résilier sans frais.
• Assistance aux droits des personnes. Noor Agency aide la Cliente à répondre aux demandes d'accès, de rectification, d'effacement, d'opposition, de limitation et de portabilité qu'elle reçoit, dans un délai lui permettant de respecter le délai d'un mois qui lui incombe.
• Notification des violations. En cas de violation de données affectant les données de la Cliente, Noor Agency l'en informe sans délai injustifié et au plus tard sous 48 heures après en avoir pris connaissance, en précisant la nature de la violation, les catégories et le volume approximatif de données concernées, les conséquences probables et les mesures prises. C'est ensuite à la Cliente, responsable de traitement, de notifier la CNIL sous 72 heures si la violation le justifie ; Noor Agency lui fournit tous les éléments nécessaires.
• Analyse d'impact. Noor Agency assiste la Cliente, à sa demande, pour toute analyse d'impact relative à la protection des données et pour la consultation préalable de l'autorité de contrôle.
• Restitution et suppression. À la fin du contrat, quelle qu'en soit la cause, la Cliente choisit entre la restitution de ses données dans un format réutilisable (CSV) et leur suppression. À défaut de choix exprimé dans les trente jours, les données sont restituées puis supprimées des outils de Noor Agency, sous réserve des durées de conservation légales rappelées à l'article 4. Les comptes, numéros et agendas de la Cliente lui appartiennent et ne lui sont à aucun moment retirés.
• Audit. La Cliente peut demander, une fois par an et avec un préavis raisonnable, les éléments justifiant du respect des présentes obligations.

9. Modifications

Cette politique peut être mise à jour pour refléter une évolution du service ou de la réglementation. La date de dernière mise à jour figure en haut de page. En cas de modification substantielle, les clientes sous contrat en sont informées par e-mail.

10. Mentions légales

• Éditeur du site : SAM-WING Marie, Aurélie · Noor Agency · 6 rue du Petit Bois, 44170 Treffieux · SIRET 81387388200068
• Responsable de la publication : SAM-WING Marie, Aurélie
• Contact : contact@nooragency.digital
• Hébergeur : Netlify, Inc., 512 2nd Street, Suite 200, San Francisco, CA 94107, États-Unis · netlify.com