Politique de confidentialité

Responsable du traitement

Responsable : Louis Blanquinque, entrepreneur individuel, sous le nom commercial Invenio (SIREN 106 143 217)
Adresse : 1 rue des Bouvreuils, 67100 Strasbourg, France
E-mail : contact@invenio-ia.com

Aucun délégué à la protection des données n'est désigné. Pour toute question sur vos données, écrivez à l'adresse ci-dessus.

Données collectées

Compte : nom, adresse e-mail, nom de l'entreprise, mot de passe (stocké chiffré).
Contenus de votre espace : clients, devis, factures, documents, messages adressés à l'assistant.
Voix : l'audio de la dictée, du mode vocal et des appels transcrits, transmis pour transcription puis non conservé par Invenio ; le texte des réponses lues à voix haute, transmis pour synthèse vocale.
Applications mobiles (iPhone et Android) : le jeton de notification de votre appareil, si vous acceptez les notifications : service APNs d'Apple sur iPhone, Firebase Cloud Messaging de Google sur Android. Ce jeton sert uniquement à vous envoyer les notifications du service ; il est supprimé avec votre compte ; si vous désinstallez l'application, il devient inutilisable et nous le désactivons dès que le service de notification nous le signale, à l'envoi suivant.
Abonnement : offre choisie, factures émises par Invenio, identifiants de paiement transmis par Stripe (aucune donnée de carte n'est stockée chez nous).
Formulaire de contact : nom, e-mail, entreprise, téléphone (facultatif), sujet et message.
Assistant du site : quand l'assistant de ce site ne sait pas répondre, la question, la réponse donnée et la question précédente sont enregistrées (500 caractères chacune au plus), sans votre nom ni votre adresse ; si vous signalez un problème depuis l'assistant, votre nom, le moyen de contact que vous indiquez et votre message.
Journaux techniques : adresse IP, date et heure de connexion, pages et actions demandées, erreurs, pour la sécurité et le bon fonctionnement du service.

Finalités et bases légales

Fournir le service (votre espace, l'assistant, vos documents, votre abonnement) : exécution du contrat (article 6.1.b du RGPD).
Facturation et comptabilité d'Invenio : obligation légale (article 6.1.c).
Sécurité du service et journaux techniques, réponse aux demandes de contact et à celles faites à l'assistant du site, prospection entre professionnels, prévention de l'abus de l'offre d'essai gratuit : intérêt légitime (article 6.1.f).
Notifications et information sur le produit : consentement (article 6.1.a), que vous pouvez retirer à tout moment (réglages de l'appareil, lien de désinscription ou e-mail), sans effet sur les traitements déjà réalisés.

Aucun profilage ni décision automatisée produisant des effets juridiques n'est réalisé.

Destinataires et sous-traitants

Vos données ne sont ni vendues ni louées. Elles peuvent être traitées, pour le seul fonctionnement du service, par les sous-traitants suivants :

OVH SAS — hébergement des serveurs, dans un centre de données situé à Roubaix (France). Les sauvegardes quotidiennes sont aussi copiées hors du serveur, sur le stockage objet d'OVH.
Amazon Web Services EMEA SARL (Luxembourg) — Amazon Bedrock, région Paris et profils d'inférence UE — fait fonctionner l'assistant IA « Claude », un modèle conçu par Anthropic, à partir des messages envoyés à l'assistant et des documents soumis pour analyse. Les requêtes sont traitées dans l'Union européenne ; elles ne sont ni conservées par AWS (journalisation des invocations désactivée) ni utilisées pour entraîner des modèles, et ne sont pas transmises à Anthropic (source : Data protection in Amazon Bedrock). Aucun usage publicitaire, aucune revente.
Deepgram, Inc. (États-Unis), par son point d'accès situé dans l'Union européenne — transcription de la voix (dictée, mode vocal et, si vous l'activez, appels transcrits). Le programme d'amélioration des modèles de Deepgram est désactivé pour nos requêtes (paramètre mip_opt_out) ; aucun enregistrement audio n'est conservé par Invenio. Sa synthèse vocale n'est utilisée que si nous basculons la voix de l'assistant sur ce prestataire (réglage du service, par exemple en cas de panne d'ElevenLabs) ; elle reçoit alors le texte à prononcer.
ElevenLabs Inc. (États-Unis) — synthèse vocale de l'assistant (voix de la secrétaire IA et réponses vocales). Reçoit le texte à prononcer, qui peut contenir des noms ou informations données pendant l'appel. Transfert hors UE encadré par l'accord de traitement des données d'ElevenLabs et les clauses contractuelles types de la Commission européenne.
Brave Search — reçoit les termes d'une recherche web demandée à l'assistant.
Outscraper — reçoit des noms et adresses d'entreprises lors des fonctions de prospection, pour retrouver des informations publiques.
Brevo (Sendinblue SAS, France) — relais d'envoi des e-mails (SMTP) : reçoit l'adresse du destinataire et le contenu du message.
Hunter (Hunter Web Services, Inc., États-Unis ; serveurs en Belgique) et Dropcontact (France) — recherche d'adresses e-mail professionnelles à partir d'un nom et d'une entreprise, lors des fonctions de prospection.
8x8 (Jitsi) — hébergement des salles de visioconférence créées depuis le service.
Apple (APNs) et Google (Firebase Cloud Messaging) — acheminement des notifications des applications iPhone et Android : jeton d'appareil, titre et texte court de la notification, et une référence interne vers la page à ouvrir.
Stripe — paiement de votre abonnement Invenio et, si vous les utilisez, paiements en ligne de vos clients ; Shopify — notifications de paiement de votre boutique. Aucune donnée de carte n'est stockée chez nous.
SUPER PDP — émission et réception de vos factures électroniques, avec votre propre compte SUPER PDP.
Services publics (API Adresse de l'État, Météo-France, MET Norway) — reçoivent des adresses ou coordonnées géographiques pour la géolocalisation et la météo.

Les services tiers que vous choisissez de connecter (messagerie et agenda Google ou Microsoft, signature électronique, fournisseurs de données d'entreprise avec votre propre clé, réseaux sociaux, opérateur téléphonique…) reçoivent les données nécessaires à l'usage que vous en faites, selon leurs propres conditions. C'est le cas de la ligne téléphonique du secrétariat téléphonique : elle est souscrite et payée par le client, à son nom, auprès de l'opérateur de son choix. Invenio relaie les appels de cette ligne par son propre serveur téléphonique et n'en conserve les métadonnées (numéros, date, durée) que le temps nécessaire à l'acheminement des appels, à leur suivi dans l'espace du client et à la sécurité du service. Pour les données que nos clients saisissent dans leur espace, les conditions de sous-traitance figurent dans l'accord de traitement des données.

Transferts hors de l'Union européenne

Vos données sont hébergées en France, l'assistant IA (Amazon Bedrock) et la transcription de la voix (Deepgram) sont traités dans l'Union européenne. Plusieurs prestataires de la liste ci-dessus sont toutefois établis hors de l'UE, principalement aux États-Unis, ou appartiennent à des groupes qui le sont : ElevenLabs (synthèse vocale, serveurs hors UE), Deepgram (société américaine, point d'accès européen), Stripe (abonnement Invenio et paiements), Brave Search, Outscraper, Hunter, 8x8, Apple, Google (Firebase Cloud Messaging), Shopify. Les données qu'ils reçoivent pour les fonctions concernées peuvent être traitées hors de l'UE ; chaque transfert est encadré par l'accord de traitement des données du prestataire (clauses contractuelles types de la Commission européenne, ou décision d'adéquation lorsqu'elle s'applique). Amazon Web Services est par ailleurs la filiale d'une société américaine ; même avec un traitement limité à l'Europe, elle peut en théorie être soumise à des lois américaines d'accès aux données (comme le CLOUD Act). Pour connaître la garantie applicable à un prestataire, écrivez-nous.

Prospection commerciale

Invenio peut contacter par e-mail des professionnels (entreprises, indépendants) pour leur présenter ses services, sur la base de son intérêt légitime (article 6.1.f du RGPD), dans le respect des règles applicables à la prospection entre professionnels : le message est en rapport avec l'activité professionnelle de la personne contactée.

Origine des données : base Sirene de l'INSEE (via l'API publique recherche-entreprises), autres sources publiques, et services de recherche d'adresses e-mail professionnelles (Hunter, Dropcontact) à partir du nom de l'entreprise et de son dirigeant.
Données traitées : nom de l'entreprise, SIREN, adresse, secteur d'activité, taille, nom du dirigeant, adresse e-mail professionnelle.
Durée de conservation : 3 ans après le dernier contact actif ; votre adresse est conservée sans limite dans notre liste d'opposition si vous vous désinscrivez, uniquement pour garantir que vous ne serez plus contacté.
Opposition : chaque e-mail contient un lien de désinscription ; vous pouvez aussi simplement répondre « STOP ». Votre adresse est alors inscrite dans notre liste d'opposition, vérifiée automatiquement avant chaque envoi.
Les e-mails de prospection ne contiennent aucun pixel de suivi d'ouverture. Les liens peuvent être comptés au clic (lien cliqué, sans autre information) ; le lien de désinscription ne l'est jamais.

Durée de conservation

Espace client et compte : pendant l'abonnement ; les données de l'espace sont supprimées 30 jours après la résiliation, sauvegardes comprises sous 30 jours supplémentaires. Seules les factures émises par Invenio pour votre abonnement sont conservées 10 ans (article L123-22 du Code de commerce).
Essai gratuit : pour qu'une même personne ne cumule pas plusieurs essais, nous conservons, après la suppression de l'espace, une empreinte non réversible de l'adresse e-mail utilisée (jamais l'adresse elle-même) et la date de l'essai, pendant 3 ans après le premier essai.
Essai non transformé : les données de l'espace d'essai sont supprimées 90 jours après la fin de l'essai, après un e-mail de rappel.
Suppression du compte : disponible en libre-service depuis les réglages de l'application ou du site ; elle désactive immédiatement le compte et anonymise vos données personnelles. Les étapes, les données concernées et les cas particuliers (salarié, administrateur) sont détaillés sur la page Suppression de compte.
Demandes de contact et prospects : 3 ans après le dernier contact actif.
Réseaux sociaux : commentaires lus sur Facebook, Instagram et LinkedIn, 90 jours, sur YouTube, 30 jours ; jeton d'accès, jusqu'à la déconnexion (voir la section « Réseaux sociaux »).
Assistant du site : questions sans réponse conservées 12 mois ; signalements de problème, 3 ans après le dernier échange.
Journaux techniques : journaux d'erreurs de l'application 14 jours ; journaux d'activité et de connexion 90 jours ; journaux des serveurs effacés par rotation automatique dès qu'ils dépassent 50 Mo par service.
Sauvegardes : 14 jours sur le serveur, 30 jours pour la copie hors site.
Mesure d'audience : 25 mois au plus.

Sécurité des données

Nous protégeons vos données, et plus particulièrement les données sensibles (mots de passe, jetons d'accès aux services que vous connectez, contenu de vos messages et de vos documents), par les mesures suivantes :

Connexions chiffrées : tous les échanges avec Invenio, et entre Invenio et ses prestataires, passent par des connexions chiffrées (HTTPS/TLS).
Mots de passe : jamais conservés en clair ; seule une empreinte chiffrée (hachage) est enregistrée.
Jetons d'accès (Google, Microsoft, réseaux sociaux et autres services connectés) : conservés chiffrés dans la base de données et jamais affichés.
Cloisonnement : chaque client dispose de son propre espace, avec sa propre base de données, séparée de celles des autres clients.
Hébergement chez OVH, dans un centre de données situé en France.
Sauvegardes : copie quotidienne, conservée 14 jours sur le serveur ; la copie envoyée hors du serveur est chiffrée (contenu et noms des fichiers) et conservée 30 jours.
Accès limité : seul l'éditeur d'Invenio a accès aux serveurs, uniquement lorsque c'est nécessaire au fonctionnement du service, à l'assistance que vous demandez ou à la résolution d'un incident ; dans votre espace, les droits sont attribués par rôle.
Usage limité : les données reçues des services connectés ne servent qu'aux fonctions décrites dans cette politique ; elles ne sont ni vendues, ni utilisées pour la publicité, ni pour entraîner des modèles d'intelligence artificielle.
Journalisation des erreurs et des accès, pour détecter un incident et en retracer l'origine.
Incident : en cas de violation de données présentant un risque pour vous, nous le signalons à la CNIL dans les 72 heures et, si le risque est élevé, nous vous en informons directement.

Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits d'accès, de rectification, d'effacement, d'opposition, de limitation et de portabilité, ainsi que du droit de retirer votre consentement à tout moment. Pour les exercer, écrivez à contact@invenio-ia.com ; nous répondons sous un mois.

Vous disposez également du droit d'introduire une réclamation auprès de la CNIL (cnil.fr).

Données des utilisateurs de l'ERP

Les données saisies dans l'ERP par nos clients leur appartiennent. Nous les hébergeons et les traitons pour leur compte, en qualité de sous-traitant au sens du RGPD, dans les conditions de l'accord de traitement des données.

Réseaux sociaux (Facebook, Instagram, LinkedIn, TikTok, YouTube)

Cette section s'applique uniquement si vous, ou votre entreprise, branchez un compte de réseau social à Invenio (Réglages › Réseaux sociaux). Cette fonction est facultative : sans branchement, aucune donnée n'est échangée avec ces plateformes.

Plateformes concernées : Facebook et Instagram (Meta), LinkedIn, TikTok, YouTube (Google). Chacune traite vos données selon ses propres conditions ; le branchement se fait toujours sur son écran d'autorisation, où vous voyez les autorisations accordées.
Données reçues : un jeton d'accès (conservé chiffré, jamais affiché) ; l'identifiant et le nom de la page ou du compte branché (et l'identifiant Facebook de la personne qui a branché, pour pouvoir traiter une demande de suppression) ; pour Facebook, Instagram et la page LinkedIn de l'entreprise, les commentaires publiés sous ses publications (auteur tel que la plateforme le fournit, texte, date ; pour LinkedIn, l'auteur est un identifiant, pas un nom) ; pour chaque réseau branché, un relevé quotidien des compteurs d'abonnés et de vues que ce réseau met à disposition (des compteurs seulement, aucune donnée personnelle). Nous ne lisons ni messages privés, ni listes d'amis ou d'abonnés, ni données de profil autres que le nom du compte. Pour YouTube : l'identifiant et le nom de la chaîne branchée, les commentaires publiés sous les vidéos que l'entreprise a publiées par Invenio (auteur tel que YouTube le fournit, texte, date), les compteurs d'abonnés et de vues de la vidéo ; nous ne lisons ni vos autres vidéos, ni vos listes d'abonnés, ni les données de votre compte Google autres que le nom de la chaîne.
Données publiées : les textes, images et vidéos que l'entreprise valide dans Invenio avant leur publication, ainsi que les réponses envoyées aux commentaires. Rien n'est publié sans validation, sauf les réponses automatiques aux commentaires (ci-dessous).
Finalités : publier au nom de l'entreprise aux dates choisies ; lire les commentaires de moins de 14 jours sous ses publications Facebook, Instagram, LinkedIn (page de l'entreprise) et YouTube et y répondre ; afficher les compteurs d'abonnés et de vues, et les statistiques de publication demandées à l'assistant. Aucune autre finalité : pas de publicité, pas de revente, pas de profilage des auteurs de commentaires, pas d'entraînement de modèles.
YouTube : Invenio utilise les services d'API YouTube. En branchant votre chaîne, vous acceptez d'être lié par les Conditions d'utilisation de YouTube ; la Politique de confidentialité de Google s'applique aux données traitées par Google. Les informations reçues des API de Google sont utilisées et transférées dans le respect de la Politique relative aux données utilisateur des services d'API Google, y compris ses exigences d'usage limité : Invenio n'utilise ces informations que pour publier vos vidéos après votre validation, répondre aux commentaires de ces vidéos et afficher vos statistiques, ne les vend pas, ne les utilise pas pour de la publicité ni pour entraîner des modèles, et ne les transfère à aucun tiers en dehors de ce qui est nécessaire à ces fonctions. Vous pouvez retirer l'accès d'Invenio à tout moment dans « Déconnecter » (Réglages › Réseaux sociaux) ou depuis https://myaccount.google.com/permissions.
Réponses automatiques : si l'entreprise les laisse activées (réglage de la même page, désactivable à tout moment), l'assistant IA classe chaque commentaire (remerciement, question, avis négatif, etc.) et envoie une réponse tirée des modèles de l'entreprise. Pour cela, le texte du commentaire est transmis à l'assistant (Amazon Bedrock, déjà cité parmi nos sous-traitants, traitement dans l'Union européenne). Un avis négatif est signalé aux administrateurs pour un suivi humain.
Base légale : exécution du contrat avec l'entreprise cliente (article 6.1.b du RGPD). Pour les commentaires de tiers, l'entreprise cliente est responsable du traitement et Invenio agit comme son sous-traitant (voir l'accord de traitement des données).
Durée de conservation : les commentaires lus sont supprimés automatiquement 90 jours après leur enregistrement ; le jeton d'accès est supprimé dès la déconnexion, à la fermeture de l'espace ou sur demande de suppression reçue de Facebook ; les textes publiés restent dans l'espace de l'entreprise tant que celui-ci existe. Les commentaires YouTube lus sont supprimés automatiquement 30 jours après leur enregistrement.
Retirer l'accès : Déconnecter dans Réglages › Réseaux sociaux supprime le jeton chez nous et demande à Facebook, Instagram, TikTok et Google (YouTube) de retirer l'accès d'Invenio. LinkedIn ne le permet pas à notre place : retirez-le dans LinkedIn (Confidentialité des données › Services autorisés). Dans tous les cas, vous pouvez le retirer vous-même dans les réglages de la plateforme. Les étapes et la demande de suppression sont détaillées sur la page Suppression des données des réseaux sociaux.
Transferts hors Union européenne : les plateformes sont des services tiers, certaines établies hors de l'Union européenne ; les données que vous leur envoyez ou qu'elles nous renvoient sont soumises à leurs propres conditions.

Cookies et mesure d'audience

Ce site utilise uniquement des cookies techniques nécessaires au fonctionnement (session, sécurité). Aucun cookie publicitaire ni traqueur tiers n'est déployé.

La fréquentation du site public est mesurée avec Umami, un outil hébergé sur nos propres serveurs, sans cookie. Les données sont pseudonymisées et agrégées, la localisation ne va pas plus loin que la ville, et l'outil ne suit pas les visiteurs d'un site à l'autre : il sert uniquement à produire des statistiques de fréquentation. Aucune mesure d'audience n'est faite dans l'ERP.

Vous pouvez vous y opposer à tout moment : choisissez « Refuser la mesure d'audience » dans le bandeau, ou rouvrez le bandeau de gestion des cookies. Votre choix est enregistré dans votre navigateur, et la mesure d'audience n'est alors plus chargée.

Contact données personnelles

Pour toute question relative à la protection des données : contact@invenio-ia.com, ou par courrier à Louis Blanquinque, 1 rue des Bouvreuils, 67100 Strasbourg, France.