Politique de confidentialité

Cette politique décrit comment Circulab collecte, utilise et protège les données personnelles des utilisateurs du service Janine, en conformité avec le Règlement (UE) 2016/679 (RGPD) et la loi Informatique et Libertés modifiée.

1. Responsable de traitement

Le responsable du traitement des données personnelles est Circulab SAS, société par actions simplifiée au capital de 16 200 €, dont le siège social est situé au 4Q passage de la Fonderie, 75011 Paris, France, immatriculée au RCS Paris sous le numéro 788 990 356.

Pour toute question relative aux données personnelles ou pour exercer vos droits, contactez-nous à hello@circulab.com ou par courrier au siège social.

2. Données collectées

2.1 Visiteurs non connectés (askjanine.ai vitrine)

Sur la vitrine publique, aucune donnée n'est collectée à des fins d'analytique ou de tracking. Pas de Google Analytics, pas de pixels publicitaires, pas de cookies de mesure d'audience.

3.2 Utilisateurs de la version d'essai (3 questions/jour)

L'API backend collecte temporairement, pour le rate limiting et la prévention d'abus :

• Adresse IP (hachée SHA-256, jamais stockée en clair) — durée 24h, supprimée automatiquement par Redis ;
• Contenu de la requête (anonymisé, sans identifiant utilisateur) — utilisé pour générer la réponse via Claude (Anthropic), puis stocké pour l'analyse statistique agrégée 30 jours.

2.3 Utilisateurs authentifiés (app.askjanine.ai)

À la création de compte et pendant l'utilisation :

• Adresse email — utilisée pour l'authentification (magic link, passkey) et la communication transactionnelle ;
• Identifiant utilisateur (UUID généré par Hanko) — utilisé en interne pour lier les conversations à l'utilisateur ;
• Type d'utilisateur et abonnement (interne / indépendant / community / enterprise / discovery, et free / entry / intermediate / expert) — utilisé pour déterminer l'accès au corpus et les fonctionnalités disponibles ;
• Historique des conversations (messages échangés avec Janine) — stocké pour permettre la reprise après refresh, le partage par URL et l'export futur ;
• Logs analytiques (date, type de question, temps de réponse, namespaces interrogés) — agrégés à fins d'amélioration du service.

2.4 Données de paiement

Les données de paiement (numéro de carte, expiration, CVV) sont collectées et traitées par notre prestataire tiers [À COMPLÉTER quand le prestataire de paiement sera intégré — Stripe en cours d'intégration], conforme PCI-DSS niveau 1. Circulab n'a jamais accès aux données complètes de carte bancaire.

3. Finalités du traitement

Fourniture du service

Permettre l'accès à Janine, traiter les questions, restituer les réponses sourcées, conserver l'historique des conversations.

Sécurité et prévention d'abus

Rate limiting (3 questions/jour pour les visiteurs), authentification sécurisée, journalisation des accès suspects.

Amélioration du service

Analyse statistique agrégée (questions les plus fréquentes, taux d'erreur, temps de réponse) — jamais sur des données nominatives.

Communication

Envoi des emails transactionnels (magic link), notifications produit importantes, rapport hebdomadaire interne.

Facturation

Émission des factures, traitement des paiements, recouvrement.

4. Base légale

• Exécution du contrat (art. 6.1.b RGPD) : fourniture du service après inscription.
• Intérêt légitime (art. 6.1.f RGPD) : sécurité, rate limiting, statistiques agrégées anonymisées.
• Obligation légale (art. 6.1.c RGPD) : conservation des factures (10 ans).
• Consentement (art. 6.1.a RGPD) : pour les communications non transactionnelles (newsletters — opt-in uniquement, désinscription en 1 clic).

5. Hébergement et sous-traitants

Vos données sont hébergées exclusivement en Europe ou en Suisse (pays bénéficiant d'une décision d'adéquation de la Commission européenne).

Conversations + IA + analytics

Infomaniak Network SA (Suisse) — VPS sous droit suisse, équivalent RGPD. Localisation Genève.

Authentification

Hanko GmbH (Allemagne) — services hébergés à Francfort, sous RGPD.

CDN et edge compute

Cloudflare, Inc. (États-Unis) — service Pages/Workers. Couvert par les Clauses Contractuelles Types (SCC) et l'EU-US Data Privacy Framework. Ne stocke aucune donnée applicative — uniquement du cache technique transitoire.

Modèle de langage

Anthropic, PBC (États-Unis) — fournisseur de Claude. Les requêtes envoyées à l'API Claude ne sont pas conservées par Anthropic au-delà de 30 jours et ne sont jamais utilisées pour entraîner leurs modèles (conformément à leur politique commerciale). Couverture SCC + Data Privacy Framework.

CMS éditorial

Sanity.io (Sanity AS, Norvège) — contenus marketing publics uniquement. Aucune donnée utilisateur n'y transite.

Paiement

[À COMPLÉTER quand le prestataire de paiement sera intégré — Stripe en cours d'intégration]

6. Durées de conservation

Hash IP (rate limiting)

24 heures.

Logs analytiques agrégés (anonymisés)

30 jours.

Données de compte (email, identifiants)

Pendant toute la durée de la relation contractuelle, puis 3 ans à compter de la résiliation pour permettre la gestion administrative.

Historique des conversations

Pendant toute la durée du compte, supprimable à tout moment depuis l'interface. Suppression définitive sous 30 jours après suppression du compte ou de la conversation.

Factures

10 ans (obligation légale comptable).

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès — connaître les données que nous détenons sur vous ;
• Droit de rectification — corriger les données inexactes ;
• Droit à l'effacement (« droit à l'oubli ») — demander la suppression de vos données ;
• Droit à la limitation du traitement ;
• Droit à la portabilité — récupérer vos conversations dans un format structuré (JSON) ;
• Droit d'opposition — vous opposer à un traitement fondé sur l'intérêt légitime ;
• Droit de retirer votre consentement à tout moment (pour les traitements fondés sur le consentement).

Pour exercer ces droits, contactez-nous à privacy@circulab.com. Nous répondrons dans un délai maximum d'un mois.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, 75007 Paris).

8. Sécurité

Circulab met en œuvre les mesures techniques et organisationnelles appropriées pour protéger vos données :

• Chiffrement TLS 1.3 pour toutes les communications ;
• Authentification sans mot de passe (magic link, passkey) — pas de base de mots de passe à compromettre ;
• JWT signés cryptographiquement, validés à chaque requête ;
• Hébergement de la base de données sur un VPS Infomaniak (Suisse) sous Nginx + Let's Encrypt, accès SSH par clé uniquement ;
• Sauvegardes régulières chiffrées ;
• Logs d'accès auditables ;
• Tests réguliers de robustesse.

9. Cookies

Le site askjanine.ai (vitrine) ne dépose aucun cookie.

L'application app.askjanine.ai utilise un seul cookie, déposé par notre fournisseur d'authentification Hanko pour maintenir la session après connexion. HTTP-only, SameSite=Lax, durée selon configuration. Aucun cookie tiers, aucun cookie publicitaire, aucun cookie de tracking.

10. Transferts hors UE

Les transferts vers les États-Unis (Cloudflare, Anthropic) sont encadrés par les Clauses Contractuelles Types (Décision UE 2021/914) et, lorsque applicable, par l'EU-US Data Privacy Framework.

Aucune donnée applicative sensible (conversations, contenu utilisateur) ne transite vers les États-Unis via Cloudflare — uniquement du trafic technique transitoire. Les requêtes à Anthropic Claude transitent par les centres de données européens d'Anthropic lorsque disponibles.

11. Modifications

Cette politique peut être modifiée. La date de dernière mise à jour est indiquée en haut de la page. En cas de modification substantielle, les utilisateurs sont notifiés par email au moins 30 jours avant l'entrée en vigueur.