Politique de confidentialité

Article 13 RGPD

1. Identité du responsable de traitement

Le responsable de traitement des données collectées sur le site netaix.fr et via la plateforme app.netaix.fr est :

NETAIX est une entreprise française dont l'activité principale est l'édition du logiciel SaaS Netaix, une plateforme d'IA collaborative destinée aux entreprises françaises.

Articles 5, 6 & 13 RGPD

2. Données collectées et bases légales

Netaix ne collecte que les données strictement nécessaires à son fonctionnement (principe de minimisation, article 5.1.c RGPD). Le tableau ci-dessous détaille chaque traitement, la finalité poursuivie et la base légale applicable.

Les données fournies via le formulaire de contact sont transmises à notre backend hébergé en France et ne sont utilisées qu'aux fins décrites ci-dessus. Le champ « message » est traité par les équipes NETAIX uniquement pour répondre à la demande formulée.

Article 5.1.e RGPD

3. Durées de conservation

Les données ne sont conservées que le temps strictement nécessaire aux finalités pour lesquelles elles ont été collectées (principe de limitation de la conservation, article 5.1.e du RGPD).

Au terme de ces durées, les données sont supprimées de manière sécurisée ou anonymisées de façon irréversible. Aucune donnée n'est archivée au-delà des délais légaux.

Articles 15 à 22 RGPD

4. Vos droits

Conformément au Règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 modifiée (loi Informatique et Libertés), vous disposez des droits suivants sur les données vous concernant :

• Droit d'accès (art. 15 RGPD) — Obtenir la confirmation que des données vous concernant sont traitées et en recevoir une copie.
• Droit de rectification (art. 16 RGPD) — Faire corriger des données inexactes ou incomplètes vous concernant.
• Droit à l'effacement (art. 17 RGPD) — Demander la suppression de vos données dans les cas prévus par le règlement (retrait du consentement, données non nécessaires, etc.).
• Droit à la limitation du traitement (art. 18 RGPD) — Demander la suspension temporaire du traitement de vos données.
• Droit à la portabilité (art. 20 RGPD) — Recevoir vos données dans un format structuré, couramment utilisé et lisible par machine, lorsque le traitement est fondé sur le contrat ou le consentement.
• Droit d'opposition (art. 21 RGPD) — Vous opposer à un traitement fondé sur notre intérêt légitime, pour des raisons tenant à votre situation particulière.
• Droit de retrait du consentement — Si un traitement est fondé sur votre consentement, vous pouvez le retirer à tout moment sans que cela ne remette en cause la licéité du traitement antérieur.

Pour exercer l'un de ces droits, adressez votre demande par email à contact@netaix.fr. Nous traiterons votre demande dans un délai d'un mois à compter de sa réception (délai pouvant être porté à trois mois pour les demandes complexes, avec information préalable).

Si vous estimez que le traitement de vos données ne respecte pas la réglementation en vigueur, vous disposez du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) : cnil.fr/fr/plaintes — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

Directive ePrivacy — Délib. CNIL 2020-091

5. Cookies et stockage local

Le seul mécanisme de stockage côté navigateur utilisé par ce site est le localStorage de votre navigateur, exclusivement pour mémoriser votre préférence d'affichage (mode clair ou mode sombre).

Cette donnée est :

• Stockée uniquement dans votre navigateur — jamais transmise à nos serveurs
• Non associée à votre identité ni à aucun identifiant de session
• Non partagée avec des tiers
• Supprimable à tout moment depuis les paramètres de votre navigateur

Cette utilisation relève de la fonctionnalité strictement nécessaire au sens de la délibération CNIL n° 2020-091 du 17 septembre 2020 relative aux cookies et traceurs. Elle ne requiert pas de consentement préalable de votre part et n'est donc pas couverte par une bannière de consentement.

Articles 28 & 46 RGPD

6. Hébergement et sous-traitants

Le site netaix.fr et la plateforme app.netaix.fr sont hébergés exclusivement sur des infrastructures situées en France :

Vos données ne sont pas hébergées hors de l'Union européenne dans le cadre de l'utilisation du site vitrine netaix.fr.

La plateforme Netaix (app.netaix.fr) implique l'acheminement des échanges de conversation IA vers des fournisseurs de modèles de langage, dont certains sont établis hors de l'UE. Ces traitements sont documentés dans les Conditions Générales de Vente et dans l'Accord de Traitement des Données Personnelles (DPA) disponible à l'adresse netaix.fr/dpa. Des clauses contractuelles types (CCT) conformes à la décision d'exécution (UE) 2021/914 de la Commission européenne encadrent ces transferts.

La liste ci-dessous récapitule les sous-traitants auxquels NETAIX recourt, leur localisation et la finalité pour laquelle ils interviennent. Elle est tenue à jour ; toute adjonction est notifiée dans les conditions prévues par le DPA.

NETAIX agit en qualité de responsable de traitement pour les données collectées sur le site vitrine netaix.fr et les données de gestion des comptes utilisateurs. NETAIX agit en qualité de sous-traitant au sens de l'article 28 RGPD lorsqu'elle traite des données personnelles pour le compte de ses clients (responsables de traitement) via la plateforme app.netaix.fr. Le DPA encadrant cette relation est disponible à l'adresse netaix.fr/dpa.

6.1. Quand vous demandez un document, le fichier est fabriqué chez le fournisseur du modèle

Depuis le 4 octobre 2026, lorsque vous demandez un document libre (PDF, Word, PowerPoint, Excel, sans modèle de document fourni par votre organisation), le fichier n'est plus assemblé par nos serveurs en France : il est fabriqué dans l'environnement d'exécution d'OpenAI, celui du modèle qui en rédige le contenu. Nous avons fait ce choix parce que le résultat est nettement meilleur, et nous préférons vous dire exactement ce qu'il implique.

Ce qui part. Le texte de la conversation dont le document est tiré, la consigne de mise en forme, et le logo de votre organisation. Ce texte partait déjà chez ce fournisseur pour être rédigé : ce n'est pas une donnée nouvelle qui sort, c'est la même. Aucune de vos pièces jointes n'est envoyée dans cet environnement, ni aucun fichier de vos projets.

Ce qui change vraiment. Pour assembler le fichier, le fournisseur ouvre un espace de travail temporaire qui subsiste quelques instants après la réponse, là où un appel d'inférence ordinaire ne laisse rien derrière lui. Nous récupérons le fichier, puis nous demandons la suppression de cet espace et nous consignons cette demande ainsi que son résultat. Faute de suppression, cet espace expire au bout de vingt minutes sans activité.

Ce que nous ne vous dirons pas. Que rien n'est stocké chez nos fournisseurs, ni que leur suppression est garantie. Ce serait faux sur ce chemin : il y a bien un stockage temporaire chez le fournisseur, borné dans le temps et supprimé à notre demande, et c'est ainsi qu'il faut le lire. L'engagement de ne pas utiliser vos données pour entraîner les modèles, lui, est contractuel, et il tient.

Comment l'éviter. La fabrication revient à nos serveurs en France, sans que vous perdiez la fonction, dans quatre situations :

• l'administrateur de votre organisation referme ce réglage dans ses paramètres ;
• votre offre impose contractuellement un traitement dans l'Union européenne : le réglage est alors fermé d'office et ne peut pas être ouvert ;
• vous choisissez vous-même un modèle européen (Mistral ou un modèle local) : votre choix vaut pour tout le traitement, y compris la fabrication du fichier. Elle ne repart pas chez un fournisseur hors de l'Union européenne ;
• le document est établi à partir d'un modèle de document que vous fournissez, quel que soit le modèle d'IA retenu.

Coût. La fabrication du fichier est décomptée de vos crédits comme n'importe quelle autre demande adressée à un modèle. Il n'y a ni traitement gratuit dissimulé, ni facturation hors de votre compteur de consommation.

6.2. Un second chemin, en secours, où le fichier est fabriqué chez nous

À compter du 5 octobre 2026, un second chemin peut prendre le relais du précédent. Il fonctionne à l'envers, et c'est tout l'intérêt : le modèle, un modèle Claude d'Anthropic, écrit le programme qui met le document en forme, et nous exécutons ce programme nous-mêmes, en France. Le fichier est fabriqué chez nous. Il n'existe à aucun moment chez le fournisseur, qui n'ouvre cette fois aucun espace de travail.

Ce chemin sert dans deux cas : en secours, quand la fabrication décrite au 6.1 a échoué deux fois ; et en premier choix, si votre organisation a écarté OpenAI de ses fournisseurs autorisés tout en conservant Anthropic.

Ce qui part. Le cadrage que nous rédigeons, le texte de la conversation dont le document est tiré, votre charte graphique, les résultats techniques des exécutions du programme, et des images des pages du document que nous produisons chez nous pour que le modèle relise son propre travail et corrige les défauts de mise en page. C'est cette relecture qui rend le résultat utilisable.

Ce qui ne part pas. Aucune de vos pièces jointes, aucun fichier de vos projets, et aucun fichier du tout : le fournisseur ne reçoit jamais le document. Votre logo ne lui est pas transmis comme fichier ; nous le déposons dans notre propre environnement d'exécution. Nous préférons toutefois vous le dire sans détour : dès lors qu'il apparaît sur une page, il peut figurer sur les images de relecture.

Notre filtre anti-fuites passe avant. Il examine le texte avant que quoi que ce soit ne soit déposé ou envoyé, et il fonctionne en tout ou rien : s'il retient quelque chose, ou s'il est lui-même indisponible, rien ne part chez le fournisseur et le document est fabriqué par nos serveurs en France. Nous ne masquons rien pour l'envoyer ensuite sous une autre forme : les images de relecture ne peuvent montrer que du texte qui a passé ce filtre.

Où tourne le programme. Dans un conteneur dédié, chez nous, sans aucun accès à internet, sans droits d'administration, sans accès à nos secrets ni à notre base de données. Les fichiers de travail restent en mémoire, et l'espace de travail est entièrement effacé entre deux documents.

Comment l'éviter. Les quatre situations du 6.1 valent aussi pour ce chemin. Trois d'entre elles suffisent à ce qu'il ne s'active jamais :

• votre organisation n'autorise que Mistral, ou plus largement des modèles traités dans l'Union européenne ;
• votre organisation a écarté Anthropic de ses fournisseurs autorisés, ou désactivé le modèle employé ;
• vous choisissez vous-même un modèle européen pour votre demande : votre choix vaut pour tout le traitement, fabrication du fichier comprise.

Coût. Cette fabrication est décomptée de vos crédits comme toute autre demande, et elle est bornée par un plafond de dépense par document et par un nombre maximal de fabrications par jour. Au-delà, le document est fabriqué par nos serveurs en France.

L'analyse d'impact de ces transferts, établie selon les recommandations 01/2020 du Comité européen de la protection des données, vous est communiquée sur simple demande à contact@netaix.fr. Chacun des deux chemins fait l'objet de la sienne.

Articles 13, 14 & 28 RGPD — Google API Services User Data Policy

7. Utilisation des données Google (OAuth)

Netaix permet aux utilisateurs de connecter leur compte Google (Gmail et Google Calendar) afin d'interagir avec leurs emails et leur calendrier directement depuis le chat IA. Cette connexion s'effectue via le protocole OAuth 2.0 et requiert votre consentement explicite avant toute autorisation d'accès.

7.1. Autorisations demandées (scopes OAuth)

Chaque autorisation est strictement limitée à la finalité décrite ci-dessus. Netaix ne demande jamais d'accès supplémentaire au-delà de ces quatre autorisations.

7.2. Traitement des données Google

Lorsque vous utilisez une fonctionnalité impliquant vos données Google (lecture d'emails, consultation du calendrier, envoi de messages), les données concernées sont transmises en temps réel aux fournisseurs de modèles d'intelligence artificielle (voir section 7.3) pour générer la réponse à votre demande.

Netaix n'utilise vos données Google que pour répondre à vos instructions explicites dans le chat. Vos données Google ne sont jamais utilisées pour :

• Entraîner des modèles d'intelligence artificielle ou de machine learning
• Afficher de la publicité ou effectuer du ciblage publicitaire
• Établir des profils utilisateurs, du scoring ou de la segmentation marketing
• Revendre ou transférer à des tiers à des fins autres que la fourniture du service
• Indexer, analyser ou stocker vos contenus à des fins statistiques internes

7.3. Partage avec des tiers (fournisseurs IA)

Pour fournir les fonctionnalités d'assistant IA, vos données Google sont transmises aux fournisseurs de modèles de langage suivants, exclusivement dans le cadre du traitement de vos requêtes :

Ces fournisseurs agissent en qualité de sous-traitants au sens de l'article 28 du RGPD. Leurs conditions d'utilisation interdisent l'utilisation des données transmises via API pour entraîner leurs modèles. Les transferts vers les États-Unis sont encadrés par des clauses contractuelles types conformes à la décision d'exécution (UE) 2021/914.

En dehors de ces fournisseurs IA, aucun tiers n'a accès à vos données Google.

7.4. Conservation et sécurité

7.5. Révocation et suppression

Vous pouvez à tout moment révoquer l'accès de Netaix à votre compte Google :

• Depuis Netaix : rendez-vous dans Paramètres > Connexions, puis cliquez sur « Déconnecter » à côté de votre compte Google. Les tokens OAuth sont immédiatement et irréversiblement supprimés de nos serveurs.
• Depuis Google : accédez à myaccount.google.com/permissions et retirez Netaix de la liste des applications autorisées.
• Par email : envoyez une demande à contact@netaix.fr avec l'objet [RGPD] Révocation Google OAuth. Nous supprimerons vos tokens dans un délai de 48 heures.

La révocation entraîne la suppression définitive des tokens OAuth stockés. Aucun contenu d'email ou de calendrier n'étant conservé, il n'y a aucune donnée Google résiduelle à supprimer.

7.6. Conformité Google API Services User Data Policy

Articles 13, 14 & 28 RGPD — Canva Developer Terms

8. Utilisation des données Canva (OAuth)

Netaix permet aux utilisateurs de connecter leur compte Canva afin de créer, rechercher et exporter des designs directement depuis le chat IA. Cette connexion s'effectue via le protocole OAuth 2.0 avec PKCE et requiert votre consentement explicite avant toute autorisation d'accès.

8.1. Autorisations demandées (scopes OAuth)

8.2. Traitement des données Canva

Lorsque vous utilisez les fonctionnalités Canva via Netaix, les données suivantes sont traitées de manière transitoire :

• Métadonnées de designs (titre, type, thumbnail) : affichées dans le chat, non stockées en base de données.
• Contenu des designs : transmis à l'IA pour répondre à vos demandes. Non conservé après la session de chat.
• Brand kits : listés à la volée, non stockés.
• Fichiers exportés : générés par Canva et téléchargés directement par l'utilisateur. Non hébergés sur les serveurs Netaix.

Stockage persistant : seuls le jeton d'accès chiffré (Fernet AES-128-CBC) et le nom du compte connecté sont stockés en base de données. Aucun design, image ou contenu créatif n'est conservé sur nos serveurs.

8.3. Partage avec des tiers

Les données Canva ne sont jamais partagées avec des tiers, excepté :

• Le fournisseur d'IA (Anthropic, OpenAI ou Mistral) qui traite le contenu des designs dans le cadre de votre conversation IA. Ce traitement est couvert par les accords DPA de chaque fournisseur.

Les données Canva ne sont jamais utilisées pour la publicité, le profilage, la revente à des tiers ou tout autre usage non lié au fonctionnement du service.

8.4. Durée de conservation

• Jetons d'accès : conservés tant que la connexion est active. Supprimés immédiatement à la révocation.
• Contenu de designs : traité en mémoire uniquement, jamais persisté.

8.5. Révocation de l'accès

Vous pouvez révoquer l'accès de Netaix à votre compte Canva à tout moment :

• Depuis Netaix : Paramètres > Connecteurs > Canva > Révoquer
• Depuis Canva : Paramètres du compte > Applications connectées > Supprimer l'accès

La révocation entraîne la suppression immédiate des jetons stockés sur nos serveurs.

Articles 13, 14 et 28 RGPD, politique du Chrome Web Store

9. Extension Chrome Netaix

L'extension Chrome Netaix est publiée par NETAIX sous le nom « Netaix ». Elle ouvre un panneau latéral dans lequel vous demandez à Netaix, votre assistant, de travailler dans la page que vous avez sous les yeux : lire le texte de la page, préparer un brouillon de réponse, rédiger un rapport d'intervention, reporter un temps passé.

L'accès à l'extension suppose un compte Netaix et une licence attribuée membre par membre par l'administrateur de votre organisation. L'extension n'est utilisable par aucun visiteur anonyme.

Votre administrateur peut restreindre Netaix à une liste de sites : hors de cette liste, selon son choix, Netaix lit la page sans jamais y agir, ou n'y va pas du tout. S'il ne déclare aucune liste, aucune restriction par site ne s'applique, et les autres garde-fous jouent seuls : votre accord explicite avant toute écriture, les actions réservées, et le contrôle décrit à la section 9.4.

9.1. Ce que l'extension ne fait pas

• Aucune capture d'écran des pages. La fonction est désactivée, parce que notre filtre anti-fuites analyse du texte et non des images : Netaix travaille sur le texte de la page.
• Aucune saisie vocale. La fonction a été retirée, parce qu'elle aurait envoyé de l'audio directement à un fournisseur, hors de notre passerelle.
• Aucune télémétrie. Les mesures d'usage de la version d'origine ont été retirées du code, et pas seulement désactivées. Aucun formulaire ne vous est présenté à la désinstallation.
• Aucun téléversement de fichier par l'agent dans les sites que vous visitez.
• Aucune clé de fournisseur dans l'extension. Elle ne sait appeler aucun fournisseur de modèle directement ; son seul point de sortie vers un modèle est la passerelle Netaix.
• Aucune donnée vendue ni cédée, aucun usage publicitaire, aucun entraînement de modèle à partir de vos données, aucune évaluation de solvabilité.

9.2. Connexion à votre compte Netaix

Vous vous connectez par votre compte Netaix. La plateforme vérifie que votre organisation dispose de l'accès, puis remet à l'extension un jeton valable deux minutes, que celle-ci échange aussitôt contre une session de huit heures, révocable, propre à cet appareil, conservée en mémoire de session du navigateur. L'extension ne stocke aucun mot de passe ni aucune clé de longue durée. Si votre organisation impose l'authentification unique (SSO), elle s'applique : la connexion passe par la page de la plateforme.

Dans les pages que vous visitez, les valeurs des champs de mot de passe, de carte bancaire et de code sont masquées au modèle par l'extension.

9.3. Données traitées

Les modèles employés sont ceux de la chaîne retenue par NETAIX, croisée avec ceux que votre organisation autorise : un modèle ou un fournisseur que votre administrateur a écarté n'est pas appelé, et si aucun modèle de la chaîne ne lui est permis, Netaix se déclare indisponible plutôt que de tenter un appel. Vous voyez « Netaix », jamais un nom de modèle ; le modèle réellement servi est inscrit au journal.

9.4. La protection des données de votre organisation passe avant l'envoi

Tout texte que Netaix adresse à un modèle passe par la passerelle Netaix, donc par le filtre anti-fuites (DLP) de votre organisation : le même moteur, la même politique et la même file d'arbitrage que vos conversations ordinaires. Une page retenue par une de vos règles n'est pas envoyée, et le message vous l'indique. De même, ce que Netaix s'apprête à saisir dans une page est contrôlé avant la première touche, parce que la passerelle voit ce qui part au modèle, et non ce que l'agent tape ailleurs.

9.5. Durées de conservation

9.6. Vos droits sur ces données

Les droits décrits à la section 4 s'appliquent à ces traitements. En pratique :

• Vous déconnecter depuis le panneau efface la session et les conversations conservées dans votre navigateur.
• Désinstaller l'extension supprime tout ce qu'elle garde sur votre poste.
• Le journal des actions appartient au registre de sécurité de votre organisation, qui en est responsable de traitement : adressez votre demande à son administrateur, ou à contact@netaix.fr si vous ne savez pas à qui vous adresser. Ce journal existe pour prouver qu'une validation humaine a bien eu lieu : son effacement antérieur à l'échéance peut être refusé sur ce fondement (art. 17.3 RGPD).

9.7. Déclarations faites au Chrome Web Store

L'extension est publiée sur le Chrome Web Store sous une fiche non répertoriée, installable par lien. Conformément à la politique relative aux données utilisateur du Chrome Web Store, NETAIX déclare :

• Objectif unique : assister la personne connectée dans l'onglet actif, à sa demande, en lisant le texte de la page et en préparant des saisies, dans les limites posées par son organisation.
• Usage limité : les données ne servent qu'à cet objectif et aux fins opérationnelles qui s'y rattachent (contrôle anti-fuites, journal d'audit, décompte de la consommation).
• Aucune vente ni cession de données à des tiers en dehors de ce qui est nécessaire à la fourniture du service. Les fournisseurs de modèles interviennent en sous-traitants au sens de l'article 28 RGPD, dans les conditions de la section 6.
• Aucun usage étranger à cet objectif, ni publicitaire, ni d'entraînement de modèle, ni d'évaluation de solvabilité ou de décision de prêt.

9.8. Logiciel d'origine

L'extension Chrome Netaix est un travail dérivé de Nanobrowser, distribué sous licence Apache 2.0. Les mentions de licence, les auteurs d'origine et la liste des fichiers modifiés figurent dans le fichier NOTICE de l'extension et dans sa fiche « À propos ». Les choix de sécurité et de confidentialité décrits ci-dessus sont ceux de NETAIX et n'engagent pas les auteurs d'origine.

Article 13.1.b RGPD

10. Contact RGPD

NETAIX ne dispose pas d'un délégué à la protection des données (DPO) désigné à titre obligatoire. La désignation volontaire d'un DPO est envisagée.

En attendant, toute question ou demande relative à la protection de vos données personnelles doit être adressée directement au responsable de traitement :

Si vous n'obtenez pas de réponse satisfaisante, vous pouvez introduire une réclamation auprès de la CNIL : cnil.fr/fr/plaintes.

La présente politique de confidentialité est susceptible d'être mise à jour pour refléter l'évolution de nos pratiques ou de la réglementation applicable. En cas de modification substantielle, nous en informerons nos utilisateurs inscrits par email. La date de dernière mise à jour figure en haut de ce document.