Politique de confidentialité

Qui traite vos données

SSIEE Services (SASU), 54 avenue du Commandant Lisiack, appt 2001, 17440 Aytré, France, édite et exploite Nezio. Pour toute question relative à vos données personnelles : contact@ssieeservices.com.

Aucun délégué à la protection des données n'est désigné : l'activité ne consiste ni en un suivi systématique à grande échelle, ni en un traitement de données sensibles au sens de l'article 9 du RGPD. Le point de contact ci-dessus tient ce rôle.

Deux rôles distincts, selon la donnée

Pour les comptes, la facturation et le support, SSIEE Services est responsable de traitement : nous décidons de ce qui est collecté et pourquoi.

Pour le contenu de vos évaluations — réponses, justifications, commentaires et pièces jointes — SSIEE Services est sous-traitant. C'est votre organisation qui en est responsable ; nous agissons sur ses instructions et n'en faisons aucun autre usage. Nous n'exploitons pas ce contenu, ne l'analysons pas à d'autres fins et ne le transmettons à personne, à la seule exception du module d'intelligence artificielle décrit plus bas, qui est désactivé par défaut.

Ce que nous collectons, et pourquoi

Compte et accès au service — adresse e-mail, nom, empreinte du mot de passe, date de confirmation de l'adresse, rôle dans l'organisation. Base légale : l'exécution du contrat. Sans ces données, le service ne peut pas fonctionner.

Facturation — identifiants d'abonnement et de client Stripe, plan souscrit. Aucune donnée de carte bancaire n'est stockée par Nezio ni ne transite par nos serveurs : la saisie a lieu directement chez Stripe.

Journal d'audit — pour chaque action sensible : son auteur, sa nature, son résultat, un identifiant de corrélation et une adresse IP tronquée. Ce journal est en ajout seul : il ne peut être ni modifié ni effacé, y compris par nous. Base légale : notre intérêt légitime à pouvoir enquêter après un incident, et notre obligation de sécurité.

Support — l'objet et le contenu de vos demandes d'assistance, pour y répondre.

Nous ne pratiquons ni profilage, ni décision automatisée, ni publicité, et nous ne vendons aucune donnée.

Si vous avez été invité sans avoir de compte

Un administrateur d'organisation peut vous inviter en saisissant votre adresse e-mail. Cette adresse ne vient donc pas de vous : elle nous est fournie par cette organisation, qui en est à l'origine. Nous la conservons pour un seul usage — vous adresser l'invitation et vérifier, si vous cliquez, que le lien vous était bien destiné.

La base légale est l'intérêt légitime : permettre à une organisation d'ouvrir l'accès à ses collaborateurs. Aucun autre traitement n'est fait de cette adresse — ni prospection, ni enrichissement, ni transmission à un tiers.

Si vous n'acceptez pas l'invitation, votre adresse est supprimée automatiquement à l'expiration du lien — 72 heures. Vous n'avez rien à faire, et aucun compte n'est créé à votre nom. Si vous voulez qu'elle disparaisse avant, écrivez à contact@ssieeservices.com : la suppression est immédiate et sans condition.

Si vous acceptez, l'invitation devient la trace de l'accès qui vous a été accordé — qui vous a invité, quand, avec quel rôle — et elle est conservée à ce titre, votre adresse figurant alors de toute façon dans votre compte.

Combien de temps nous les conservons

Compte : tant que votre organisation existe. Sans aucune activité enregistrée pendant 36 mois, nous prévenons les propriétaires par courriel et supprimons l'organisation 30 jours plus tard. Toute activité de votre part avant ce délai annule la suppression et remet le compteur à zéro.

Nous parlons bien d'activité — une saisie, un dépôt, une modification — et non d'une simple connexion : le service journalise les actions, pas les connexions, et nous préférons annoncer ce que nous mesurons réellement.

Contenu de vos évaluations : il n'est pas supprimé au terme de votre droit d'usage. Vos évaluations restent consultables, exportables et imprimables sans limite de durée ; seule l'écriture est suspendue, et un nouvel achat la rouvre là où vous l'aviez laissée.

Journal d'audit : 12 mois. Cette durée excède la recommandation habituelle de six mois, et c'est délibéré : Nezio s'adresse à des organisations dont les investigations de sécurité peuvent porter sur un exercice entier.

Facturation : 10 ans, en application de l'article L123-22 du Code de commerce. Support : 3 ans après la clôture de la demande. Jetons de réinitialisation et de confirmation : quelques heures d'utilité, purgés après 30 jours.

Une précision que nous préférons donner plutôt que taire : une suppression est immédiate dans la base active, mais la donnée reste récupérable depuis notre historique de base de données pendant 30 jours, durée de l'offre d'hébergement en vigueur depuis le 8 septembre 2026. Ce délai était auparavant de six heures : l'offre a été changée pour pouvoir rétablir le service après un incident ancien, et la contrepartie est que l'effacement définitif intervient d'autant plus tard. La donnée n'est plus accessible par le service dès la suppression, et disparaît définitivement au terme de ce délai — le même que celui des pièces jointes, ci-dessous.

Les fichiers que vous déposez comme preuves suivent une règle distincte : notre stockage les protège contre toute suppression pendant 30 jours, y compris de notre part. Leur effacement définitif intervient donc au plus tard à l'expiration de ce délai, et l'écran de suppression vous indique combien de fichiers sont concernés.

Où vos données sont hébergées

L'application, la base de données et les pièces jointes que vous déposez sont hébergées dans l'Union européenne — région de Francfort, en Allemagne. Nos prestataires d'infrastructure sont Render (hébergement applicatif), Neon (base de données) et Cloudflare R2 (stockage des pièces jointes).

Ces trois prestataires hébergent en Europe mais sont des sociétés de droit américain. Nous le disons plutôt que de le passer sous silence : l'hébergement européen réduit le risque d'une injonction extraterritoriale, il ne le supprime pas.

Deux traitements sortent de l'Union européenne. Le paiement, confié à Stripe (États-Unis), encadré par les clauses contractuelles types. Et l'envoi des e-mails transactionnels — confirmation d'adresse, réinitialisation de mot de passe — acheminés par Resend via Amazon SES.

Le module d'intelligence artificielle

Nezio peut proposer des suggestions rédactionnelles à l'aide d'un fournisseur d'intelligence artificielle. Ce module est désactivé par défaut et n'est activé que par une décision explicite de votre organisation, avec sa propre clé d'API.

Ce qu'il faut savoir avant de l'activer : lorsqu'il est actif, le texte de l'exigence évaluée et son contexte sont transmis au fournisseur choisi. Parmi les fournisseurs proposés, seul Mistral est hébergé dans l'Union européenne ; OpenAI et Anthropic sont établis aux États-Unis. Le contrat vous liant à ce fournisseur est le vôtre, et c'est lui qui détermine ce qu'il advient des données transmises.

Vos droits, et comment les exercer

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données personnelles.

Pour les exercer, écrivez à contact@ssieeservices.com. Nous répondons dans un délai d'un mois. Nous préférons être exacts : ces demandes sont aujourd'hui traitées manuellement, aucun écran ne permet encore de les déclencher soi-même. Cela ne change rien à vos droits ni à notre délai de réponse.

Si votre demande porte sur le contenu d'une évaluation, adressez-vous d'abord à votre organisation : c'est elle qui en est responsable. Nous l'assistons dans sa réponse.

Vous pouvez enfin introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, 75007 Paris, ou sur cnil.fr.

Cookies

Nezio dépose uniquement les cookies nécessaires à son fonctionnement : celui qui maintient votre session, et celui qui retient votre choix de langue. Aucun cookie publicitaire, aucune mesure d'audience tierce, aucun traceur. C'est pourquoi aucune bannière de consentement ne vous est présentée : elle n'aurait rien à vous demander.

Comment vos données sont protégées

Les échanges sont chiffrés de bout en bout, y compris entre l'application et la base. Les mots de passe ne sont jamais stockés, seulement leur empreinte. Le cloisonnement entre organisations — le fait qu'un client ne puisse accéder aux données d'un autre — est vérifié automatiquement par une série de tests exécutée à chaque livraison.

Les clés d'API que vous confiez au module d'intelligence artificielle sont chiffrées avant stockage. Les tentatives de connexion sont limitées en nombre. L'accès à votre compte exige la confirmation préalable de votre adresse e-mail.

Modifications

Toute modification substantielle de cette politique sera portée à votre connaissance avant son entrée en vigueur. La date de dernière révision figure en tête de page.