Politique de confidentialité

La présente politique explique comment les données personnelles sont traitées lorsque vous utilisez Entumo, conformément à la loi fédérale suisse révisée sur la protection des données (nLPD) et à son ordonnance (OPDo). Lorsque le RGPD de l’UE s’applique également, nous le respectons.

1. Responsable du traitement

Le responsable du traitement décrit ici est MomentumQ GmbH, Leutschenbachstrasse 95, 8050 Zurich, Suisse. Demandes relatives à la protection des données : info@momentumq.com, ou par courrier à l’adresse ci-dessus.

Lorsque vos agents traitent des données personnelles de vos clients, employés ou contacts, votre entreprise est responsable de ces données et nous agissons comme son sous-traitant (conditions, chiffre 12). Les personnes dont votre espace traite les données doivent adresser leurs demandes — y compris celle qu’une personne réexamine une décision automatisée — à votre entreprise ; nous vous aidons à y répondre, et les propriétaires d’un espace disposent d’une recherche qui retrouve les données d’une personne dans tout l’espace.

2. Quelles données nous traitons

• Données de compte — nom, adresse e-mail et un mot de passe haché ; appartenance aux espaces de travail ; les confirmations que vous donnez à l’inscription ou en rejoignant un espace de travail (comme la confirmation d’utilisation de l’IA), avec leur horodatage et la version des conditions alors en vigueur ; chaque acceptation des conditions est en outre conservée dans une pièce à part (voir chiffre 7). Si vous utilisez la connexion avec ChatGPT (disponible uniquement pour un compte existant), OpenAI nous communique votre adresse e-mail, le fait qu’elle est vérifiée ou non, votre nom et l’identifiant de votre compte OpenAI ; nous utilisons l’adresse pour trouver votre compte et n’y enregistrons que l’identifiant, afin de vous reconnaître lors des connexions suivantes, jusqu’à la suppression de votre compte (chiffre 4).
• Données de sécurité — si vous activez la connexion à deux facteurs, un secret d’authentification chiffré et des codes de récupération hachés ; une trace de courte durée indiquant que vous avez récemment ressaisi votre mot de passe avant une action sensible. Si vous enregistrez une clé d’accès (passkey) : sa clé publique et son identifiant, le nom que vous lui donnez, son type d’appareil et le fait qu’elle est sauvegardée ou non, l’identifiant du modèle d’authentificateur, un compteur de signatures, ainsi que ses dates de création et de dernière utilisation. La clé privée ne quitte jamais votre appareil.
• Données de session — un identifiant de session aléatoire dans un cookie ; notre base de données n’en conserve qu’une empreinte. Une session prend fin après 12 heures d’inactivité et au plus tard après 48 heures.
• Données d’utilisation / journaux — adresse IP, horodatage et identifiant du navigateur (user-agent) et, pour les événements de connexion, d’inscription, de réinitialisation du mot de passe et similaires, aussi votre adresse e-mail ou identifiant d’utilisateur ; ils n’existent que dans le flux de journaux de notre hébergeur (sécurité et dépannage) et y sont supprimés automatiquement au plus tard après 30 jours. Pour limiter les abus, notre base de données compte aussi les requêtes par adresse IP et les tentatives de connexion par adresse e-mail sur une courte fenêtre (d’une minute à un jour). Ces compteurs sont enregistrés sous une empreinte à clé, jamais l’adresse elle-même, et supprimés au plus tard un jour après la fin de leur fenêtre.
• Réglages de l’espace — le profil de l’entreprise, la signature e-mail (qui peut contenir le nom, la fonction et le numéro de téléphone d’une personne), les invitations et les destinataires de notifications que vous définissez (adresse e-mail, numéro WhatsApp, identifiant Threema) ; les notifications sont transmises par le fournisseur du canal que vous choisissez ; si un propriétaire active la région de données Chine (chiffre 5), nous conservons aussi une trace de cette confirmation — qui, quand et le texte présenté.
• Données de facturation — plan, références client et de paiement Stripe, le registre des crédits et la consommation par modèle d’IA. Les données de carte et de compte sont détenues par Stripe, pas par nous. Si un propriétaire active le rechargement automatique, nous conservons aussi la trace de cet accord — qui l’a donné, quand, le texte, les montants et les limites journalières — avec le portefeuille.
• Contenus que vous fournissez — mandats, messages, fichiers produits par votre équipe IA, ainsi que les identifiants de connecteurs que vous ajoutez (stockés chiffrés ; voir « Sécurité »).
• Enregistrements vocaux — lorsque vous dictez, l’audio est transmis pour transcription à un fournisseur mentionné au chiffre 4 et n’est pas conservé ensuite ; la transcription arrive là où vous avez dicté.
• Conversation vidéo — si vous ouvrez la conversation vidéo facultative, l’audio de votre micro et, si vous l’activez, la vidéo de votre caméra sont transmis en direct au fournisseur vidéo mentionné au chiffre 4 pendant la durée de la conversation, avec une instruction fixe et la langue de votre écran. Votre voix et votre visage peuvent vous identifier et constituer des données sensibles ; la conversation ne s’ouvre donc qu’après que vous avez lu l’information et appuyé sur Démarrer (chiffre 3). Nous n’envoyons rien de votre espace de travail et ne stockons ni audio, ni vidéo, ni transcription ; nous ne conservons que le fait qu’une conversation a eu lieu et son imputation (chiffre 7).
• Données de clients que vous traitez via Entumo — lorsqu’un agent IA agit dans un outil connecté (p. ex. messagerie, comptabilité, système de paiement), il y traite les données pour votre compte ; pour ces données, vous êtes le responsable du traitement et nous agissons comme votre sous-traitant.
• Statistiques d’utilisation — des événements tels que « tâche terminée » ou une étape d’accueil franchie, liés à vos identifiants d’utilisateur et d’espace mais sans aucun contenu, afin de comprendre l’utilisation du produit et de l’améliorer ; les événements d’inscription et de demande d’accès enregistrent en outre le domaine de l’adresse e-mail utilisée (par exemple exemple.ch), jamais l’adresse elle-même. Ils sont conservés 180 jours.
• Recommandation par un partenaire — si vous êtes arrivé par le lien d’un de nos partenaires (par exemple une fiduciaire), le code partenaire de ce lien est enregistré avec l’espace que vous créez, et ce partenaire voit le nom et la date de création de votre espace dans sa liste de clients.
• Signalements d’abus — si vous utilisez le formulaire public de signalement ou écrivez à notre adresse d’abus : la catégorie, le lien et la description que vous indiquez, l’adresse e-mail si vous en laissez une et le moment du signalement ; nous les utilisons pour traiter le signalement, pour vous poser des questions et pour constater, exercer ou défendre des droits en justice. Nous ne conservons un signalement que le temps nécessaire et supprimons, sur demande, vos coordonnées du signalement, sauf si elles sont nécessaires à un cas en cours.
• Destinataires de liens hébergés par Entumo — les e-mails envoyés par vos agents peuvent afficher le logo de votre signature au moyen d’un lien vers notre serveur ; lorsque le programme de messagerie d’un destinataire charge l’image, il nous transmet, ainsi qu’à notre hébergeur, son adresse IP, l’identifiant de son navigateur ou de son programme de messagerie et l’heure, qui figurent dans le flux de journaux décrit plus haut. Le lien est le même pour tous les destinataires de votre espace, nous ne pouvons donc pas distinguer les destinataires, et nous n’utilisons pas ces requêtes pour suivre qui que ce soit.

Mesure marketing. Sur nos pages publiques, votre navigateur enregistre dans le stockage de session de votre appareil les paramètres de campagne du lien emprunté (utm_source, utm_medium, utm_campaign), un code partenaire si le lien en contenait un, le nom d’hôte du site référent, la page d’arrivée et le bouton pressé. Aucun cookie n’est déposé, et tout disparaît à la fermeture de l’onglet. Si vous envoyez ensuite une demande d’accès ou créez un compte, ce contexte accompagne le formulaire afin que nous sachions quel canal fonctionne (à l’inscription, il est conservé avec les statistiques d’utilisation ci-dessus). En outre, la première consultation d’une page publique dans un onglet signale à notre serveur la page, la langue et l’hôte référent ; le serveur ne conserve qu’un décompte agrégé par page et par jour (pendant 365 jours, sans identifiant) ; pour empêcher des tiers de gonfler ces décomptes, il compte les consultations par adresse IP pendant une heure, sous une empreinte à clé et non l’adresse. Vous pouvez refuser tout cela en bloquant les données de site pour ce domaine dans les réglages de votre navigateur ; le reste du site continue de fonctionner. Nous ne l’utilisons pas pour vous reconnaître sur d’autres sites.

Demandes d’accès. Si vous demandez un accès via le formulaire de notre site, nous enregistrons votre adresse e-mail, votre entreprise, la tâche que vous décrivez, le plan et la langue choisis ainsi que le contexte de campagne ci-dessus, et en envoyons une copie à notre propre messagerie, afin de vous répondre et de préparer votre accueil. Nous conservons la demande 12 mois.

3. Finalités et bases légales

Nous traitons les données pour fournir et sécuriser le service et gérer votre compte (exécution de notre contrat avec vous), pour l’exploiter, l’améliorer et le protéger contre les abus, pour mesurer quels canaux et fonctions fonctionnent et pour régler les accords avec nos partenaires (nos intérêts légitimes, mis en balance avec vos droits — vous pouvez vous opposer à tout moment, voir « Vos droits »), et pour respecter des obligations légales telles que la conservation des pièces comptables. À l’exception de la conversation vidéo facultative décrite ci-dessous, nous ne fondons pas ce traitement sur votre consentement ; si nous devions un jour vous le demander, vous pourriez le retirer à tout moment avec effet pour l’avenir. La fourniture des données est facultative, mais sans elles le service ne peut pas être utilisé.

Conversation vidéo. Votre voix et votre visage peuvent vous identifier et être considérés comme des données personnelles sensibles ; pour cette fonction facultative, nous nous fondons donc sur votre consentement : avant tout envoi, nous montrons ce qui est envoyé, à qui et ce que coûte une conversation, et la conversation ne s’ouvre que lorsque vous appuyez sur Démarrer. Vous pouvez y mettre fin à tout moment, ce qui retire votre consentement avec effet pour l’avenir ; ce que le fournisseur détient déjà relève des chiffres 4 et 7. Si d’autres personnes seront entendues ou vues, ne l’ouvrez pas sans leur accord. La fonction n’est proposée que si la politique de résidence des données de votre espace autorise les États-Unis et que son périmètre de fournisseurs n’est pas limité aux fournisseurs auxquels ses employés sont affectés (page Sécurité).

4. Communication à des sous-traitants et à des tiers

Pour exploiter le service, nous recourons aux sous-traitants suivants, qui agissent uniquement sur nos instructions. Chaque entrée indique l’État dans lequel le sous-traitant traite les données et la base de cette communication (voir chiffre 5).

• Fournisseurs de modèles d’IA (pour générer le travail) : vos employés fonctionnent avec les modèles que vous leur attribuez — Anthropic (Claude) par défaut, ou les versions européennes ci-dessous dans un espace hébergé dans l’UE. Le manager — l’assistant qui répond dans le chat de votre espace et met le travail en place — fonctionne par défaut sur OpenAI (GPT-6 Sol) lorsque ce fournisseur est activé sur notre déploiement et que vos réglages de résidence et de fournisseurs le permettent (dans un espace hébergé dans l’UE, sur la région européenne d’OpenAI ou la zone de données UE d’Azure), et sinon sur Anthropic (Claude) ou un autre fournisseur de la liste ; un propriétaire peut choisir un autre modèle de manager dans les Réglages. Le manager reçoit le contenu de votre conversation avec lui et ce qu’il lit dans vos outils connectés. La plateforme recourt aussi à des fournisseurs de cette liste pour des tâches d’appui, même si vous n’avez pas confié de travail à leurs modèles : résumer de longs résultats d’outils et historiques de conversation, nommer les conversations, planifier un mandat, vérifier une tâche et un message sortant, lire des documents numérisés et des images, transcrire une dictée et lire des réponses à voix haute. Ces fournisseurs reçoivent les contenus concernés, qui peuvent inclure des e-mails, factures et autres documents lus par vos agents. Votre politique de résidence des données s’applique à chacun de ces appels — un fournisseur d’une région que vous n’avez pas autorisée ne reçoit rien — et vous pouvez désactiver des fournisseurs individuels dans le contrôle des dépenses. Avec le réglage « uniquement les fournisseurs attribués à mes employés » de la page Sécurité, toutes les tâches d’appui restent chez les fournisseurs des modèles de vos employés ; une fonction d’appui qu’aucun d’eux ne peut assurer est alors indisponible. Le réglage est désactivé par défaut, seul un propriétaire peut le modifier, et il est suggéré aux professions tenues au secret ; il couvre aussi le manager et désactive le routage intelligent des modèles. Chaque voie compte séparément (Claude via Anthropic n’inclut pas AWS Bedrock), un modèle d’assistance choisi par un propriétaire dans les Réglages compte comme attribué, et la recherche web (Tavily) et les applications connectées comme DeepL ne sont pas des fournisseurs de modèles d’IA : elles suivent les accès aux outils de chaque employé. Les modèles de la région Chine (Kimi, Qwen, Z.AI) ne s’exécutent que si vous activez au préalable la région Chine sur la page Sécurité. Les fournisseurs marqués « bientôt disponible » dans le produit ne peuvent pas encore être activés. La liste complète — identique à la liste des sous-traitants ultérieurs affichée sur la page Sécurité de l’application :
  • Claude — Anthropic Ireland, Limited and Anthropic PBC, États-Unis ou monde entier (le fournisseur peut router les requêtes à l'échelle mondiale) (CCT reconnues par le PFPDT ; Swiss-US DPF si certifié)
  • Kimi — Moonshot AI, Chine (ni adéquation ni CCT — uniquement avec votre base au sens de l'art. 17 LPD)
  • OpenAI — OpenAI Ireland Limited and OpenAI, États-Unis (CCT reconnues par le PFPDT ; Swiss-US DPF si certifié)
  • Gemini — Google, États-Unis ou monde entier (le fournisseur peut router les requêtes à l'échelle mondiale) (CCT reconnues par le PFPDT ; Swiss-US DPF si certifié)
  • Grok — xAI Corp., États-Unis (CCT reconnues par le PFPDT ; Swiss-US DPF si certifié)
  • Mistral — Mistral AI, UE (protection adéquate (annexe 1 OPDo))
  • AWS Bedrock — Amazon Web Services (Bedrock, EU regions), UE et Suisse (Francfort, Zurich, Stockholm, Milan, Espagne, Irlande, Paris) (État adéquat ; CCT pour les accès depuis le groupe américain du fournisseur)
  • Azure Foundry — Microsoft (Azure AI Foundry, EU data zone), UE, peut inclure la Suisse et la Norvège (État adéquat ; CCT pour les accès depuis le groupe américain du fournisseur)
  • OpenAI EU — OpenAI (European data residency, eu.api.openai.com), EEE et Suisse (État adéquat ; CCT pour les accès depuis le groupe américain du fournisseur)
  • Vertex AI EU — Google Cloud (Vertex AI, EU multi-region), UE (État adéquat ; CCT pour les accès depuis le groupe américain du fournisseur)
  • Azure Foundry (global) — Microsoft (Azure AI Foundry, global routing), monde entier (CCT reconnues par le PFPDT ; Swiss-US DPF si certifié)
  • NVIDIA NIM — NVIDIA Corporation (NVIDIA NIM), États-Unis (CCT reconnues par le PFPDT ; Swiss-US DPF si certifié)
  • Qwen — Alibaba Cloud (intl: Singapore), Singapour (stockage) ; traitement sur des nœuds internationaux dans le monde entier, hors Chine continentale (ni adéquation ni CCT — uniquement avec votre base au sens de l'art. 17 LPD)
  • Z.AI — Z.AI / Zhipu (Beijing), Chine (ni adéquation ni CCT — uniquement avec votre base au sens de l'art. 17 LPD)
  • DeepSeek — DeepSeek (Hangzhou), Chine (ni adéquation ni CCT — uniquement avec votre base au sens de l'art. 17 LPD)
  • MiniMax — MiniMax (Shanghai; intl endpoint), Chine (ni adéquation ni CCT — uniquement avec votre base au sens de l'art. 17 LPD)
  • Xiaomi MiMo — Xiaomi (MiMo API), Chine (ni adéquation ni CCT — uniquement avec votre base au sens de l'art. 17 LPD)
  Lorsque la synthèse quotidienne des connaissances est activée (réglage par défaut), un résumé abrégé du travail accompli dans la journée est en outre distillé dans la base de connaissances de votre espace de travail par un modèle d’IA choisi selon les mêmes règles de fournisseur et de résidence — vous pouvez la désactiver dans les Réglages. Lorsque le journal quotidien facultatif est activé dans les Réglages (désactivé par défaut), un fournisseur du même type reçoit les mandats et résultats abrégés des exécutions de la journée afin de rédiger un résumé lisible pour le propriétaire. Lorsque vous choisissez de remplir les informations légales depuis le web, OpenAI (États-Unis) reçoit le nom de l’entreprise ainsi que le site web, l’IDE et l’adresse que vous indiquez pour consulter des sources publiques. Cette recherche facultative respecte les règles de modèles et de résidence de votre espace ; les valeurs sont enregistrées uniquement lorsque vous enregistrez les réglages.
• Fournisseurs de connecteurs (uniquement ceux que vous connectez, et seulement pour les actions que vous autorisez) : p. ex. Bexio, Stripe, Slack, Microsoft 365, Google Workspace, WhatsApp, Threema et d’autres répertoriés sur la page Intégrations. Pour les connecteurs Google Workspace (Gmail, Google Calendar, Google Drive), l’utilisation par Entumo des informations reçues des API Google respecte la Google API Services User Data Policy, y compris ses exigences « Limited Use » — en particulier, nous ne conservons, n’utilisons ni ne transférons les données obtenues via les API Google Workspace pour développer, améliorer ou entraîner des modèles d’IA ou d’apprentissage automatique généralisés (non personnalisés), et nous ne les transférons pas à des fins publicitaires. Ce qu’un employé lit dans un service Google ou en fait reste dans l’historique d’exécution de cette tâche dans votre espace de travail jusqu’à ce que vous supprimiez l’exécution ou l’espace, et ce qu’il lit est transmis au fournisseur de modèles d’IA qui le fait fonctionner (voir ci-dessus) ; l’application vous l’indique avant de vous envoyer vers Google. Pour les connecteurs X (publications et publicité), les agents n’agissent sur votre compte X et votre compte X Ads qu’après votre connexion via « Sign in with X » et uniquement pour les actions que vous autorisez — par exemple publier un post que vous avez approuvé, lire vos posts et mentions, ou rapporter la performance des campagnes publicitaires ; les campagnes sont créées à l’état de brouillon en pause, et leur activation, leur mise en pause ou la modification de leur budget requièrent toujours votre approbation explicite. Les données échangées avec X à cette occasion sont traitées par X Corp. (États-Unis) conformément à la politique de confidentialité de X ; nous n’utilisons les données reçues des API de X que pour exécuter ces actions pour votre compte et ne les utilisons pas pour entraîner des modèles d’IA ou d’apprentissage automatique.
• Recherche web (l’outil web_search) : AlphaAI Technologies Inc., exerçant sous le nom Tavily (États-Unis), reçoit les requêtes de recherche qu’un agent formule en travaillant sur votre mandat — une telle requête peut refléter le contenu de ce mandat. Les conditions standard de Tavily lui permettent d’utiliser les données de requête pour améliorer ses services et de transmettre les requêtes à ses propres prestataires de recherche et d’IA ; tant que nous n’avons pas convenu avec Tavily de conditions de traitement qui l’excluent, partez du principe que les requêtes lui sont communiquées à ces conditions, tenez les données personnelles, numéros d’identification et informations confidentielles à l’écart des mandats utilisant la recherche web, ou retirez l’outil à l’agent. La recherche web ne s’exécute que pour les agents disposant de cet outil ; le chercheur de l’équipe de départ l’a d’emblée, et vous pouvez le retirer à tout agent. (CCT reconnues par le PFPDT ; Swiss-US DPF si certifié)
• Recherche web dans un espace hébergé dans l’UE (l’outil web_search) : Mistral AI (UE) effectue la recherche et transmet la requête formulée par un agent à Brave Software, Inc. (États-Unis), qui exploite le service de recherche. Une requête peut refléter le contenu de votre mandat, et elle quitte l’UE bien que l’espace soit hébergé dans l’UE. Elle est désactivée lorsque votre espace est limité aux fournisseurs auxquels ses employés sont affectés, et ne s’exécute que pour les agents disposant de l’outil. Tenez les données personnelles, numéros d’identification et informations confidentielles à l’écart des mandats utilisant la recherche web, ou retirez l’outil à l’agent. (CCT reconnues par le PFPDT ; Swiss-US DPF si certifié)
• Embeddings (recherche dans la base de connaissances) : OpenAI (États-Unis) calcule les représentations vectorielles (embeddings) des documents que vous téléversez — uniquement lorsque votre politique de résidence des données autorise un traitement aux États-Unis. Sinon, notamment dans un espace hébergé dans l’UE, Mistral AI (UE) les calcule ; un modèle local n’est utilisé que là où Mistral n’est pas configuré. (CCT reconnues par le PFPDT ; Swiss-US DPF si certifié)
• Génération de vidéo (l’outil optionnel generate_video) : lorsque le moteur Seedance est configuré sur notre déploiement, BytePlus (une société de ByteDance) reçoit l’invite vidéo rédigée par un agent et la traite en Malaisie (Johor) et/ou en Indonésie (Jakarta). Seedance est considéré comme un fournisseur de la région Chine et n’est donc accessible que si vous avez activé la région Chine dans votre politique de résidence des données (désactivée par défaut) ; sinon, la vidéo est générée par Google Veo ou HeyGen (tous deux aux États-Unis), ou pas du tout. (ni adéquation ni CCT — uniquement avec votre base au sens de l'art. 17 LPD)
• Génération de vidéo (l’outil optionnel generate_video) : lorsque le moteur HeyGen est configuré sur notre déploiement, HeyGen Technology Inc. (États-Unis) reçoit l’invite vidéo rédigée par un agent et la traite aux États-Unis (chez Amazon Web Services) ; votre politique de résidence des données continue d’encadrer chaque appel. Selon sa politique de confidentialité, HeyGen peut utiliser ce qu’il reçoit pour entraîner ses modèles, sauf si le compte s’y est opposé. (CCT reconnues par le PFPDT ; Swiss-US DPF si certifié)
• Génération d’images (le moteur optionnel FLUX de l’outil generate_image et le panneau « Créer une image » sous Marketing) : lorsque FLUX est configuré sur notre déploiement, BFL GmbH (Black Forest Labs, Fribourg-en-Brisgau, Allemagne) reçoit la description d’image rédigée par une personne ou un agent, ainsi que vos propres images de marque choisies comme point de départ pour cette image. Nous utilisons son point d’accès européen, qui traite les données dans des régions de l’UE ; votre politique de résidence des données continue d’encadrer chaque appel. Selon sa politique de confidentialité, Black Forest Labs peut utiliser les invites, les images envoyées et les résultats pour entraîner ses modèles, sauf si le compte s’y est opposé. (protection adéquate (annexe 1 OPDo))
• Sortie vocale (réponses lues à voix haute) : si elle est configurée sur notre déploiement, ElevenLabs, Inc. (États-Unis) reçoit le texte d’une réponse que vous faites lire, afin d’en synthétiser la voix ; votre politique de résidence des données continue d’encadrer chaque appel. Une réponse peut aussi être vocalisée par Mistral (UE), Google (États-Unis) ou OpenAI (États-Unis) de la liste ci-dessus, et chaque réponse vocalisée nomme son fournisseur dans la réponse. (CCT reconnues par le PFPDT ; Swiss-US DPF si certifié)
• Sortie vocale : Cartesia AI, Inc. (États-Unis) reçoit les mêmes données, à la même fin et aux mêmes conditions, lorsqu’il s’agit du fournisseur vocal configuré sur notre déploiement. (CCT reconnues par le PFPDT ; Swiss-US DPF si certifié)
• Sortie vocale : HeyGen Technology Inc. (États-Unis) reçoit les mêmes données, à la même fin et aux mêmes conditions, lorsque HeyGen Voice est configuré sur notre déploiement, et les traite aux États-Unis (chez Amazon Web Services). Selon sa politique de confidentialité, HeyGen peut utiliser ce qu’il reçoit pour entraîner ses modèles, sauf si le compte s’y est opposé. (CCT reconnues par le PFPDT ; Swiss-US DPF si certifié)
• Sortie vocale, uniquement sur choix : Fish Audio reçoit le texte d’une réponse que vous faites lire, afin d’en synthétiser la voix, lorsqu’il est configuré sur notre déploiement et qu’un propriétaire de votre espace l’a choisi comme voix de l’espace. Fish Audio ne publie pas où il traite les données ; nous ne pouvons donc pas nommer l’État. Aucune garantie pour une communication à l’étranger n’est connue, et la communication repose sur votre propre base au sens de l’art. 17 LPD. Il n’est jamais utilisé automatiquement et n’est proposé que lorsque votre politique de résidence des données autorise toutes les régions. (ni adéquation ni CCT — uniquement avec votre base au sens de l'art. 17 LPD)
• Conversation vidéo (la fonction facultative de conversation vidéo) : si elle est configurée sur notre déploiement, Tavus Inc. (États-Unis) héberge la conversation vidéo en direct que vous ouvrez avec un assistant IA et reçoit l’audio de votre micro et, si vous l’activez, l’image de votre caméra pendant la durée de la conversation. Nous n’envoyons rien de votre espace de travail, nous n’enregistrons pas la conversation, et l’assistant IA vous indique au début et à l’écran qu’il est une IA. Selon les conditions propres de Tavus, celle-ci peut conserver la conversation et l’utiliser pour améliorer son service. La salle est affichée depuis une adresse du fournisseur de vidéo en temps réel Daily, que Tavus utilise (chiffre 9). Votre politique de résidence des données et votre périmètre de fournisseurs continuent d’encadrer la fonction, et Tavus ne traite rien pour un espace qui n’ouvre pas de conversation. (CCT reconnues par le PFPDT ; Swiss-US DPF si certifié)
• Vérification du mot de passe (inscription, réinitialisation et changement de mot de passe) : Have I Been Pwned (exploité par Superlative Enterprises Pty Ltd de Troy Hunt, Australie) reçoit les cinq premiers caractères hexadécimaux d’un SHA-1 du mot de passe que vous avez choisi, via l’API de plage en k-anonymat, afin de refuser un mot de passe déjà présent dans une fuite publique. Ces cinq caractères sont communs à des centaines de milliers de mots de passe possibles et ne peuvent pas vous être rattachés — ce ne sont pas des données personnelles. Le mot de passe lui-même ne quitte jamais notre serveur. Une liste locale de mots de passe courants s’applique toujours si ce service est injoignable. (aucune donnée personnelle transmise)
• Hébergement : Render Services, Inc. (États-Unis) exploite l’application dans sa région de Francfort (Allemagne) ; ses systèmes de gestion et son flux de journaux sont exploités aux États-Unis. (CCT reconnues par le PFPDT ; Swiss-US DPF si certifié)
• Base de données : la base de données PostgreSQL est fournie par Neon (Databricks, Inc., États-Unis) sur Amazon Web Services à Francfort (Allemagne, région eu-central-1) ; la plateforme Neon recourt à Grafana Labs (États-Unis) pour des services d’infrastructure. (État adéquat ; CCT pour les accès depuis le groupe américain du fournisseur)
• Stockage d’objets (fichiers produits par vos agents, documents classés dans votre espace et sauvegardes nocturnes de la base de données décrites sous « Conservation ») : Cloudflare R2 (Cloudflare, Inc., États-Unis), dans la région de stockage choisie à la création du stockage. (CCT reconnues par le PFPDT ; Swiss-US DPF si certifié)
• Réseau edge et vérification anti-robot : Cloudflare, Inc. (États-Unis) sert de CDN et de proxy inverse devant l’application. Tout le trafic entre votre navigateur et Entumo — y compris les contenus que vous envoyez et recevez — transite, déchiffré le temps de la transmission, par le centre de données le plus proche de son réseau mondial ; Cloudflare ne conserve pas les contenus de votre espace et journalise les métadonnées de requête (adresse IP, URL demandée). Lorsque la vérification anti-robot est activée sur notre déploiement, l’ouverture des pages d’inscription, de connexion ou de réinitialisation du mot de passe charge le contrôle Turnstile de Cloudflare, qui reçoit votre adresse IP et les signaux du navigateur nécessaires pour distinguer les personnes des robots. Le traitement de ces données par Cloudflare est décrit dans l’addendum de confidentialité Cloudflare Turnstile. (CCT reconnues par le PFPDT ; Swiss-US DPF si certifié)
• Envoi d’e-mails (e-mails du compte — vérification, invitations, réinitialisation du mot de passe — et notifications que vous configurez, p. ex. alertes d’approbation ou de fin d’exécution, qui peuvent citer un court résumé rédigé par un agent) : Plus Five Five, Inc., exerçant sous le nom Resend (États-Unis), reçoit l’adresse e-mail du destinataire et le contenu du message — y compris les e-mails vers notre propre boîte aux lettres qui relaient une demande d’accès, un signalement de bug ou un signalement d’abus et qui peuvent contenir le nom, l’adresse e-mail et le texte de l’auteur du signalement. (CCT reconnues par le PFPDT ; Swiss-US DPF si certifié)
• Traitement des paiements (notre propre facturation, indépendante de tout connecteur que vous ajoutez) : Stripe Payments Europe, Ltd. (Irlande) et Stripe, Inc. (États-Unis) traitent les coordonnées de facturation et le moyen de paiement du titulaire du compte pour les abonnements et les recharges de crédits. (CCT reconnues par le PFPDT ; Swiss-US DPF si certifié)
• Suivi des erreurs : lorsque le suivi des erreurs est activé sur notre déploiement, Sentry (Functional Software, Inc., États-Unis ; données stockées dans sa région UE en Allemagne) reçoit les rapports d’erreur de notre serveur et de votre navigateur — type d’erreur, message et pile d’appels, avec des identifiants pseudonymes d’utilisateur et d’espace et l’adresse de la page sans sa partie requête. Les rapports sont expurgés des identifiants secrets et ne contiennent jamais vos documents ; un message d’erreur peut occasionnellement citer un court fragment des données en cours de traitement, par exemple une adresse e-mail. (État adéquat ; CCT pour les accès depuis le groupe américain du fournisseur)
• OpenAI comme fournisseur de connexion (pas un sous-traitant) : uniquement si vous choisissez la connexion avec ChatGPT, vous vous connectez directement chez OpenAI (États-Unis), qui apprend ainsi que vous utilisez Entumo et nous transmet les données citées au chiffre 2. OpenAI traite cette connexion en tant que responsable indépendant, selon sa propre politique de confidentialité ; nous ne lui transmettons rien de votre espace de travail.
• Registres publics suisses (pas des sous-traitants) : lorsqu’un agent recherche une entreprise ou consulte la feuille officielle, le registre fédéral IDE (Office fédéral de la statistique) et la Feuille officielle suisse du commerce (SECO) reçoivent le nom ou l’IDE recherché — pour une entreprise individuelle, cela peut être le nom d’une personne ; une recherche de taux de change (Office fédéral de la douane et de la sécurité des frontières) ne reçoit qu’une date.
• Partenaires : un partenaire qui a recommandé votre espace (voir chiffre 2) en voit le nom et la date de création.

Version et historique de cette liste. Version actuelle: 2026-10-18.

• 2026-10-18: Ajout de NVIDIA Corporation (NVIDIA NIM, États-Unis) comme fournisseur de modèles facultatif (Nemotron 3.5 Super VL 120B) ; actif uniquement s'il est configuré et lorsque la politique de résidence des données de l'espace autorise les États-Unis, et pour les espaces créés avant le 18 octobre 2026, il démarre le 17 novembre 2026, ou plus tôt si un propriétaire accepte cette liste. En outre, les rôles d'OpenAI et de Google nomment désormais chaque usage que la politique de confidentialité décrit déjà : outre les modèles d'agents, OpenAI transcrit les dictées, lit les réponses à voix haute et génère des images ; Google transcrit les dictées, génère des images et exploite le moteur vidéo Veo — chacun uniquement s'il est configuré et lorsque la politique de résidence des données de l'espace autorise les États-Unis.
• 2026-10-17: Ajout de BFL GmbH (Black Forest Labs, Fribourg-en-Brisgau, Allemagne) comme moteur facultatif de génération d'images (FLUX). Il reçoit la description d'image rédigée par une personne ou un agent, ainsi que les images de marque de l'espace choisies comme modèle pour cette image. Nous utilisons son point d'accès européen, qui traite les données dans des régions de l'UE. Selon sa politique de confidentialité, Black Forest Labs peut utiliser les invites, les images envoyées et les résultats pour entraîner ses modèles, sauf si le compte s'y est opposé. Il ne fonctionne que s'il est configuré sur notre déploiement. Pour les espaces créés avant le 17 octobre 2026, il démarre le 16 novembre 2026, ou plus tôt si un propriétaire accepte cette liste.
• 2026-10-16: Ajout de HeyGen Technology Inc. (États-Unis) pour deux fonctions facultatives : HeyGen Voice comme voix pour les réponses lues à voix haute — HeyGen reçoit le texte d'une réponse que vous faites lire, afin d'en synthétiser la voix — et HeyGen Video comme moteur de l'outil de génération de vidéo — HeyGen reçoit l'invite vidéo rédigée par un agent. HeyGen traite les données aux États-Unis (chez Amazon Web Services) ; la communication repose sur les clauses contractuelles types et le Swiss-US Data Privacy Framework. Selon sa politique de confidentialité, HeyGen peut utiliser ce qu'il reçoit pour entraîner ses modèles, sauf si le compte s'y est opposé. Les deux ne fonctionnent que s'ils sont configurés sur notre déploiement et uniquement lorsque la politique de résidence des données de l'espace autorise les États-Unis. Pour les espaces créés avant le 16 octobre 2026, ils démarrent le 15 novembre 2026, ou plus tôt si un propriétaire accepte cette liste.
• 2026-10-14: Ajout de Fish Audio (modèle vocal Drama 3) comme voix facultative pour les réponses lues à voix haute. Fish Audio reçoit le texte d'une réponse que vous faites lire, afin d'en synthétiser la voix. Fish Audio ne publie pas où il traite les données ; sa localisation est donc indiquée comme inconnue et aucune garantie de transfert n'est connue. Il n'est jamais utilisé automatiquement : uniquement si un propriétaire le choisit comme voix de l'espace, et uniquement lorsque la politique de résidence des données de l'espace autorise toutes les régions. Pour les espaces créés avant le 14 octobre 2026, il peut être choisi à partir du 13 novembre 2026, ou plus tôt si un propriétaire accepte cette liste.
• 2026-10-07: Recherche web pour les espaces hébergés dans l'UE : Mistral AI (UE), déjà listé, effectue la recherche et transmet la requête à Brave Software, Inc. (États-Unis). Une requête de recherche quitte donc l'UE, même dans un espace hébergé dans l'UE. Elle est désactivée lorsqu'un espace est limité à ses fournisseurs affectés. Pour les espaces créés avant le 7 octobre 2026, elle commence le 6 novembre 2026, ou plus tôt si un propriétaire accepte cette liste.
• 2026-10-06: Mistral AI (UE), déjà listé, calcule désormais aussi les embeddings de texte pour la recherche dans la base de connaissances partout où l'embedder d'OpenAI ne peut pas être utilisé — notamment dans les espaces hébergés dans l'UE, qui utilisaient jusqu'ici un embedder local — et est le fournisseur de modèles par défaut des espaces hébergés dans l'UE. Pour les espaces créés avant le 6 octobre 2026, Mistral calcule les embeddings à partir du 5 novembre 2026, ou plus tôt si un propriétaire accepte cette liste. Aucun sous-traitant ajouté ; aucun lieu de traitement ni fondement de transfert modifié.
• 2026-10-04: Ajout de Xiaomi MiMo comme fournisseur de modèles facultatif dans la région Chine. Actif uniquement si configuré et autorisé ; les espaces existants exigent le délai de notification ou une acceptation anticipée du propriétaire.
• 2026-10-03: Mise à jour du nom du modèle par défaut du manager, de GPT-6 Sol à GPT-6.1 Sol. Aucun sous-traitant, lieu de traitement ou fondement de transfert ajouté ou modifié.
• 2026-10-02: Ajout de Tavus Inc. (États-Unis) pour la fonction facultative de conversation vidéo : une conversation vidéo en direct qu'une personne ouvre avec un assistant IA. Pendant la conversation, Tavus reçoit l'audio du microphone de la personne et, si elle l'active, l'image de sa caméra, et héberge la salle de conversation. Rien n'est envoyé depuis l'espace de travail. La fonction est désactivée tant que nous ne la configurons pas, n'est disponible que pour les espaces dont la politique de résidence des données autorise les États-Unis et dont le périmètre de fournisseurs n'est pas limité aux fournisseurs affectés, et indique toujours à la personne qu'elle parle à une IA. Selon les conditions de Tavus, celle-ci peut conserver la conversation et l'utiliser pour améliorer son service. Elle ne traite rien pour un espace qui n'ouvre pas de conversation.
• 2026-09-30: Corrections ; aucun sous-traitant ajouté ni remplacé. Les localisations indiquent désormais où le traitement peut réellement avoir lieu : Anthropic et Google aux États-Unis ou dans le monde entier (Anthropic route les requêtes à l'échelle mondiale par défaut ; Google peut journaliser ou mettre en cache temporairement dans tout pays où il est actif) ; Alibaba Cloud avec stockage à Singapour et traitement sur des nœuds internationaux hors Chine continentale ; BytePlus en Malaisie et/ou en Indonésie ; Render en Allemagne pour l'application, avec ses systèmes de gestion et ses journaux aux États-Unis ; Cloudflare R2 n'est plus décrit comme juridiction UE (la région est choisie à la création du stockage). Les parties contractantes sont nommées : Anthropic Ireland, OpenAI Ireland, Databricks pour Neon, Plus Five Five pour Resend et AlphaAI Technologies pour Tavily. OpenAI est décrit comme modèle par défaut du manager, les conditions de Tavily sur l'utilisation des requêtes sont indiquées, et le périmètre de Resend comprend les e-mails vers notre propre boîte aux lettres concernant les demandes d'accès, les bugs et les abus.
• 2026-09-23: Ajout de deux fournisseurs de modèles résidant dans l'UE pour les espaces hébergés dans l'UE : la région européenne de résidence des données d'OpenAI (eu.api.openai.com — OpenAI figure déjà dans la liste ; traitement et stockage en Europe) et la multirégion UE de Google Cloud Vertex AI (Gemini et Claude Fable, traitement ML dans des États membres de l'UE). Aucun des deux ne traite quoi que ce soit pour un espace qui n'utilise pas ses modèles. Dans la même révision, chaque entrée indique l'État du traitement et la base de la communication, et les sous-traitants de la plateforme (Render, Neon, Cloudflare R2 et edge, Resend, Stripe, Sentry) — déjà nommés dans la politique de confidentialité — font partie de la liste versionnée. Deux localisations ont été corrigées, non modifiées : Have I Been Pwned est exploité depuis l'Australie (il reçoit un préfixe de hachage de cinq caractères, pas une donnée personnelle) et le moteur vidéo Seedance traite à Johor, en Malaisie.
• 2026-08-13: Ajout de Have I Been Pwned (Troy Hunt). À l'inscription, à la réinitialisation et au changement de mot de passe, nous envoyons les cinq premiers caractères hexadécimaux d'un SHA-1 du mot de passe choisi à l'API de plage en k-anonymat, afin de refuser un mot de passe déjà présent dans une fuite publique. Le mot de passe lui-même ne quitte jamais le serveur.
• 2026-08-07: Première publication versionnée. Aucun sous-traitant ajouté ni retiré — la liste est celle déjà en vigueur ; cette révision lui ajoute seulement une version et un historique des modifications.

Nous ne vendons pas de données personnelles. Chaque sous-traitant recourt à ses propres sous-traitants ultérieurs selon ses propres conditions ; ils figurent dans les listes publiées par ces sous-traitants. Nous ne communiquons des données personnelles aux autorités que sur la base d’une décision suisse ou d’une obligation légale, et nous examinons chaque demande. Nous ne remettons pas de données directement à une autorité ou à un tribunal étranger sans procédure reconnue en Suisse (entraide judiciaire ; art. 271 et 273 du Code pénal suisse) et nous renvoyons ces demandes à cette voie. Lorsqu’une demande concerne votre espace, nous vous en informons au préalable, sauf si la loi ou la décision de l’autorité l’interdit (conditions, chiffre 12 let. a). Cela ne lie pas nos sous-traitants, qui sont soumis au droit de leurs propres États et peuvent recevoir directement des injonctions (voir chiffre 5).

5. Communication à l’étranger

Notre application et notre base de données fonctionnent à Francfort (Allemagne), un État offrant un niveau de protection adéquat (annexe 1 OPDo) ; nos fichiers et sauvegardes sont stockés chez Cloudflare R2, dans la région indiquée au chiffre 4. Plusieurs sous-traitants appartiennent à des groupes américains, et certains traitent des données aux États-Unis ou dans le monde entier — en particulier Anthropic (Claude), qui fait fonctionner l’équipe par défaut et qui, le fournisseur pouvant router les requêtes n’importe où dans son réseau, peut les traiter aux États-Unis ou ailleurs dans le monde, OpenAI, qui fait fonctionner le manager par défaut, le réseau de Cloudflare et, pour la conversation vidéo facultative, Tavus. Pour ces destinataires, et pour les accès depuis les États-Unis, nous nous appuyons sur les clauses contractuelles types de l’UE dans la version reconnue par le Préposé fédéral à la protection des données et à la transparence (avec les adaptations suisses) et, pour les destinataires certifiés, sur le Swiss-US Data Privacy Framework. L’État et la base de chaque sous-traitant figurent au chiffre 4. Anthropic est contractuellement tenu de ne pas utiliser vos contenus pour entraîner ses modèles. Les fournisseurs de modèles peuvent conserver les entrées et sorties pendant des durées limitées selon leurs propres conditions — par exemple pour la détection d’abus et le contrôle de sécurité, et plus longtemps lorsque leurs systèmes de sécurité signalent un contenu — indépendamment de la durée pendant laquelle nous les conservons. La politique de résidence des données (page Sécurité) détermine quelles juridictions peuvent traiter vos données (UE/USA/CN) ; elle est appliquée de manière restrictive (fail-closed) et est réglée par défaut sur l’UE et les États-Unis, de sorte qu’aucune donnée n’atteint un fournisseur de la région Chine à moins que vous n’activiez expressément la région Chine. Les fournisseurs optionnels de la région Chine (Moonshot/Kimi et Z.AI en Chine ; Alibaba Cloud/Qwen avec stockage à Singapour et traitement sur des nœuds internationaux dans le monde entier, hors Chine continentale) sont utilisés selon leurs propres conditions d’API standard ; nous n’avons pas conclu de clauses contractuelles types avec eux et leurs conditions peuvent leur permettre d’utiliser les contenus pour améliorer leurs services ; il en va de même du moteur vidéo Seedance de BytePlus (Malaisie et/ou Indonésie), lorsqu’il est configuré sur notre déploiement, et de Fish Audio, qui ne publie pas où il traite les données et ne lit une réponse que si un propriétaire le choisit et que toutes les régions, y compris la Chine, sont activées. Activer la région Chine et confier du travail à ces modèles constitue une communication vers des États sans décision d’adéquation et sans garanties supplémentaires — ne le faites que pour des données pour lesquelles vous disposez, en tant que responsable du traitement, d’une base légale au sens de l’art. 17 nLPD (en particulier le consentement exprès des personnes concernées). Si le RGPD s’applique à votre traitement, n’activez pas la région Chine pour des données personnelles : il n’existe pour ces fournisseurs ni instrument de transfert ni conditions au sens de l’art. 28 par. 4 RGPD. Un fournisseur qui n’offre même pas les engagements contractuels de protection des données que nous exigeons d’un sous-traitant ultérieur n’est pas proposé du tout : DeepSeek, par exemple, apparaît comme « bientôt disponible » et ne peut être ni sélectionné ni activé.

Hébergement UE. Si vous choisissez l’hébergement UE à la création d’un espace — ou ne laissez cochée que la région UE sur la page Sécurité —, votre traitement IA n’utilise que les zones européennes des fournisseurs : AWS Bedrock UE (Francfort, Zurich, Stockholm, Milan, Espagne, Irlande, Paris), la zone de données UE de Microsoft Azure (qui peut inclure la Suisse et la Norvège), la région européenne d’OpenAI (EEE et Suisse), Google Cloud Vertex AI UE et Mistral — tous dans des États offrant une protection adéquate. À l’exception de Mistral, ces zones sont exploitées par des sociétés de groupes américains ; un accès depuis les États-Unis ne peut donc être exclu, et les garanties ci-dessus le couvrent. Les fonctions sans fournisseur européen sont indisponibles dans un espace hébergé dans l’UE : génération d’images et de vidéos, conversation vidéo et fournisseurs vocaux américains. La recherche web passe par Mistral AI (UE), qui transmet la requête à Brave Software, Inc. (États-Unis) ; une requête de recherche quitte donc l’UE, et la recherche est désactivée lorsque l’espace est limité à ses fournisseurs affectés. Les embeddings de la base de connaissances sont calculés par Mistral AI (UE) au lieu d’OpenAI, et Mistral est le fournisseur de modèles par défaut. L’hébergement UE ne change ni les sous-traitants de la plateforme — le réseau de Cloudflare, Stripe, Resend et Sentry, Render et Neon — ni les connecteurs que vous choisissez. Il n’est proposé que si notre déploiement dispose d’un fournisseur européen configuré.

6. Traitement assisté par l’IA et décisions automatisées

Entumo utilise des agents IA qui lisent les données et agissent automatiquement ; vous interagissez avec un système d’IA et le travail produit est généré par l’IA, qui peut être incomplet ou incorrect — vérifiez-le avant de vous y fier. Fonctionnement : un employé reçoit votre mandat avec le contexte nécessaire — le profil de votre entreprise, les passages pertinents de votre base de connaissances, sa mémoire et ce qu’il lit dans les outils que vous avez connectés ou sur le web —, le transmet au modèle d’IA qui le fait fonctionner et propose ou exécute les actions que vous avez autorisées, dans le but d’accomplir le travail confié. Les actions ayant des conséquences réelles — déplacer de l’argent, contacter un client, écrire une écriture financière, signer — passent par un garde-fou qui les met en pause pour votre approbation humaine explicite avant leur exécution. Cette exigence d’approbation est le réglage par défaut ; le propriétaire d’un espace de travail peut assouplir certaines pauses ou passer le garde-fou en mode surveillance sur la page Sécurité (qui signale les implications) — le plafond de paiement, le blocage des suppressions irréversibles et le blocage des fuites d’identifiants restent appliqués dans tous les modes. Notre propre traitement de votre compte ne prend aucune décision individuelle automatisée vous concernant. Lorsque le travail de vos agents pourrait constituer une décision individuelle automatisée concernant une personne extérieure à votre entreprise (art. 21 nLPD), votre entreprise en est responsable et doit à cette personne l’information et un réexamen humain (chiffre 1) ; la pause d’approbation vous aide à les assurer. Entumo ne classe, ne filtre ni ne rejette les candidats à un emploi et n’évalue pas les employés : son processus de recrutement résume les candidatures au regard des critères que vous fixez et vous laisse chaque décision.

Transparence : Entumo est un système d’IA au sens du règlement (UE) 2024/1689 (règlement européen sur l’IA), et le Service vous indique lorsque vous interagissez avec un agent IA — le travail produit par vos agents leur est attribuable en tant que contenu généré par l’IA. L’assistant de la conversation vidéo est lui aussi une IA : il l’indique à l’ouverture de la conversation, une mention reste affichée à l’écran pendant toute la conversation, et il ne prend aucune décision à votre sujet. Lorsque vos agents écrivent à des personnes extérieures à votre entreprise, la plateforme elle-même place en tête du message une mention indiquant qu’il a été rédigé par un agent IA pour le compte de votre entreprise — sur les courriels envoyés via une messagerie ou un service d’e-mail connecté, les courriers postaux produits par la plateforme, les messages de messagerie instantanée et SMS, les réponses de support et aux avis ainsi que les autres canaux sortants qui transportent un texte rédigé par l’agent ; à la fin d’une publication publique sur les réseaux sociaux — et marque ces courriels d’un en-tête lisible par machine (art. 50 par. 1 et 2 du règlement européen sur l’IA, applicable depuis le 2 août 2026 ; le PFPDT considère lui aussi que les personnes ont le droit de savoir si elles correspondent avec une machine). Cette mention ne peut pas être désactivée. Les canaux d’équipe internes, les points de terminaison entre machines et les notifications qu’un fournisseur compose à partir de son propre modèle n’en portent pas ; lorsqu’un canal ne peut pas la porter (par exemple un modèle WhatsApp préapprouvé ou un connecteur personnalisé), l’agent a pour instruction de l’indiquer. Les images et vidéos générées par vos agents portent des métadonnées lisibles par machine qui les identifient comme générées par l’IA ; une image ou une vidéo générée qu’un agent publie sur X est en outre envoyée avec l’indicateur d’IA propre à X (made_with_ai) lorsque X l’accepte pour notre application, et sinon signalée dans le texte de la publication lorsque la place le permet ; et un agent refuse de représenter une personne réelle et identifiable sans que vous confirmiez le consentement de cette personne. Entumo lui-même n’entraîne aucun modèle avec vos données. Vos requêtes et contenus ne sont transmis aux fournisseurs de modèles d’IA décrits au chiffre 4 que pour générer la réponse ; ce qu’un fournisseur peut en faire dépend de ses conditions d’API — Anthropic (Claude) n’utilise pas les contenus de l’API pour entraîner ses modèles, tandis que les conditions standard de Moonshot AI (Kimi) lui permettent d’utiliser les contenus pour améliorer ses services, sauf accord écrit distinct. Les conditions de Mistral lui permettent d’utiliser les contenus pour entraîner ses modèles, sauf si le client s’y est opposé dans les réglages de son compte, et les conditions standard de Tavily lui permettent d’utiliser les requêtes comme décrit au chiffre 4. Les conditions de Tavus lui permettent de conserver une conversation vidéo et de l’utiliser pour améliorer son service (chiffre 4) ; qui ne le souhaite pas désactive la fonction en limitant les fournisseurs à ceux auxquels ses employés sont affectés (page Sécurité). Confiez le travail dont les contenus ne doivent pas être utilisés ainsi à des employés basés sur Claude et utilisez le réglage des fournisseurs du chiffre 4. Il en va de même pour tout autre fournisseur sélectionnable — par exemple Alibaba Cloud (Qwen), Z.AI ou, dès qu’il sera proposé, DeepSeek : tant que la présente politique n’indique pas d’engagement de non-entraînement pour un fournisseur, partez du principe que ses conditions d’API autorisent une telle utilisation. La Suisse ne dispose actuellement d’aucune loi spécifique à l’IA : le traitement de données personnelles assisté par l’IA relève de la nLPD, et la Suisse a signé la Convention-cadre du Conseil de l’Europe sur l’intelligence artificielle, dont le Conseil fédéral entend mettre la mise en œuvre en consultation — nous en suivons l’évolution.

7. Conservation

Nous ne conservons les données personnelles que le temps nécessaire aux finalités ci-dessus. Concrètement : les données de compte tant que votre compte existe — vous pouvez le supprimer vous-même sur la page Sécurité, et il est alors retiré immédiatement du système actif ; comme les éléments que vous avez créés appartiennent à votre espace, votre nom et votre adresse e-mail y sont remplacés par une mention neutre (par exemple dans le journal d’audit de l’espace). Un compte dont l’adresse e-mail n’a jamais été confirmée et qui n’appartient à aucun espace est supprimé après 7 jours. Les données d’un espace sont conservées jusqu’à sa suppression — par son propriétaire à tout moment, ou par nous 90 jours après la fin de son abonnement payant non renouvelé, sauf s’il reste des crédits prépayés, si un litige de paiement est ouvert ou si un gel de suppression s’applique (vous pouvez l’exporter jusque-là) ; à la clôture de votre compte ou de votre espace, ou si vous demandez leur suppression, nous les supprimons dans les 30 jours — la suppression d’un espace de travail efface immédiatement ses enregistrements actifs d’agents, d’exécutions et de connexions du système actif. L’effacement des fichiers et la révocation auprès des fournisseurs se poursuivent selon le processus ci-dessous. Les journaux de requêtes et d’application (adresse IP, horodatage, user-agent et, pour les événements de compte, adresse e-mail ou identifiant d’utilisateur) n’existent que dans le flux de journaux de notre hébergeur et y sont supprimés automatiquement au plus tard après 30 jours — nous ne tenons aucune archive de journaux séparée. Les sessions de connexion prennent fin après 12 heures d’inactivité et au plus tard après 48 heures ; les compteurs anti-abus dans la journée qui suit leur fenêtre ; les statistiques d’utilisation après 180 jours ; les décomptes agrégés de pages après 365 jours ; les demandes d’accès après 12 mois. Le journal d’audit de l’espace conserve les 2000 dernières actions humaines et les 2000 dernières actions des agents et est supprimé avec l’espace. Lorsque la loi nous impose de conserver plus longtemps nos propres pièces — par exemple nos pièces comptables selon le Code suisse des obligations, comme le registre des crédits et les factures de votre abonnement — nous conservons ces pièces pendant la durée légale (en général 10 ans), puis nous les supprimons.

Vos pièces commerciales. Les justificatifs, lettres, contrats, pièces de clôture et autres documents que conserve votre espace de travail sont les pièces de votre entreprise, non les nôtres : nous les conservons jusqu’à ce que vous les supprimiez, ou l’espace, et ils sont supprimés avec l’espace. Entumo n’est pas un archivage au sens de l’ordonnance concernant la tenue et la conservation des livres de comptes (Olico). Votre entreprise doit conserver ses livres et pièces justificatives pendant dix ans (art. 958f CO) : conservez-les dans votre logiciel comptable ou une autre archive, et prenez l’export de l’espace et les fichiers avant de supprimer l’espace ou de laisser un abonnement prendre fin.

Pièces de vos accords. Chaque fois que vous acceptez les conditions — à l’inscription, par invitation ou par l’avis affiché après une nouvelle version —, nous conservons une pièce : la version des conditions et de la présente politique, une empreinte (SHA-256) de leur texte, la langue dans laquelle vous les avez lues, la manière dont vous les avez acceptées et l’heure ; nous n’enregistrons aucune adresse IP. Nous conservons le même type de pièce pour l’accord d’un propriétaire au rechargement automatique et à la région de données Chine (le propriétaire, l’heure, le texte et son empreinte), avec le portefeuille et les réglages de résidence des données de l’espace de travail. Si vous supprimez votre compte, les pièces d’acceptation subsistent, sans votre nom, votre adresse e-mail ni votre identifiant d’utilisateur, sous un pseudonyme à clé de l’adresse, pendant 10 ans, afin que nous puissions établir ce qui a été convenu en cas de prétention (délai de prescription de l’art. 127 CO) ; vos acceptations figurent dans l’export de votre compte.

Conversations vidéo. Nous n’enregistrons pas une conversation vidéo et n’en conservons ni audio, ni vidéo, ni transcription. La salle se ferme lorsque vous terminez la conversation, lorsque la limite de durée affichée avant le début est atteinte ou peu après votre départ. Nous ne conservons que l’entrée d’utilisation et de crédit correspondante — quand elle a eu lieu et ce qu’elle a coûté — comme pour toute autre imputation sur votre compte. La durée pendant laquelle Tavus conserve ce qu’elle a reçu est fixée par ses propres conditions (chiffre 4) ; nous ne fixons pas ce délai.

Nettoyage après suppression. Pour terminer l’effacement et retirer les accès de manière fiable, nous conservons un dossier à accès restreint contenant les identifiants d’espace et d’exécution, des copies chiffrées des identifiants de connexion et la configuration de stockage chiffrée nécessaire. Une révocation réussie retire les identifiants correspondants du dossier ; un échec d’effacement ou de révocation est réessayé et peut nécessiter une intervention de l’opérateur. Ce dossier n’est pas un espace actif et ne sert pas à lancer de nouvelles tâches métier. Des marqueurs minimaux de suppression et des métadonnées de suivi manuel peuvent subsister sans identifiants secrets ni contenu documentaire. La suppression locale ne prouve pas le retrait de l’accès ou la suppression des copies du fournisseur. Vous pouvez devoir révoquer l’accès directement chez lui. Le nettoyage reste soumis aux finalités et obligations de suppression ci-dessus ; les tentatives ne permettent pas une conservation indéfinie.

Sauvegardes. Afin de pouvoir rétablir le service après un incident de perte ou de corruption de données, une copie complète de notre base de données est écrite chaque nuit chez notre prestataire de stockage d’objets (Cloudflare R2). Elle couvre toutes les tables — y compris les données de compte, les contenus des espaces de travail et les identifiants de connecteurs chiffrés — et les 30 copies nocturnes les plus récentes sont conservées, chaque copie plus ancienne étant supprimée automatiquement. La suppression des enregistrements actifs de l’espace est immédiate comme décrit ci-dessus, et nous ne restaurons à partir d’une sauvegarde que le service dans son ensemble, jamais des enregistrements supprimés isolément ; une sauvegarde réalisée avant une suppression contient toutefois encore les données jusqu’à ce qu’elle sorte de cette fenêtre de 30 nuits.

Données de paiement. Lorsqu’un espace est supprimé — par vous, par nous après un abonnement échu ou avec votre compte —, son abonnement est résilié et nous demandons à Stripe, notre prestataire de paiement, de supprimer la fiche client de l’espace : nom, adresse e-mail, coordonnées de facturation et moyen de paiement enregistré. Cela s’exécute en arrière-plan après la suppression et se répète jusqu’à ce que Stripe le confirme ; si un litige de paiement est ouvert à ce moment, nous conservons la fiche client jusqu’à ce qu’une personne l’ait traité, et lorsque cela ne peut pas se faire automatiquement, une personne l’achève. Stripe conserve les enregistrements des paiements et des factures eux-mêmes selon ses propres règles de conservation et ses obligations légales, et nous conservons le registre des crédits et les factures pendant la durée légale (en général 10 ans). Une carte enregistrée peut aussi être retirée plus tôt, tant que l’espace existe, sur demande écrite.

Outre le nettoyage et les sauvegardes, certains éléments survivent à la suppression : nos propres pièces comptables ci-dessus et un signalement d’abus concernant votre espace de travail : nous conservons le signalement ainsi que l’instantané de preuve établi lors de son dépôt (le contenu signalé, sa somme de contrôle, l’agent qui l’a produit et les entrées d’audit correspondantes) aussi longtemps que nécessaire pour traiter le cas et pour constater, exercer ou défendre des droits en justice. La partie visée par un signalement contrôle toutes les fonctions de suppression du produit : des preuves qui disparaîtraient avec l’espace de travail feraient de sa suppression le moyen universel de les effacer. Les signalements encore ouverts ou escaladés sont conservés tant que le cas est ouvert. Un signalement jugé infondé est supprimé, avec ses preuves, 30 jours après sa dernière mise à jour ; un signalement ayant donné lieu à une mesure ou clos autrement, 2 ans après sa dernière mise à jour. Le nom et les coordonnées de l’auteur sont retirés d’un signalement tranché 30 jours après sa dernière mise à jour, et plus tôt sur demande sauf si un cas est en cours. Les signalements relatifs à du matériel d’abus sexuels sur des enfants ne sont pas supprimés automatiquement, car le droit pénal détermine la manière de les traiter. Un gel de suppression sur l’espace concerné suspend la suppression.

Signalements de bugs. Lorsque vous signalez un problème depuis l’application, nous conservons votre texte, le degré d’urgence que vous avez indiqué, votre nom, votre adresse e-mail et votre espace de travail et — uniquement si vous laissez la case cochée — la page où vous étiez (son adresse web sans la partie requête, afin qu’aucun lien à usage unique ne parte avec elle), votre langue, votre navigateur, la taille de votre écran et les dernières erreurs déjà enregistrées par votre navigateur. Nous les utilisons pour reproduire et corriger le problème et pour vous répondre. Ces données sont supprimées avec votre espace de travail. Un signalement envoyé avant que vous n’apparteniez à un espace de travail est conservé dans notre propre registre de plateforme, où les 500 plus récents sont conservés et les plus anciens supprimés automatiquement.

8. Sécurité

Les identifiants de connecteurs sont chiffrés au repos (AES-256-GCM, avec une clé dérivée par espace de travail) et déchiffrés uniquement côté serveur au moment où un connecteur s’exécute ; ils ne sont jamais renvoyés au navigateur. Les mots de passe ne sont stockés que sous forme de hachages salés et les identifiants de session uniquement sous forme d’empreintes ; la connexion à deux facteurs est obligatoire par défaut pour tout compte et les actions sensibles exigent de ressaisir votre mot de passe. La base de données et le stockage de fichiers sont chiffrés au repos par leurs fournisseurs, l’accès est limité par espace de travail et le transport se fait via HTTPS. Toute action d’agent ayant des conséquences passe par le garde-fou d’approbation et est consignée dans le journal d’audit de l’espace. La liste complète des mesures techniques et organisationnelles figure en annexe du chiffre 12 des conditions.

9. Cookies et stockage dans votre navigateur

Nous n’utilisons que des cookies internes strictement nécessaires et aucun cookie publicitaire ou de suivi ; aucune bannière de consentement n’est donc requise en droit suisse (art. 45c LTC) :

• vorenq_session — vous garde connecté ; prend fin après 12 heures d’inactivité, au plus tard après 48 heures.
• vorenq_stepup — confirme pendant 15 minutes que vous avez ressaisi votre mot de passe avant une action sensible.
• vorenq_company — l’espace de travail ouvert en dernier ; conservé 48 heures (la durée maximale d’une connexion) et supprimé à la déconnexion.
• vorenq_terms_ack — la version de nos conditions que vous avez confirmée ; un an.
• NEXT_LOCALE — votre langue : jusqu’à la fermeture du navigateur, ou un an lorsque vous choisissez vous-même la langue dans le menu des langues. Il est déposé lorsque vous choisissez une langue ou lorsque la langue de la page diffère de la langue présélectionnée pour vous ; cette présélection se fonde sur le pays que notre fournisseur réseau déduit de votre adresse IP, qui n’est pas enregistrée, ou sur la langue de votre navigateur.
• Des cookies d’état de courte durée (10 minutes) qui sécurisent la connexion d’un connecteur ou une connexion avec ChatGPT (oauth_chatgpt_login).
• Notre fournisseur réseau (Cloudflare) peut déposer un cookie de sécurité strictement nécessaire lorsqu’il filtre le trafic automatisé.

Les cookies que nous déposons portent l’attribut Secure : votre navigateur ne les envoie que par une connexion chiffrée. Dans le stockage local de votre navigateur, nous conservons votre thème clair/sombre, des préférences d’interface (conversations lues, commandes récentes, modes d’affichage, indications masquées, votre raccourci de dictée) et les brouillons non envoyés de messages — les brouillons sont supprimés à la déconnexion. Le stockage de session, qui se termine avec l’onglet, contient une copie temporaire des données de l’espace pour une navigation plus rapide (également effacée à la déconnexion ou au changement d’espace), un brouillon du formulaire d’accueil et le contexte marketing décrit au chiffre 2. Rien de tout cela n’est communiqué à des tiers. Vous pouvez bloquer ou supprimer les cookies et données de site dans votre navigateur ; sans le cookie de session, vous ne pouvez pas vous connecter, tandis que les pages publiques continuent de fonctionner. Cette appréciation suit le droit suisse ; si vous consultez le site depuis l’UE/EEE, notez que le contexte marketing du stockage de session (chiffre 2) n’est pas nécessaire au fonctionnement du site et que vous pouvez le refuser à tout moment en bloquant les données de site pour ce domaine.

Pendant une conversation vidéo, la salle vidéo est affichée depuis l’adresse tavus.daily.co, exploitée par le fournisseur de vidéo en temps réel Daily pour le compte de Tavus. Votre navigateur s’y connecte directement ; Daily reçoit donc votre adresse IP et des données techniques et peut conserver ses propres cookies ou son propre stockage local sur votre appareil pour la durée de la conversation — nous ne les déposons ni ne les lisons. Rien n’est chargé depuis cette adresse avant que vous appuyiez sur Démarrer.

10. Vos droits

Vous avez le droit d’obtenir des informations sur vos données — gratuitement, avec une réponse dans un délai de 30 jours —, de les recevoir dans un format électronique courant (portabilité), ainsi qu’à leur rectification, leur suppression, la limitation du traitement et à vous opposer au traitement. Vous pouvez en grande partie le faire vous-même : télécharger un export de vos données personnelles et supprimer votre compte sur la page Sécurité, y corriger votre nom et votre adresse e-mail et — en tant que propriétaire d’un espace — exporter l’espace sur la page Contrôle des données. Sinon, contactez-nous à info@momentumq.com ou par courrier à l’adresse indiquée au chiffre 1 ; nous pouvons vous demander de confirmer votre identité. Pour les données qu’une entreprise traite à votre sujet avec Entumo, adressez-vous à cette entreprise (chiffre 1). Les données que Tavus détient sur une conversation vidéo ne sont pas stockées par nous : écrivez-nous à l’adresse ci-dessus et nous transmettrons votre demande à Tavus. Vous pouvez déposer une réclamation auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT) ; si vous résidez dans l’UE/EEE, vous pouvez également saisir votre autorité nationale de protection des données.

Enfants. Entumo est un service destiné aux organisations et ne s’adresse pas aux enfants ; il faut avoir au moins 15 ans pour l’utiliser (conditions, section 2). Si vous pensez que des données personnelles d’un enfant ont été saisies dans Entumo, écrivez-nous à l’adresse ci-dessus ; nous les supprimons, sauf si la loi nous oblige à les conserver.

11. Modifications

Nous pouvons mettre à jour cette politique. Elle vous informe sur nos traitements ; elle ne fait pas partie des conditions et sa mise à jour ne les modifie pas — les modifications des parties auxquelles le chiffre 12 des conditions renvoie (liste des sous-traitants, tâches d’appui, suppression et conservation) suivent le chiffre 12 let. d et le chiffre 14 des conditions. Avant qu’un nouveau sous-traitant ultérieur ne commence à traiter les données d’un espace existant, nous en informons ses propriétaires par e-mail et sur la page Sécurité de l’application au moins 30 jours à l’avance, en indiquant la date à laquelle le changement prend effet ; un fournisseur de modèles d’IA nouvellement ajouté ne traite pas les données de votre espace avant cette date, sauf si un propriétaire accepte plus tôt la liste modifiée (conditions, chiffre 12 let. d, qui règle aussi votre droit d’opposition). Dernière mise à jour : 18 octobre 2026. Chaque version de cette politique est recensée ci-dessous, et les versions antérieures sont disponibles sur demande.

Historique des versions. 2026-10-18 : Les vacances et absences sont désormais supprimées automatiquement cinq ans après la fin de l’année au cours de laquelle elles ont pris fin (les créances de salaire se prescrivent par cinq ans, art. 128 CO), sauf pendant un gel de suppression ; les demandes ouvertes restent jusqu’à leur décision (chiffre 2, données des processus facultatifs). Auparavant, votre entreprise décidait de la durée de conservation.