Politique de confidentialité
Version du 1er août 2026
1. Deux rôles à ne pas confondre
Wyncove traite deux ensembles de données très différents, et son rôle juridique n'est pas le même dans les deux cas.
- Les données de ses propres clients et prospects — adresses professionnelles, comptes, journal d'accès, facturation : Wyncove en est responsable de traitement.
- Les contrats déposés et ce qui en est extrait : Wyncove agit comme sous-traitant, pour le compte de l'organisation cliente, qui en est responsable de traitement. Ces documents mentionnent des personnes — signataires, contacts, salariés d'un fournisseur — que Wyncove n'a jamais rencontrées et ne peut pas informer directement.
Les engagements que cette qualité de sous-traitant impose sont détaillés dans l'accord de sous-traitance (RGPD art. 28), annexe des conditions générales : instructions, confidentialité, sécurité, sous-traitants ultérieurs, notification d'une violation, sort des données en fin de contrat.
Une demande émanant d'une personne mentionnée dans un contrat déposé est donc transmise au client concerné, qui seul peut y répondre.
2. Finalités et bases légales
| Finalité | Base légale (RGPD art. 6) | Données |
|---|---|---|
| Fournir le service : extraction, registre, alertes | Exécution du contrat (6.1.b) | Fichiers déposés, texte extrait, données structurées, comptes |
| Répondre à une demande d'accès déposée sur le site | Mesures précontractuelles à la demande de la personne (6.1.b) | Adresse professionnelle, organisation, message |
| Sécurité et traçabilité des accès | Intérêt légitime (6.1.f) | Journal d'audit, journaux techniques sans contenu de contrat |
| Améliorer la qualité de l'extraction | Intérêt légitime (6.1.f), sur données anonymisées, avec droit d'opposition | Corrections apportées par les utilisateurs |
| Facturation | Exécution du contrat et obligation comptable (6.1.b, 6.1.c) | Données de facturation |
3. Ce que nous ne faisons pas
- Vos contrats n'entraînent aucun modèle. Le texte transmis au fournisseur d'intelligence artificielle sert à répondre à cette requête, et l'engagement de non-entraînement figure au contrat de sous-traitance.
- Aucune mesure d'audience, aucun traceur publicitaire. Le site ne charge ni script tiers, ni police de caractères distante, ni pixel : c'est pourquoi il n'y a pas de bandeau de consentement à cliquer.
- Aucune revente ni partage à des fins commerciales.
4. Cookies
Un seul cookie est déposé, wyncove_session, et uniquement après connexion : il identifie la session. Il est strictement nécessaire au fonctionnement du service, ce qui le dispense de consentement (article 82 de la loi Informatique et Libertés). Il est marqué HttpOnly, Secure et SameSite, et se supprime à la déconnexion.
Mesure d'audience. Nous utilisons Vercel Web Analytics pour compter les pages vues. Cet outil ne dépose aucun cookie et ne constitue pas de profil publicitaire. Les adresses des pages lui sont transmises expurgées : les identifiants de contrats sont remplacés par [id] et la chaîne de requête est retirée en entier — donc ni les mots que vous tapez dans la recherche du registre, ni la fiche que vous consultez ne quittent l'application. Nous mesurons quelles pages servent, jamais qui consulte quel contrat.
5. Durées de conservation
| Donnée | Durée |
|---|---|
| Fichiers déposés et données extraites | Durée du contrat, puis 30 jours |
| Comptes utilisateurs | Durée du contrat, puis 30 jours |
| Journal d'audit | 12 mois glissants |
| Journaux techniques (sans contenu de contrat) | 90 jours |
| Sauvegardes chiffrées | Rotation sur 30 jours |
| Demandes d'accès non converties | 12 mois |
| Pièces comptables | 10 ans (obligation légale) |
La suppression d'un contrat est immédiate à l'écran ; la purge des fichiers et des données associées suit, et la trace de la suppression — sans les données supprimées — reste au journal d'audit.
6. Sous-traitants
Chacun est encadré par un accord de traitement (RGPD art. 28). Aucun ne voit le contenu d'un contrat en dehors de ce que sa fonction exige.
| Sous-traitant | Rôle | Ce qu'il voit | Localisation |
|---|---|---|---|
| Vercel | Exécution de l'application et mesure d'audience | Données en transit lors du traitement. Pour la mesure d'audience : l'adresse des pages vues, expurgée (identifiants remplacés, chaîne de requête retirée), sans cookie | Fonctions en région Paris (cdg1) |
| Supabase (PostgreSQL et stockage de fichiers) | Stockage | Fichiers déposés, données structurées, comptes | Paris (eu-west-3) |
| Anthropic | Extraction par modèle de langage | Le texte du contrat, le temps de la requête. Aucune conservation pour entraînement. | Encadré par l'accord de traitement |
| Brevo (société française) | E-mails de connexion et rappels | L'adresse du destinataire et le contenu du message — jamais un contrat | Union européenne |
À compléter avant le traitement de la première donnée client réelle : signature des accords de traitement Supabase, Vercel et Anthropic, et mention du prestataire de paiement dès sa mise en service. Tout ajout ou remplacement de sous-traitant est notifié aux clients, qui disposent d'un droit d'objection.
Le flux d'agenda : facultatif, et à votre initiative
Une organisation peut publier ses échéances sous forme de flux calendrier en lecture seule, à une adresse imprévisible, pour l'abonner dans Google Agenda ou Outlook. La fonctionnalité est désactivée par défaut et n'est activée que par un administrateur de l'organisation.
Ce que contiennent les événements : le nom de la contrepartie, la référence interne, le type de contrat, la date, la durée de préavis et un lien vers la fiche. Ni montant, ni extrait de contrat. Wyncove n'envoie rien : c'est votre fournisseur d'agenda qui vient lire l'adresse que vous lui avez donnée. Il n'est donc pas notre sous-traitant, et nous ne détenons aucun accès à votre agenda. L'adresse peut être régénérée ou coupée à tout moment depuis les réglages, avec effet immédiat.
7. Réutilisation anonymisée des corrections
Quand un utilisateur corrige une valeur mal extraite, cette correction est ce qui permet de mesurer et d'améliorer la qualité du système. Cette réutilisation se fait sur des données anonymisées : ni nom de partie, ni montant identifiant, ni référence. Une organisation peut s'y opposer, et l'opposition est enregistrée pour toute l'organisation.
8. Vos droits
Accès, rectification, effacement, portabilité, limitation, opposition : écrivez à privacy@wyncove.fr. Réponse sous 30 jours. Vous pouvez également saisir la CNIL.
Pour les données figurant dans un contrat déposé par une organisation cliente, la demande est transmise à cette organisation : elle seule en est responsable de traitement (article 1).
9. Violation de données
En cas de violation susceptible d'engendrer un risque, la CNIL est notifiée dans les 72 heures et les clients affectés sont informés directement. Les mesures techniques et l'organisation de la réponse sont décrites sur la page Sécurité.