Politique de confidentialité

1. Responsable du traitement

n3tz GmbH in Gründung
Innovation Center de l'Université de la Sarre, Campus A2.1, 66123 Sarrebruck, Allemagne
E-mail : mail@n3tz.ai
Téléphone : +49 6898 4989977

2. Aperçu des traitements

Nous ne traitons des données à caractère personnel que dans la mesure nécessaire à la fourniture de notre site web et de nos services. Le traitement repose sur le RGPD, notamment :

• Art. 6, § 1, let. b RGPD – exécution d'un contrat
• Art. 6, § 1, let. f RGPD – intérêt légitime
• Art. 6, § 1, let. a RGPD – consentement

3. Hébergement et diffusion de contenu

Le site public de marketing et d'information n3tz.ai est fourni sous forme de site statique via Cloudflare Pages par Cloudflare, Inc. Lors de sa consultation, Cloudflare traite les données techniques d'accès nécessaires à la fourniture, à la sécurité et à l'analyse des erreurs (notamment l'adresse IP, l'horodatage, la ressource demandée et les informations relatives au navigateur ou à l'appareil). Les services SaaS et backend du collègue IA n3tz — désignés en interne comme Empfang et Zentrale — ainsi que la base de données applicative centrale fonctionnent sur des serveurs de Hetzner Online GmbH à Nuremberg. Cloudflare protège et relaie leurs accès publics en tant que service DNS, CDN, de protection DDoS et TLS. Tous les fichiers clients — notamment les documents chargés et générés, les photos de dossiers et les sauvegardes externes chiffrées — sont stockés et traités dans Cloudflare R2 sous sa juridiction UE. Cette juridiction UE concerne les objets R2 ; elle ne signifie pas que Cloudflare Pages ou le traitement DNS/CDN/DDoS/TLS dans le réseau edge mondial sont limités à l'UE. Cloudflare, Inc. reste une personne morale américaine et d'éventuels accès d'assistance, de sécurité ou de sous-traitants ultérieurs ne sont pas exclus de manière générale. La base juridique de la mise à disposition du site et de la journalisation de sécurité est l'art. 6, § 1, let. f RGPD. Des précisions sur les prestataires et lieux de traitement figurent dans l'AVV (en allemand).

4. Collègue IA n3tz (SaaS)

Lors de l'utilisation de nos produits SaaS, nous traitons :

• Données clients : nom, e-mail, entreprise, données de paiement (exécution d'un contrat, art. 6, § 1, let. b)
• Données d'utilisation : horaires de connexion, utilisation des fonctionnalités (intérêt légitime, art. 6, § 1, let. f)
• Selon les modules activés : données d'appel, chat, e-mail, rendez-vous, SMS, documents et comptabilité, ainsi que photos de dossier et métadonnées techniques associées. Notre client détermine en principe la finalité et la base juridique en tant que responsable du traitement.

Dans la mesure où nous traitons pour le compte du client des données à caractère personnel de ses utilisateurs finaux (par ex. messages via le chat web n3tz), nous agissons en tant que sous-traitant au sens de l'art. 28 RGPD. L'AVV publié (en allemand) documente les flux et mesures. Son intégration et les CGV allemandes applicables sont confirmées expressément avant la conclusion. Dans le paiement entreprise, la configuration choisie, les données de facturation et l'acceptation documentée des CGV et de l'AVV sont traitées pour exécuter le contrat.

Pour la téléphonie par IA, le numéro d'appel transmis par l'opérateur téléphonique — sauf s'il est masqué — peut être traité dans son intégralité et enregistré dans le dossier d'appel. Il est utilisé pour l'interaction demandée, l'identification d'un appelant récurrent, la prise de rendez-vous et le traitement d'un rappel demandé par l'appelant ; lorsque de tels dossiers sont créés, il peut également figurer dans les données de rendez-vous, de prospect ou de rappel correspondantes. La mise en œuvre technique actuelle ne tronque ni ne pseudonymise automatiquement le numéro pour ne conserver que ses quatre derniers chiffres. En tant que responsable du traitement, le client détermine la finalité concrète et la base juridique (généralement l'art. 6, § 1, let. b ou f RGPD) et ne peut utiliser la fonction que s'il existe une finalité licite de traitement. L'information relative à l'IA assure la transparence ; la poursuite de l'interaction n'est pas considérée comme un consentement.

Pour les appels à la démo téléphonique publique n3tz au +49 6898 4989978, n3tz est lui-même responsable du traitement. Nous traitons le numéro transmis, la transcription et les données techniques de l'appel afin de fournir la démo demandée, limiter les abus et les coûts et analyser les erreurs (art. 6, § 1, let. f RGPD). Nous ne réalisons aucun enregistrement audio propre ; le traitement vocal en temps réel peut avoir lieu aux États-Unis via Google Gemini. La transcription et le dossier d'appel sont supprimés au plus tard après 90 jours. Si l'appel donne lieu à une fiche de contact ou de demande, celle-ci est soumise à un délai de conservation propre, plus long, puis anonymisée. Un SMS unique contenant un lien de réservation n'est envoyé qu'après le consentement explicite donné pendant l'appel (art. 6, § 1, let. a RGPD) ; aucun SMS n'est envoyé sans ce consentement.

5. Traitement des paiements

Les paiements sont traités via Stripe (Stripe Payments Europe, Ltd., Irlande). Stripe traite les données de paiement en tant que responsable du traitement autonome. Pour plus d'informations : politique de confidentialité de Stripe.

6. Traitement par IA

Pour fournir nos fonctionnalités d'IA, nous utilisons des modèles de langage (LLM) de Google. Pour le traitement de texte et de documents — le chat web n3tz (service technique Empfang), l'OCR de justificatifs, la dictée de documents, l'utilisation textuelle de l'assistant vocal interne, les résumés de conversation, l'extraction de prospects et l'analyse de site web côté serveur dans n3tz Centrale — l'inférence et la résidence des données sont configurées sur Google Vertex AI dans la région UE. Les accès contractuels d'assistance, de sécurité ou de sous-traitants peuvent néanmoins impliquer un pays tiers et sont régis par le DPA de Google et les mécanismes de transfert convenus. Pour l'appel téléphonique IA en direct (modèle vocal Gemini Live), le message vocal d'accueil et le mode vocal de l'assistant vocal interne de n3tz Centrale, n3tz utilise actuellement un chemin d'API Gemini et un modèle par lesquels ce traitement vocal a lieu aux États-Unis.

Le texte du message vocal d'accueil peut contenir des données à caractère personnel, notamment le nom de l'appelant ainsi que le contexte de sa demande ou de la poursuite d'un échange, et il est transféré aux États-Unis pour la synthèse vocale.

Pour la dictée de documents, un clip audio téléversé est transmis une seule fois à Vertex AI dans la région UE pour transcription et extraction du brouillon. n3tz ne conserve pas durablement le fichier audio brut ; la transcription source produite peut être conservée avec le brouillon pendant 90 jours au maximum.

L'assistant vocal interne de n3tz Centrale est utilisé par un collaborateur connecté de notre client et n'est disponible que si n3tz l'a activé pour ce client. En mode vocal, nous transmettons à Google LLC aux États-Unis la voix et la transcription de la session en cours ainsi que les données que l'assistant extrait du fonds de données du client à la demande de ce collaborateur : données clients et de contact, documents commerciaux émis ainsi que brouillons de devis et de factures, y compris les lignes et les montants, journaux d'appels et transcriptions de conversations, contenus des e-mails entrants, historiques de chat, données de rendez-vous et entrées de la base de connaissances interne. Sont donc également concernées des personnes qui ne participent pas à la session vocale, notamment les appelants, les expéditeurs d'e-mails entrants, les participants aux historiques de chat, les destinataires de devis et de factures ainsi que les employés de notre client. La finalité est d'informer le collaborateur, de consigner les notes dictées et de préparer des brouillons ; en mode vocal, l'assistant n'envoie, ne finalise, ne réserve et ne supprime rien. Chaque consultation de données est limitée au mandant du collaborateur connecté. Nous agissons à cet égard en tant que sous-traitant ; notre client détermine la finalité et la base légale du traitement en tant que responsable du traitement (typiquement art. 6, § 1, let. b ou let. f RGPD).

Le transfert vers les États-Unis qui en résulte (limité à l'appel téléphonique IA en direct, au message vocal d'accueil et au mode vocal de l'assistant vocal interne) repose sur l'EU-US Data Privacy Framework (art. 45 RGPD ; Google LLC est certifiée DPF) ainsi que sur des clauses contractuelles types complémentaires. Les dispositions et la liste complète des sous-traitants ultérieurs figurent dans l'AVV (en allemand).

n3tz ne réalise ni ne conserve aucun enregistrement audio propre — ni de l'appel téléphonique IA en direct, ni des sessions vocales de l'assistant vocal interne. Dans les deux cas, la configuration de production ne demande pas la reprise de session Gemini Live et ne demande donc pas la conservation optionnelle de l'état de conversation pendant une durée maximale de 24 heures. Google peut néanmoins conserver les requêtes, informations contextuelles et sorties des services payants jusqu'à 55 jours pour la détection des abus et les divulgations requises ; cela couvre également les données que l'assistant vocal interne introduit dans la conversation. Les documents du fournisseur n'excluant pas expressément l'audio brut de ces sessions vocales, n3tz ne promet pas cette exclusion. Google n'utilise pas les requêtes ou réponses des services payants pour améliorer ses produits.

Pour l'assistant vocal interne, n3tz ne conserve pas non plus la transcription de la session vocale ; elle n'est affichée au collaborateur que dans son navigateur pendant la session en cours. Seuls les résultats que le collaborateur déclenche expressément sont conservés durablement, notamment les notes, les tâches et les brouillons ; ils se trouvent dans le fonds de données de notre client et sont soumis à ses délais de conservation. La journalisation de sécurité de ces sessions est dépourvue de contenu et ne contient ni contenus de conversation ni données clients ou documentaires.

Les fonctions basées sur Gemini sont fournies uniquement pour des communications administratives, l'accueil et la prise de rendez-vous destinés aux adultes. Les services destinés aux personnes de moins de 18 ans ou susceptibles d'être utilisés par elles, ainsi que la pratique clinique, le conseil médical, le diagnostic ou le traitement, nécessitent au préalable la confirmation écrite par n3tz d'une autorisation valable du fournisseur ou d'un sous-traitant alternatif approprié.

7. Prise de contact

Lorsque vous nous contactez par e-mail ou via le formulaire de contact, les données transmises (nom, e-mail, message) sont enregistrées afin de traiter votre demande. Base légale : art. 6, § 1, let. b ou let. f RGPD. Ces données sont supprimées une fois la demande traitée, sauf obligations légales de conservation.

Lorsque vous rejoignez la liste d’attente pour l’hébergement vocal dans l’UE, nous traitons l’adresse e-mail fournie, la langue du site, le chemin de la page et la version du consentement uniquement afin d’envoyer une notification lorsque cette offre sera disponible. Cette inscription seule ne vous abonne pas aux actualités. Le consentement décrit ci-dessous s’applique uniquement si vous cochez l’option facultative et séparée pour les actualités n3tz, puis confirmez le lien reçu par e-mail. La base légale est l’art. 6, § 1, let. a RGPD. Vous pouvez retirer votre consentement à tout moment par e-mail. Nous supprimons l’inscription après le retrait, si le projet est abandonné ou après la notification unique, sauf obligation légale de preuve strictement limitée.

Lorsque vous envoyez une demande au sujet de Quality Lab et d’un éventuel audit, nous traitons l’adresse e-mail fournie, la langue du site, le chemin de la page et la version du consentement uniquement afin de vous contacter une fois au sujet de Quality Lab et d’un éventuel audit. Cette demande seule ne vous abonne pas aux actualités. Le consentement décrit ci-dessous s’applique uniquement si vous cochez l’option facultative et séparée pour les actualités n3tz, puis confirmez le lien reçu par e-mail. La base légale est l’art. 6, § 1, let. a RGPD. Vous pouvez retirer votre consentement à tout moment par e-mail. Nous supprimons l’inscription après le retrait, si le projet est abandonné ou après cette prise de contact unique, sauf obligation légale de preuve strictement limitée.

Lorsque vous vous inscrivez aux actualités n3tz — via l’option facultative d’une liste d’attente ou le formulaire précédant le pied de page — nous traitons l’adresse e-mail, la langue, la source et le chemin de la page, les dates, la version du consentement ainsi que des empreintes salées de l’adresse IP et du navigateur comme preuve. Brevo envoie d’abord uniquement un e-mail de confirmation. L’inscription n’est enregistrée comme confirmée, notre équipe informée, un e-mail de bienvenue envoyé une seule fois et l’adresse éventuellement ajoutée à la liste Brevo dédiée qu’après ouverture du lien et validation active (double opt-in). Les inscriptions non confirmées sont supprimées après 48 heures. Les coordonnées confirmées et la preuve restent conservées jusqu’au retrait du consentement ou à la disparition de la finalité. Les e-mails de confirmation et de bienvenue chargent le logo n3tz statique depuis le site n3tz concerné, sans paramètre propre au destinataire ni suivi d’ouverture. Le lien personnel de désinscription contenu dans l’e-mail de bienvenue retire l’adresse de la liste des actualités ; après cette opération, nous supprimons l’adresse en clair de notre preuve et conservons une preuve pseudonymisée du retrait pendant quatre ans au maximum. Vous pouvez également vous désinscrire et retirer votre consentement à tout moment en écrivant à mail@n3tz.ai. La base légale est l’art. 6, § 1, let. a RGPD ; l’envoi est assuré dans l’UE par Sendinblue SAS (Brevo).

Si notre client envoie une demande de photos, la personne sollicitée reçoit un lien sans connexion et à durée limitée pour téléverser les photos demandées pour le dossier indiqué. Nous traitons les fichiers, les métadonnées techniques, les sommes de contrôle et — si elles sont présentes dans le fichier original — les métadonnées EXIF uniquement afin de les rattacher au dossier de notre client et de les y mettre à disposition. Notre client détermine la base légale et la finalité en tant que responsable du traitement ; le téléversement est facultatif. L'autorisation et les événements de sécurité associés sont limités dans le temps ; les photos restent conservées jusqu'à leur suppression par notre client ou la fin du contrat.

L’adresse e-mail est facultative dans le validateur de factures électroniques : la validation locale fonctionne sans elle et le fichier n’est pas transmis. Si vous demandez le résultat et la checklist, nous traitons l’adresse, la langue, un résumé technique sans contenu de facture, les dates, la version du consentement et des empreintes de l’adresse IP et du navigateur comme preuve. Ce n’est qu’après confirmation du lien (double opt-in) que nous envoyons les contenus, informons notre équipe et, si configuré, ajoutons l’adresse à la liste Brevo dédiée ; il ne s’agit pas d’une inscription publicitaire. Les données non confirmées sont supprimées après 48 heures et la preuve après 180 jours. Base légale : art. 6, § 1, let. a RGPD. L’envoi est assuré dans l’UE par Sendinblue SAS (Brevo).

Si vous nous écrivez via WhatsApp, nous traitons votre numéro de téléphone, votre nom de profil et le contenu de vos messages, y compris les messages vocaux, photos et images de justificatifs transmis, afin de traiter votre demande. Les messages vocaux sont transcrits automatiquement dans la région UE. Base légale : art. 6, § 1, let. b ou let. f RGPD ; l’usage de ce canal est facultatif, le courriel et le téléphone restent disponibles de manière équivalente. L’acheminement est assuré par la WhatsApp Business Platform de WhatsApp Ireland Ltd., Merrion Road, Dublin 4, Irlande. Meta Platforms Ireland Ltd. peut transférer des données à Meta Platforms, Inc. aux États-Unis, sur la base de la décision d’adéquation EU-US Data Privacy Framework, complétée par des clauses contractuelles types. Le transport est chiffré de bout en bout, mais le message est déchiffré pour le traitement ultérieur de notre côté, et Meta traite en outre les données de trafic et les métadonnées en tant que responsable du traitement distinct. Un assistant automatisé peut répondre et préparer des brouillons ; toute décision juridique ou tout envoi vers l’extérieur n’intervient qu’après vérification humaine.

8. Cookies et mesure d'audience

Une première visite ordinaire de n3tz.ai ne dépose aucun cookie et n'enregistre aucun identifiant. La langue du navigateur est évaluée localement afin de sélectionner automatiquement une URL allemande, anglaise ou française disponible. Ce n'est que si le visiteur choisit lui-même une langue dans le menu que cette préférence fonctionnelle est enregistrée sous le nom n3tz_locale dans le stockage local pendant douze mois au maximum ; elle n'est utilisée ni pour l'analyse ni pour le profilage. Cette préférence fonctionnelle expressément demandée est nécessaire au titre de l'article 25, paragraphe 2, point 2, TDDDG.

Pour une mesure de réussite uniquement agrégée, n3tz.ai compte certains clics sur les actions téléphone et rendez-vous, le formulaire de réservation chargé après autorisation, ainsi qu’une réservation terminée signalée après son enregistrement réussi côté serveur. La fin de réservation n’est pas signalée par le navigateur. Les requêtes de comptage sont envoyées uniquement au point d’accès interne /api/funnel ; le compteur ne conserve que le nom de l’événement et la valeur 1. Il ne transmet ni ne conserve la route, les paramètres de requête, le référent, les valeurs du calculateur, la catégorie d’appareil ou un identifiant de session ou d’utilisateur. Ces compteurs n’utilisent ni cookie ni stockage du navigateur.

Le chat web n3tz (Griffi) est intégré au site public. Une simple consultation de page n'envoie aucune requête au service de chat. Le premier événement pointerdown (souris ou stylet), keydown, touchstart ou de défilement charge le script d'intégration depuis empfang.n3tz.ai. Le script demande ensuite une autorisation technique signée liée à n3tz.ai et à la session de chat. Elle n'est enregistrée dans le stockage de session sous empfang_chat_capability_v3:tenant_tarik:https://empfang.n3tz.ai qu'après une émission réussie. Chaque valeur reste valable cinq minutes au maximum ; tant que la page est ouverte, son renouvellement est tenté environ 30 secondes avant l'expiration et remplace la valeur enregistrée en cas de succès. Les valeurs invalides ou expirées sont supprimées et le stockage de session prend fin au plus tard à la fermeture de l'onglet. Cette valeur ne contient aucun contenu de chat et n'est utilisée ni pour l'analyse ni pour le profilage. Le cadre et les contenus du chat ne sont traités que lorsque vous ouvrez expressément Griffi. Le chat intégré met alors aussi en cache le fil visible sous empfang_timeline:tenant_tarik:<session de chat> dans le stockage de session d'empfang.n3tz.ai ; ce cache prend fin au plus tard avec l'onglet et reste distinct de la conservation côté serveur. Le traitement par IA s'effectue via Google Vertex AI dans la région UE, comme décrit à la section 6. Nous n'utilisons sur n3tz.ai aucun cookie de suivi ou de marketing, aucune mesure d'audience externe et aucun profilage. L'inventaire exact du stockage figure dans notre politique relative aux cookies (en allemand).

9. Vos droits

Vous disposez des droits suivants concernant vos données à caractère personnel :

• Droit d'accès (art. 15 RGPD)
• Droit de rectification (art. 16 RGPD)
• Droit à l'effacement (art. 17 RGPD)
• Droit à la limitation du traitement (art. 18 RGPD)
• Droit à la portabilité des données (art. 20 RGPD)
• Droit d'opposition (art. 21 RGPD)
• Droit de retirer un consentement (art. 7, § 3 RGPD)

Pour exercer vos droits, contactez-nous à l'adresse mail@n3tz.ai.

10. Droit de réclamation

Vous avez le droit d'introduire une réclamation auprès d'une autorité de contrôle en matière de protection des données. Autorité compétente :
Unabhängiges Datenschutzzentrum Saarland (autorité indépendante de protection des données de la Sarre)
Fritz-Dobisch-Straße 12, 66111 Sarrebruck, Allemagne

11. Durées de conservation

Les données à caractère personnel sont supprimées dès que la finalité du traitement disparaît et en l'absence d'obligations légales de conservation contraires (par ex. 6 ans selon le Code de commerce allemand (HGB), 10 ans selon le Code fiscal allemand (AO)).

12. Sous-traitants ultérieurs

Une liste actuelle des sous-traitants ultérieurs auxquels nous avons recours figure dans l'AVV (en allemand).