Politique de confidentialité de flowhelp

Version 1.1 du 2 octobre 2026. En vigueur à compter du jour de sa mise en ligne sur le Site.

Le présent document est une traduction de la « Polityka prywatności flowhelp » rédigée en polonais. Seule la version polonaise fait foi ; en cas de divergence, la version polonaise prévaut.

La présente politique explique quelles données personnelles nous traitons dans le cadre du service flowhelp, à quelles fins, sur quelle base juridique, à qui nous les confions, combien de temps nous les conservons et de quels droits vous disposez. Nous nous sommes efforcés d’écrire simplement. Si un point vous semble obscur, écrivez-nous (nos coordonnées figurent au § 2).

§ 1. Définitions

1.1. Responsable du traitement, nous : DOLLABROS sp. z o.o., dont le siège est à Poznań, Pologne (coordonnées au § 2).

1.2. flowhelp ou Service : le service d’assistant IA (chat) pour les entreprises que nous exploitons, accessible via le site https://flowhelp.ai, le tableau de bord https://app.flowhelp.ai et le serveur de fichiers du widget https://cdn.flowhelp.ai. Le site https://flowhelp.ai est également désigné ci-après le « Site ».

1.3. Client : le professionnel qui a conclu avec nous un contrat d’utilisation du Service (y compris pendant la période d’essai).

1.4. Utilisateur du tableau de bord : toute personne disposant d’un compte sur le tableau de bord (propriétaire, administrateur, éditeur ou personne disposant d’un accès en lecture seule dans l’Espace de travail d’un Client).

1.5. Espace de travail : l’espace de travail distinct du Client sur le tableau de bord, avec ses connaissances, ses paramètres, ses conversations et son équipe.

1.6. Widget : la fenêtre de chat que le Client intègre sur son site internet au moyen d’une seule balise <script>.

1.7. Assistant : le modèle de langage d’IA qui répond dans le Widget sur la base des contenus indiqués par le Client.

1.8. Eric : notre propre Assistant, présent sur le site flowhelp.ai, qui répond aux questions sur flowhelp.

1.9. Visiteur : toute personne qui utilise un site internet sur lequel fonctionne le Widget (le site d’un Client ou flowhelp.ai).

1.10. Demande de contact (lead) : les données qu’un Visiteur transmet au moyen du formulaire de contact ou d’une demande pour parler à un humain dans la fenêtre de chat.

1.11. RGPD : le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (règlement général sur la protection des données).

1.12. Contrat de sous-traitance : le contrat de sous-traitance des données à caractère personnel (article 28 du RGPD) qui fait partie des conditions d’utilisation de flowhelp.

1.13. EEE : l’Espace économique européen (les États membres de l’Union européenne ainsi que l’Islande, le Liechtenstein et la Norvège).

§ 2. Responsable du traitement et contact

2.1. Le responsable du traitement des données personnelles décrites aux § 4 à 6, au point 7.5 et au § 8 est :

2.2. Pour toute question relative aux données personnelles, vous pouvez nous contacter :

1. par e-mail : hello@flowhelp.ai,
2. par courrier : à l’adresse du siège indiquée ci-dessus,
3. au moyen du formulaire de contact de la fenêtre de chat sur le site https://flowhelp.ai.

2.3. Nous n’avons pas désigné de délégué à la protection des données (DPO), car la réglementation ne l’exige pas dans notre cas (article 37 du RGPD). Les questions relatives aux données personnelles sont traitées directement par les gérants de la société (zarząd), aux adresses indiquées au point 2.2.

§ 3. Personnes concernées par la présente politique

3.1. La présente politique concerne quatre catégories de personnes. Pour les trois premières, nous sommes responsable du traitement, c’est-à-dire que nous déterminons nous-mêmes les finalités et les moyens du traitement. Pour la quatrième, nous agissons en principe pour le compte du Client en qualité de sous-traitant ; font exception les journaux du serveur et les compteurs de limites servant à la sécurité du Service, pour lesquels nous sommes responsable du traitement (point 7.5).

3.2. Les règles communes à toutes les catégories (destinataires, transferts hors de l’EEE, durées de conservation, droits, IA, cookies, sécurité) sont décrites aux § 9 à 18.

§ 4. Clients et Utilisateurs du tableau de bord

4.1. Données que nous traitons :

1. données du compte : adresse e-mail, prénom (facultatif ; si vous ne l’indiquez pas, nous utilisons la partie de votre adresse e-mail qui précède le signe @), mot de passe sous forme d’empreinte cryptographique (nous ne connaissons pas votre mot de passe), langue choisie et paramètres de l’interface, indication de la confirmation de l’adresse e-mail, dates de création et de modification ;
2. données relatives à l’acceptation des documents : date d’acceptation et identifiant de la version des conditions d’utilisation (y compris le Contrat de sous-traitance) et de la politique de confidentialité en vigueur lors de la création du compte (pour la version 1.0 : « 2026-10-01 ») ; le formulaire d’inscription indique : « En créant un compte, vous acceptez les conditions d’utilisation et la politique de confidentialité » ;
3. données de session de connexion : adresse IP, informations sur le navigateur et l’appareil (User-Agent), durée de validité de la session, Espace de travail actif ;
4. données des journaux du serveur web lors de l’utilisation du tableau de bord : adresse IP, horodatage, requête, Referer et User-Agent (conservées 14 jours, voir § 11) ;
5. données de l’Espace de travail et des appartenances : nom de l’Espace de travail et adresse du site du Client, forfait, période d’essai, consommation des limites, paramètres (y compris les adresses e-mail de notification, voir § 6), rôles des membres de l’équipe, invitations ;
6. journal des événements de l’Espace de travail : qui (identifiant du compte) a effectué une action importante sur le tableau de bord et quand (par exemple un changement de rôle ou une suppression de données), sans le contenu des conversations ; les adresses e-mail y sont enregistrées sous forme masquée (par exemple ab***@domaine.fr) ;
7. le contenu de vos échanges avec nous (voir § 8) ;
8. après la mise en place des paiements : les données nécessaires à la facturation (voir point 4.4).

4.2. Finalités et bases juridiques :

4.3. Origine des données, lorsqu’elles ne proviennent pas de vous : si un autre Utilisateur du tableau de bord vous a invité, nous avons reçu de cette personne votre adresse e-mail et le rôle qui vous a été attribué. L’adresse IP et les données du navigateur proviennent de votre appareil lors de la connexion.

4.4. Paiements. Les paiements ne sont pas encore en place et le Service est gratuit pendant la période d’essai. Une fois mis en place, les paiements pourront être gérés par un opérateur externe agissant en qualité de vendeur (Merchant of Record). Dans ce cas, c’est cet opérateur qui, en tant que responsable du traitement distinct, traite les données de paiement conformément à sa propre politique de confidentialité, et nous recevons de sa part les informations nécessaires à la gestion du compte (par exemple le forfait et le statut de l’abonnement). Avant la mise en place des paiements, nous mettrons à jour la présente politique et indiquerons l’opérateur.

4.5. Les membres d’une équipe au sein d’un même Espace de travail voient mutuellement leurs prénoms, adresses e-mail et rôles.

§ 5. Visiteurs de flowhelp.ai, y compris les conversations avec l’assistant Eric

5.1. Visite du site. Le site flowhelp.ai n’utilise ni outils d’analyse d’audience, ni pixels publicitaires, ni scripts de tiers, et ses polices sont servies depuis notre serveur. Notre serveur enregistre dans ses journaux les données techniques de chaque requête : adresse IP, horodatage, adresse de la page demandée (avec ses paramètres), code de réponse, page de provenance (Referer) et données du navigateur (User-Agent). Si vous saisissez une adresse dans le champ « Adresse de votre site » sur flowhelp.ai et poursuivez, elle est transmise au tableau de bord sous forme de paramètre d’adresse (et figure dans les journaux du serveur du tableau de bord).

5.2. Conversation avec l’assistant Eric. Lorsque vous écrivez à Eric, nous traitons :

1. le contenu de vos messages et des réponses de l’Assistant, l’heure des messages, la langue, votre évaluation des réponses (pouce levé ou baissé), les sources citées ;
2. un identifiant aléatoire de Visiteur enregistré dans le stockage de votre navigateur sans date d’expiration (voir § 16), qui permet de relier les conversations successives menées depuis ce navigateur ;
3. les questions auxquelles Eric n’a pas su répondre (enregistrées séparément, sans lien avec la conversation, afin de compléter les connaissances de l’Assistant) ;
4. pendant quelques minutes (jusqu’à 2 heures pour la limite du formulaire de contact) : une empreinte cryptographique de votre adresse IP, utilisée uniquement dans le compteur de limites (l’adresse IP elle-même n’est pas enregistrée dans la base de données des conversations).

Le contenu des messages est traité par les fournisseurs d’IA décrits aux § 9 et 15. Ne saisissez dans la conversation ni données sensibles, ni données que vous ne souhaitez pas nous communiquer.

5.3. Formulaire de contact dans la fenêtre de chat. Si vous nous laissez vos coordonnées (par exemple adresse e-mail, prénom, entreprise, message), nous les enregistrons dans la base de données, rattachées à la conversation, et envoyons une notification contenant ces champs et jusqu’aux 10 derniers messages de la conversation à notre boîte aux lettres hébergée par le service Gmail (Google, voir point 9.2). Nous conservons ces données jusqu’au traitement de votre demande, pendant 12 mois au plus ; passé ce délai, nous les supprimons manuellement dans le tableau de bord et supprimons la notification de notre boîte aux lettres.

5.4. Finalités et bases juridiques :

5.5. Nous n’envoyons ni lettre d’information ni communications marketing aux adresses laissées dans le formulaire. Nous répondons uniquement au sujet de la demande pour laquelle vous nous avez contactés.

§ 6. Destinataires d’e-mails envoyés par flowhelp

6.1. Le présent paragraphe concerne les personnes dont l’adresse e-mail a été saisie sur le tableau de bord par un Utilisateur du tableau de bord, notamment :

1. le développeur auquel un Utilisateur du tableau de bord a envoyé le code d’installation du Widget (fonction « Envoyer à un développeur ») : nous traitons l’adresse e-mail et la courte note ajoutée par l’expéditeur (500 caractères au plus), ainsi que l’information indiquant qui a envoyé le message et depuis quel Espace de travail ; la réponse à ce message parvient à l’adresse e-mail de l’expéditeur ;
2. la personne invitée à rejoindre une équipe : nous traitons l’adresse e-mail, le rôle attribué, le statut et la date d’expiration de l’invitation (7 jours), ainsi que l’information indiquant qui invite ;
3. la personne à l’adresse de laquelle sont envoyées les notifications d’une nouvelle Demande de contact ou d’une demande pour parler à un humain : nous traitons son adresse e-mail indiquée dans les paramètres de l’action ou de l’Espace de travail (ou, à défaut, l’adresse e-mail du propriétaire de l’Espace de travail). Nous traitons l’adresse elle-même en qualité de responsable du traitement, selon les règles de la présente politique. Le contenu de cette notification (les données du Visiteur issues du formulaire et un extrait de la conversation) constitue des données du Client, que nous traitons en qualité de sous-traitant sur la base du Contrat de sous-traitance (§ 7).

6.2. Source des données : votre adresse nous a été communiquée par l’Utilisateur du tableau de bord qui a envoyé le message ou l’invitation, ou qui a défini l’adresse de notification. Chaque e-mail envoyé par flowhelp comporte un court pied de page indiquant le nom de notre société et un lien vers la présente politique.

6.3. Finalité et base juridique : envoi du message demandé par l’Utilisateur du tableau de bord et gestion de l’invitation ou des notifications, sur la base de l’article 6, paragraphe 1, point f), du RGPD (intérêt légitime : le nôtre et celui du Client, consistant à lui permettre d’utiliser le Service, notamment de collaborer avec son équipe et d’installer le Widget).

6.4. Nous n’enregistrons pas dans la base de données l’adresse e-mail complète du développeur saisie dans la fonction « Envoyer à un développeur » ; seule sa forme masquée (par exemple ab***@domaine.fr) subsiste dans le journal des événements de l’Espace de travail. Nous transmettons l’adresse complète à l’opérateur de messagerie (Resend) uniquement aux fins de l’envoi. Une invitation (valable 7 jours) est supprimée automatiquement 30 jours après son expiration, qu’elle ait été acceptée ou non ; si l’Espace de travail est supprimé, l’invitation disparaît au plus tard lors de la suppression définitive de ses données, soit 30 jours après la suppression de l’Espace de travail. Si vous ne souhaitez pas recevoir de tels messages, écrivez-nous ou adressez-vous à la personne qui a communiqué votre adresse.

§ 7. Visiteurs des sites de nos Clients

7.1. Qui est responsable du traitement. Si vous conversez avec un Assistant sur le site d’une autre entreprise (notre Client), le responsable du traitement de vos données est cette entreprise. C’est elle qui décide si et comment elle utilise le Widget, quelles connaissances l’Assistant utilise, quels champs comporte le formulaire de contact, combien de temps elle conserve les conversations et à qui elle transmet les Demandes de contact. Nous traitons ces données pour le compte du Client et sur ses instructions, en qualité de sous-traitant, sur la base du Contrat de sous-traitance. Nous ne les utilisons pas à nos propres fins.

7.2. Les informations sur le traitement figurent dans la politique de confidentialité du Client. Le Client peut indiquer sur le tableau de bord l’adresse de sa politique de confidentialité ; le Widget affiche alors un lien « Politique de confidentialité » à côté de la demande de consentement à la conversation, ainsi que sous le formulaire de contact et sous le formulaire de demande pour parler à un humain.

7.3. Ce que nous traitons pour le compte du Client :

1. le contenu de la conversation (vos messages et les réponses de l’Assistant), l’heure, la langue, votre évaluation des réponses, les sources citées ;
2. un identifiant aléatoire de Visiteur enregistré dans le stockage de votre navigateur sans date d’expiration (voir § 16), qui permet de relier les conversations successives menées depuis ce navigateur, ainsi que son empreinte cryptographique ;
3. si le Client a configuré le Widget en ce sens : l’identifiant de votre compte sur le service du Client (par exemple un numéro de client), transmis par le site du Client ; le Client décide de l’identifiant qu’il transmet ;
4. les questions auxquelles l’Assistant n’a pas su répondre (enregistrées séparément, sans lien avec la conversation) ;
5. les données du formulaire de contact ou de la demande pour parler à un humain (les champs sont définis par le Client, par exemple e-mail, prénom, téléphone, message) ; le Client les reçoit par e-mail, avec jusqu’aux 10 derniers messages de la conversation, à l’adresse de notification qu’il a indiquée ;
6. les contenus que le Client ajoute en tant que connaissances de l’Assistant (pages web, notes, paires question-réponse) ; ils peuvent contenir des données personnelles dont le Client est responsable.

7.4. Ce que nous n’enregistrons pas. Nous n’enregistrons ni votre adresse IP ni les données de votre navigateur dans la base de données des conversations.

7.5. Journaux du serveur et compteurs de limites : ici, nous sommes responsable du traitement. Lorsque le site d’un Client charge le Widget depuis nos serveurs (scripts du Widget, sa configuration) et lorsque le Widget envoie des requêtes à notre interface de programmation (API), nos serveurs enregistrent dans leurs journaux l’adresse IP, l’horodatage, la requête, la page de provenance (Referer, généralement l’adresse de la page du Client) et les données du navigateur (User-Agent). Cela se produit dès le chargement de la page, avant même que vous n’entamiez une conversation. En outre, pendant quelques minutes (jusqu’à 2 heures pour la limite du formulaire de contact), nous utilisons une empreinte cryptographique de votre adresse IP dans les compteurs de limites. Nous traitons ces données en qualité de responsable du traitement, et non pour le compte du Client :

1. finalité : assurer la sécurité du Service, détecter les attaques et prévenir les abus ;
2. base juridique : article 6, paragraphe 1, point f), du RGPD (intérêt légitime : sécurité et continuité de fonctionnement d’un Service fourni à de nombreux Clients) ; vous pouvez vous y opposer (point 12.1, 6°) ;
3. durée de conservation : journaux 14 jours, empreinte de l’adresse IP de 5 minutes à 2 heures ;
4. destinataires : notre hébergeur (OVH) et, dans la mesure nécessaire à une tâche de maintenance déterminée, le fournisseur d’outils d’IA assistant l’administration du serveur (point 9.1) ; nous ne transmettons pas ces données au Client.

Pour toute question concernant ces données, adressez-vous à nous (§ 2), et non au Client.

7.6. Image de l’Assistant. Si le Client a défini pour l’Assistant une image (avatar) hébergée à sa propre adresse, votre navigateur la télécharge directement depuis cette adresse, et l’exploitant de celle-ci peut voir votre adresse IP.

7.7. Comment exercer vos droits. Adressez toute demande d’accès, d’effacement, de rectification ou toute autre demande concernant une conversation, une Demande de contact ou des questions au Client, c’est-à-dire au propriétaire du site sur lequel vous avez conversé (pour les journaux du serveur visés au point 7.5, adressez-vous à nous). Le Client peut, sur le tableau de bord, supprimer des conversations individuelles, toute Demande de contact et les questions sans réponse affichées sur le tableau de bord, ainsi qu’exporter les conversations ; nous supprimons les autres questions sur ses instructions. Si vous nous écrivez, nous transmettrons votre demande au Client dans les meilleurs délais et l’aiderons à y donner suite. Pour faciliter la recherche des données, indiquez l’adresse du site sur lequel vous avez conversé et l’heure approximative de la conversation.

§ 8. Nous contacter, réclamations et signalements

8.1. Lorsque vous nous écrivez (par e-mail, par courrier ou au moyen du formulaire de la fenêtre de chat), que vous déposez une réclamation ou que vous signalez un contenu que vous estimez illicite, nous traitons vos coordonnées, le contenu du message et les données nécessaires au traitement de votre demande.

8.2. Bases juridiques :

1. réponse à un message : article 6, paragraphe 1, point f), du RGPD (intérêt légitime : gestion de la correspondance) ;
2. réclamations concernant le Service : article 6, paragraphe 1, point b), du RGPD (exécution du contrat) ;
3. signalements de contenus illicites et information sur les décisions prises : article 6, paragraphe 1, point c), du RGPD, en lien avec les articles 16 et 17 du règlement (UE) 2022/2065 (règlement sur les services numériques) ;
4. constatation, exercice ou défense de droits en justice : article 6, paragraphe 1, point f), du RGPD.

§ 9. À qui nous transmettons les données

9.1. Sous-traitants (prestataires). Nous faisons appel aux prestataires ci-dessous, uniquement dans la mesure nécessaire à l’exécution de leurs services. Les entités visées aux lignes 1, 2, 4, 5 et 6 traitent les données pour notre compte sur la base de contrats conclus avec elles, y compris de clauses contractuelles types lorsque les données sont transférées hors de l’EEE. Les entités visées à la ligne 3 traitent les données en qualité de sous-traitants ultérieurs d’OpenRouter, sur la base de contrats conclus par OpenRouter. Ces mêmes entités traitent les données qui nous sont confiées par les Clients, en qualité de sous-traitants ultérieurs énumérés à l’annexe A du Contrat de sous-traitance.

9.2. Autres destinataires :

1. le Client et son équipe : nous mettons les données des Visiteurs des sites du Client (§ 7) à la disposition du Client, et les données des membres de l’équipe (prénom, e-mail, rôle) à la disposition des autres membres du même Espace de travail ;
2. Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlande), fournisseur du service Gmail dans lequel nous gérons notre boîte aux lettres, agissant selon ses propres conditions : y parviennent les messages que vous nous envoyez par e-mail ainsi que les notifications de Demandes de contact et de demandes pour parler à un humain issues des conversations avec Eric sur flowhelp.ai (les notifications de Demandes de contact provenant des sites des Clients ne parviennent pas à notre boîte aux lettres ; seuls y parviennent les messages que vous nous envoyez vous-même, y compris les demandes concernant des conversations sur les sites des Clients, que nous transmettons au Client) ; Google peut transférer des données vers les États-Unis sur la base des garanties prévues au chapitre V du RGPD (décision d’adéquation relative au cadre de protection des données UE-États-Unis, EU-US Data Privacy Framework, ou CCT) ;
3. Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94107, États-Unis), fournisseur du service Email Routing, qui transfère vers notre boîte aux lettres Gmail les messages envoyés aux adresses du domaine flowhelp.ai (par ex. hello@flowhelp.ai) ; Cloudflare les traite en tant que notre sous-traitant sur la base de son accord de traitement des données (Data Processing Addendum) et peut transférer des données vers les États-Unis sur la base des garanties prévues au chapitre V du RGPD (décision d’adéquation relative au cadre de protection des données UE-États-Unis, EU-US Data Privacy Framework, ou CCT) ;
4. les autorités publiques et les juridictions : uniquement lorsque l’obligation de transmission découle de la loi ;
5. l’opérateur de paiement : après la mise en place des paiements (voir point 4.4).

9.3. Nous ne vendons pas de données personnelles et ne les partageons pas à des fins publicitaires.

§ 10. Transferts de données hors de l’EEE

10.1. Certains des prestataires décrits au § 9 ont leur siège ou leur infrastructure hors de l’EEE (principalement aux États-Unis). Le transfert des données repose alors sur les clauses contractuelles types adoptées par la Commission européenne (article 46, paragraphe 2, point c), du RGPD) ou sur d’autres garanties prévues au chapitre V du RGPD, indiquées dans le tableau du point 9.1.

10.2. Dans le cas de deAPI, les calculs peuvent être effectués sur des serveurs GPU situés dans différents pays, y compris hors de l’EEE. Seul du texte est alors transmis (extraits des contenus du Client et, uniquement dans le cas décrit au point 15.1, questions des Visiteurs), sans l’identifiant du Visiteur ni l’adresse IP. Si une telle question contient des données personnelles, celles-ci sont transmises avec elle (voir point 15.5).

10.3. Vous pouvez obtenir une copie des garanties appliquées, ou l’indication de l’endroit où elles ont été mises à disposition, en écrivant à l’adresse figurant au § 2.

§ 11. Durée de conservation des données

11.1. À l’expiration de ces durées, nous supprimons ou anonymisons les données. Nous ne pouvons les conserver plus longtemps que si elles sont nécessaires à la constatation, à l’exercice ou à la défense de droits en justice, ou si la loi l’exige, et uniquement dans la mesure nécessaire.

§ 12. Vos droits

12.1. Dans la mesure où nous sommes responsable du traitement de vos données, vous disposez des droits suivants :

1. droit d’accès aux données et d’en obtenir une copie (article 15 du RGPD) ;
2. droit de rectification des données inexactes ou incomplètes (article 16 du RGPD) ; vous pouvez modifier vous-même votre prénom, votre mot de passe et votre langue dans Paramètres → Profil, et nous modifierons votre adresse e-mail à votre demande ;
3. droit à l’effacement des données (article 17 du RGPD) ; vous pouvez supprimer vous-même votre compte dans Paramètres → Profil ;
4. droit à la limitation du traitement (article 18 du RGPD) ;
5. droit à la portabilité des données (article 20 du RGPD), pour les données que vous nous avez fournies et que nous traitons de manière automatisée sur la base d’un contrat ;
6. droit d’opposition au traitement fondé sur l’intérêt légitime (article 6, paragraphe 1, point f), du RGPD), pour des raisons tenant à votre situation particulière (article 21 du RGPD) ; après votre opposition, nous cesserons de traiter les données à cette fin, à moins que nous ne démontrions qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur vos intérêts et vos droits et libertés, ou que le traitement est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice ;
7. droit d’introduire une réclamation auprès d’une autorité de contrôle : le Président de l’Office de protection des données personnelles (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Stawki 2, 00-193 Warszawa, Pologne (https://uodo.gov.pl), ou l’autorité de protection des données de l’État dans lequel vous résidez ou travaillez (par exemple, en France, la Commission nationale de l’informatique et des libertés, CNIL, ou, en Belgique, l’Autorité de protection des données).

12.2. Nous ne fondons pas les traitements décrits dans la présente politique sur le consentement. Si un Client demande dans le Widget votre consentement à la conversation, il s’agit d’un mécanisme propre au Client, et toute question à ce sujet doit lui être adressée.

12.3. Envoyez votre demande à l’adresse figurant au § 2. Nous y répondrons dans les meilleurs délais et au plus tard dans un délai d’un mois ; pour les demandes complexes, ce délai peut être prolongé de deux mois, ce dont nous vous informerons au cours du premier mois. L’exercice de vos droits est gratuit. En cas de doute raisonnable sur votre identité, nous pouvons vous demander des informations complémentaires (par exemple de nous écrire depuis l’adresse e-mail associée au compte).

12.4. Si vos données proviennent d’une conversation sur le site d’un de nos Clients, le point 7.7 s’applique.

§ 13. Devez-vous fournir des données ?

13.1. La fourniture d’une adresse e-mail et d’un mot de passe est une condition de la création d’un compte et de l’utilisation du tableau de bord. Le prénom est facultatif.

13.2. La conversation avec Eric et le remplissage du formulaire de contact sont facultatifs. Sans vos coordonnées, nous ne pourrons pas vous répondre en dehors de la fenêtre de chat.

13.3. Après la mise en place des paiements, la fourniture des données de facturation sera nécessaire à l’achat d’un forfait payant, et leur traitement découlera de la loi.

§ 14. Prise de décision automatisée et profilage

14.1. Nous ne prenons à votre égard aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire (article 22 du RGPD). Nous ne profilons ni les Visiteurs ni les Utilisateurs du tableau de bord à des fins marketing.

14.2. L’Assistant IA rédige automatiquement des réponses aux questions sur la base des contenus du Client. Il n’évalue pas les personnes et ne prend pas de décisions les concernant. Les mécanismes techniques automatiques, tels que les limites du nombre de messages ou le blocage du trafic ressemblant à une attaque, servent à la sécurité du Service et ne constituent pas des décisions au sens de l’article 22 du RGPD.

§ 15. Fonctionnement de l’IA et données transmises aux fournisseurs de modèles

15.1. Recherche dans les connaissances. Les questions posées à l’Assistant ainsi que les extraits des contenus que le Client a ajoutés en tant que connaissances sont convertis en vecteurs numériques (embeddings). Cela permet à l’Assistant de retrouver les extraits correspondant à la question. Nous convertissons les questions sur notre propre serveur en Allemagne (OVH) et les extraits des contenus du Client via deAPI. Ce n’est que lorsque notre serveur ne peut temporairement pas traiter une question que nous l’envoyons à deAPI à cette fin, afin que l’Assistant puisse tout de même répondre.

15.2. Rédaction des réponses. Pour rédiger une réponse, nous envoyons via OpenRouter au fournisseur du modèle sélectionné :

1. les instructions destinées à l’Assistant (y compris les paramètres du Client),
2. jusqu’à 6 extraits correspondants des connaissances du Client (texte, titre et adresse de la source),
3. la question du Visiteur,
4. jusqu’aux 6 derniers messages de la conversation.

15.3. Ce que nous n’envoyons pas au modèle : l’identifiant du Visiteur, l’adresse IP, l’adresse de la page sur laquelle se déroule la conversation, les données du formulaire de contact ni l’identifiant d’utilisateur transmis par le Client.

15.4. Tableau de bord. La fonction « Suggérer une réponse » convertit la question en vecteur comme le chat (point 15.1) et envoie au modèle la question et les extraits de connaissances correspondants. Lors de la configuration du compte, nous récupérons la page d’accueil publique du site du Client et envoyons au modèle son nom de domaine ainsi que les premiers extraits de son texte, afin de suggérer un message d’accueil.

15.5. Aucun caviardage des données. Nous ne supprimons pas automatiquement les données personnelles du contenu des questions. Si un Visiteur saisit des données personnelles dans une question, elles sont transmises avec la question au fournisseur du modèle et, dans le cas décrit au point 15.1, également à deAPI. C’est pourquoi nous vous demandons de ne pas saisir dans le chat de données sensibles, de numéros de pièces d’identité, de données de santé ni de mots de passe.

15.6. Entraînement des modèles. Nous n’entraînons ni n’affinons de modèles d’IA sur les données des Clients ou des Visiteurs. Nous acheminons les requêtes uniquement vers des fournisseurs qui, selon OpenRouter, ne collectent pas les données des requêtes (paramètre data_collection: deny). Les fournisseurs peuvent traiter les requêtes pendant une durée limitée, dans les conditions prévues par leurs contrats, par exemple pour détecter les abus.

15.7. Signalement de l’IA. La fenêtre de chat indique toujours que la conversation est menée avec une IA (badge « IA » et phrase d’information que le Client ne peut pas supprimer), conformément à l’article 50, paragraphe 1, du règlement (UE) 2024/1689 (règlement sur l’intelligence artificielle). Les réponses générées par l’IA peuvent contenir des erreurs.

§ 16. Cookies et stockage du navigateur

16.1. Nous utilisons uniquement les cookies et le stockage du navigateur indispensables au fonctionnement des fonctionnalités que vous utilisez sciemment. Nous n’utilisons pas de cookies d’analyse d’audience, publicitaires ou de tiers. Conformément à l’article 399 de la loi polonaise du 12 juillet 2024 sur les communications électroniques (Prawo komunikacji elektronicznej), le stockage d’informations sur votre appareil ne requiert pas votre consentement lorsqu’il est indispensable à la fourniture d’un service que vous avez expressément demandé. C’est le cas de chacune des entrées du tableau du point 16.2 : le cookie de session est indispensable pour que vous puissiez utiliser le tableau de bord après vous être connecté, flowhelp_locale mémorise la langue du tableau de bord que vous avez vous-même choisie, et l’identifiant de Visiteur n’est créé qu’au moment où vous commencez à utiliser le chat et sert à mener cette conversation. Nous décrivons néanmoins ci-dessous tout ce que nous enregistrons dans votre navigateur.

16.2. Le site flowhelp.ai ne dépose pas de cookies. Vous trouverez ci-dessous l’ensemble des cookies et des entrées du stockage du navigateur que nous utilisons.

16.3. Le Widget installé sur les sites des Clients n’utilise pas de cookies. Le Client peut utiliser ses propres cookies sur son site ; ils sont décrits dans la politique de confidentialité du Client.

16.4. Vous pouvez à tout moment supprimer les cookies et les données de sites dans les paramètres de votre navigateur. La suppression du cookie de session vous déconnectera du tableau de bord, et la suppression de l’identifiant de Visiteur ouvrira une nouvelle conversation.

§ 17. Sécurité

17.1. Nous appliquons notamment les mesures suivantes :

1. connexions chiffrées (TLS 1.2 et 1.3) et HSTS sur le site et sur le tableau de bord ;
2. pare-feu bloquant par défaut le trafic entrant ; l’application n’est pas accessible directement depuis internet, mais uniquement par l’intermédiaire d’un serveur mandataire ;
3. cloisonnement des données des Clients au niveau de la base de données (Row-Level Security), vérifié par des tests automatisés ;
4. mots de passe conservés uniquement sous forme d’empreintes cryptographiques (scrypt avec sel) ;
5. rôles au sein de l’équipe déterminant l’accès aux données sur le tableau de bord ; export des conversations réservé au propriétaire et aux administrateurs ;
6. limitation du nombre de tentatives de connexion et de messages, liste des domaines autorisés pour le Widget et signatures HMAC pour les identifiants d’utilisateurs des Clients ;
7. minimisation des données dans les journaux (journaux applicatifs sans contenu des conversations, adresses e-mail masquées ; les journaux de diagnostic de la base de données peuvent exceptionnellement contenir des fragments de contenu) et courtes durées de conservation de ces journaux ;
8. sauvegardes quotidiennes de la base de données, conservées 14 jours ;
9. accès administrateur aux serveurs réservé aux gérants habilités ; l’administration est assistée par des outils d’IA (point 9.1, ligne 6), qui n’accèdent aux données que dans la mesure nécessaire à une tâche déterminée.

17.2. Nous ne proposons pas actuellement d’authentification à deux facteurs ; nous vous recommandons donc d’utiliser un mot de passe robuste que vous n’utilisez sur aucun autre service.

17.3. Aucune méthode de transmission ou de stockage de données n’est totalement sûre. En cas de violation de données à caractère personnel, nous agirons conformément aux articles 33 et 34 du RGPD et, s’agissant des données qui nous sont confiées par les Clients, nous en informerons le Client conformément au Contrat de sous-traitance.

§ 18. Modifications de la politique et entrée en vigueur

18.1. Nous pouvons modifier la présente politique, par exemple lorsque les fonctionnalités du Service, les prestataires ou la réglementation évoluent. La version en vigueur est toujours disponible sur le site flowhelp.ai, avec son numéro de version et sa date d’entrée en vigueur.

18.2. Nous informerons des modifications importantes avant leur entrée en vigueur, par e-mail adressé aux propriétaires et administrateurs des Espaces de travail ainsi qu’à l’adresse de notification de l’Espace de travail (si elle a été définie), et en outre sur le tableau de bord. Les modifications de la liste des sous-traitants ultérieurs pour les données confiées par les Clients sont annoncées conformément au Contrat de sous-traitance.

18.3. La version polonaise de la présente politique fait foi. Les versions dans d’autres langues sont des traductions ; en cas de divergence, la version polonaise prévaut.

18.4. La présente politique, dans sa version 1.1 du 2 octobre 2026, est en vigueur à compter du jour de sa mise en ligne sur le Site.