Politique de confidentialité
Dernière mise à jour : 23 octobre 2026
Cette politique explique quelles données personnelles nous traitons, pourquoi, sur quelle base légale, avec qui elles sont partagées, combien de temps elles sont conservées et comment exercer vos droits, conformément au règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés.
1. Responsable du traitement
Tibum AI, 72650 La Milesse (Sarthe), France, RCS Le Mans 999 658 757 (immatriculation en cours). Contact : guillaume@tibum-ia.com.
Référent pour la protection des données : Guillaume Tibum, joignable à guillaume@tibum-ia.com.
Pour les données que nos clients traitent au moyen du service (par exemple les coordonnées de leurs prospects ou le contenu des emails qu'ils confient à leurs agents), le client est responsable du traitement et nous agissons en qualité de sous-traitant, selon l'accord de traitement des données figurant à l'article 10 de nos CGV.
2. Données traitées
- Compte : nom, adresse email, entreprise, téléphone (facultatif), fuseau horaire, rôle dans l'organisation.
- Profil de l'entreprise : activité, offres, clientèle cible, ton de marque, renseignés pour guider les agents.
- Contenus : messages échangés avec les agents, tâches, livrables, rapports, journaux d'activité.
- Outils connectés : données lues ou écrites dans les services que vous reliez (emails, agenda, CRM, réseaux sociaux, documents), uniquement sur vos instructions ; les jetons d'accès sont chiffrés.
- Facturation : identifiants client et abonnement Stripe, offre, statut et échéances. Les données de carte bancaire sont traitées exclusivement par Stripe.
- Équipe : adresses email des personnes invitées et statut des invitations.
- Données techniques : adresse IP, journaux de connexion et d'erreurs, compteurs d'utilisation (tâches, messages, appels d'outils, volumes de tokens), date de dernière utilisation des clés API.
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Créer et gérer votre compte, fournir le service et les agents, gérer l'équipe et les invitations | Exécution du contrat (art. 6.1.b RGPD) |
| Facturer l'abonnement, tenir la comptabilité | Exécution du contrat et obligation légale (art. 6.1.b et 6.1.c) |
| Appliquer les limites des offres, mesurer l'utilisation | Exécution du contrat (art. 6.1.b) |
| Assurer la sécurité, prévenir les abus et la fraude, corriger les erreurs | Intérêt légitime (art. 6.1.f) |
| Vous informer des évolutions du service et de votre abonnement | Exécution du contrat ; intérêt légitime pour les informations de service |
Vos contenus ne sont pas utilisés pour entraîner des modèles d'IA, ni par ORION, ni par Anthropic, qui n'entraîne pas ses modèles sur les données transmises par son API commerciale.
4. Destinataires et sous-traitants
Les données sont accessibles aux membres autorisés de votre organisation selon leur rôle, et à nos équipes habilitées pour le support et la sécurité. Nous faisons appel aux sous-traitants suivants :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Supabase, Inc. | Base de données, authentification, temps réel | Union européenne (Paris, France) |
| Anthropic, PBC | Modèles d’IA (Claude) qui génèrent les réponses et les livrables des agents | États-Unis |
| Stripe Payments Europe, Ltd. | Paiement des abonnements, facturation, portail client | Irlande (avec des traitements aux États-Unis) |
| Qonto (Olinda SAS) | Compte bancaire professionnel, facturation et prélèvements | France |
| Resend | Envoi des emails transactionnels (invitations, rapports) | États-Unis |
| Vercel Inc. | Hébergement de l'application web | États-Unis |
| Render Services, Inc. | Hébergement de l'API | Union européenne (Francfort, Allemagne) |
Lorsque vous connectez un outil tiers (Google, Microsoft, Slack, HubSpot, réseaux sociaux...), les données échangées avec ce service le sont à votre demande et selon ses propres conditions.
Données de votre compte Google
Si vous connectez un compte Google (Gmail, Google Agenda, Google Drive, Google Sheets, YouTube), ORION n'accède qu'aux autorisations que vous accordez sur l'écran de Google, et uniquement pour les usages suivants :
- Gmail, lecture : rechercher et lire les emails utiles à une demande que vous faites à un agent (par exemple préparer une réponse ou une relance). Les emails ne sont ni copiés en masse ni indexés.
- Gmail, envoi : envoyer depuis votre adresse uniquement les emails que vous avez relus et approuvés dans ORION. Aucun email n'est envoyé sans votre validation, sauf si vous avez vous-même choisi un niveau d'autonomie qui le permet.
- Google Agenda, Drive, Sheets, YouTube : consulter ou créer les éléments que vous demandez, dans les mêmes conditions.
Les jetons d'accès Google sont chiffrés (AES-256-GCM) et ne sont jamais montrés aux autres membres ni aux autres clients. Le contenu lu dans votre compte Google est transmis au modèle d'IA (Claude, Anthropic) seulement le temps de traiter votre demande, et n'est pas utilisé pour entraîner des modèles d'IA.
L'utilisation et le transfert des informations reçues des API Google respectent les règles relatives aux données utilisateur des services d'API Google, y compris les exigences d'utilisation limitée (Limited Use) : ces données ne sont ni vendues, ni utilisées à des fins publicitaires, ni lues par une personne, sauf avec votre accord explicite, pour des raisons de sécurité ou pour respecter la loi.
Vous pouvez retirer l'accès à tout moment dans ORION (Intégrations, puis Déconnecter) ou depuis votre compte Google. Les jetons sont alors supprimés.
5. Transferts hors de l'Union européenne
Certains sous-traitants sont établis hors de l'Union européenne, notamment aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, lorsque le sous-traitant y est certifié, par la décision d'adéquation relative au cadre de protection des données UE-États-Unis (Data Privacy Framework).
6. Durées de conservation
- Compte et contenus : pendant toute la durée de l'abonnement, puis 30 jours après la clôture du compte avant suppression ou anonymisation.
- Pièces comptables et factures : 10 ans (article L. 123-22 du Code de commerce).
- Journaux techniques et de sécurité : 12 mois maximum.
- Compteurs d'utilisation : 3 ans.
- Invitations : valables 7 jours, puis conservées 1 an pour l'historique de l'équipe.
- Événements de paiement reçus de Stripe : 10 ans, comme les pièces comptables.
7. Sécurité
Chaque organisation est isolée au niveau de la base de données (contrôle d'accès par ligne). Les secrets des outils connectés sont chiffrés (AES-256-GCM), les clés API et les jetons d'invitation ne sont stockés que sous forme d'empreinte (SHA-256), et les échanges sont chiffrés en transit (HTTPS).
8. Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès. Pour les exercer, écrivez à guillaume@tibum-ia.com (une preuve d'identité peut être demandée en cas de doute). Nous répondons dans un délai d'un mois, prolongeable dans les conditions prévues par le RGPD.
Vous pouvez introduire une réclamation auprès de la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.
9. Cookies
Le service n'utilise que des cookies strictement nécessaires à son fonctionnement. Le détail figure sur la page cookies.