Ce document fait l’objet d’ajustements rédactionnels réguliers pour en préciser les termes. Cette politique décrit les traitements applicables à la date indiquée ci-dessous ; les versions antérieures sont conservées afin de documenter l’évolution de nos pratiques. Les mentions suivies de « à confirmer », « confirmation à venir » ou « XXXXX » concernent des informations d’identification de la société en cours de finalisation et ne remettent pas en cause la substance des engagements décrits.
Politique de confidentialité
Version 1.1, en vigueur depuis le 19 octobre 2026
DUPAIN accompagne les professionnels dans l’organisation et l’analyse de leurs enquêtes internes. Cette politique explique comment les données personnelles sont traitées lors de la consultation de notre site, de nos échanges commerciaux et de l’utilisation de l’application.
1. Qui traite vos données ?
DUPAIN est exploité par DUPAIN LABS SAS (dénomination provisoire, société en cours de constitution), société par actions simplifiée de droit français dont le siège social sera situé en France (adresse à confirmer).
Pour toute question concernant le service ou vos données personnelles, contactez-nous à dupain.ai@gmail.com. Le contact protection des données de DUPAIN est joignable à la même adresse.
Notre rôle dépend des traitements :
- Pour le site, les demandes commerciales et la gestion administrative du service, DUPAIN agit en qualité de responsable du traitement.
- Pour les dossiers d’enquête confiés à l’application, DUPAIN agit en qualité de sous-traitant, sur les instructions documentées du client. Lorsque le client intervient lui-même comme sous-traitant, DUPAIN intervient comme sous-traitant ultérieur.
L’organisme responsable de l’enquête détermine ses finalités et son cadre juridique. Sa propre notice d’information complète la présente politique.
2. Quelles données traitons-nous ?
Selon votre relation avec DUPAIN, nous traitons les catégories suivantes :
- Coordonnées professionnelles : nom, prénom, email, fonction, organisation et, si nécessaire, pays et langue de correspondance.
- Comptes et accès : identifiant, organisation de rattachement, habilitations et informations nécessaires à l’authentification.
- Relation commerciale : demandes, rendez-vous, échanges, commandes, crédits d’enquête, factures et état des paiements.
- Données techniques : adresse IP, navigateur, connexions, événements de sécurité et informations nécessaires au diagnostic des erreurs.
- Dossiers d’enquête : documents et entretiens transmis, personnes citées, faits rapportés, événements, sources, commentaires, questions, résultats d’analyse et décisions de revue.
Les dossiers contiennent les informations que les utilisateurs habilités estiment nécessaires à la conduite de l’enquête. Selon leur contenu, certaines relèvent de catégories de données bénéficiant d’une protection particulière au titre de la réglementation.
Les données proviennent de vous, de votre organisation, des utilisateurs habilités ou des documents qu’ils transmettent. Certaines données techniques sont recueillies lors de l’utilisation du service ; les résultats d’analyse sont produits à partir du contenu du dossier.
Nous invitons les utilisateurs à limiter les informations transmises à ce qui est nécessaire. Les demandes commerciales et de démonstration ne doivent pas contenir de pièces d’enquête ni d’informations confidentielles concernant des tiers.
3. Pourquoi utilisons-nous ces données ?
Pour les traitements dont DUPAIN est responsable :
| Finalité | Base juridique |
|---|---|
| Répondre aux demandes et organiser les démonstrations | Mesures précontractuelles lorsque vous êtes personnellement partie au futur contrat ; sinon, intérêt légitime à répondre aux demandes professionnelles |
| Gérer les comptes et la relation client | Exécution du contrat lorsque vous en êtes partie ; sinon, intérêt légitime à fournir le service à votre organisation |
| Gérer les commandes, crédits et paiements | Exécution du contrat ou intérêt légitime à gérer la relation client ; obligations légales comptables et fiscales |
| Fournir l’assistance et résoudre les difficultés techniques | Exécution du contrat ou intérêt légitime à assister les utilisateurs |
| Sécuriser le service et prévenir les abus | Intérêt légitime à protéger le service, les utilisateurs et leurs données |
| Adapter la réponse commerciale au pays et à la langue communiqués | Intérêt légitime à traiter les demandes dans des conditions adaptées |
| Gérer les réclamations et défendre nos droits | Obligations légales et intérêt légitime à établir, exercer ou défendre nos droits |
Les informations nécessaires sont signalées lors de leur collecte. Sans elles, nous pouvons être dans l’impossibilité de répondre à une demande, de créer un accès ou de fournir le service.
Toute prospection distincte de la réponse à votre demande respecte les règles applicables au destinataire et à son pays. Lorsqu’un consentement est nécessaire, il est recueilli préalablement. Vous pouvez vous opposer aux communications commerciales à tout moment.
4. Comment traitons-nous les dossiers d’enquête ?
Nous traitons les dossiers pour fournir les fonctions demandées par le client : stockage, organisation, recherche, analyse assistée par IA et restitution des informations.
Le client détermine les personnes habilitées, les informations nécessaires, les règles de conservation et les conditions d’utilisation du dossier. Il identifie le fondement juridique approprié et les conditions particulières éventuellement applicables aux données traitées.
DUPAIN intervient dans les limites des instructions documentées et de l’accord de traitement des données conclu avec le client. Nous l’assistons dans le respect des obligations qui nous concernent, notamment en matière de sécurité, de droits des personnes et d’analyse d’impact.
La présente politique ne remplace pas l’information que le responsable de l’enquête doit fournir aux personnes concernées.
5. Comment l’intelligence artificielle est-elle utilisée ?
Les fonctionnalités d’IA traitent les informations nécessaires à l’opération demandée, notamment pour organiser le dossier, proposer des faits, rapprocher des sources ou préparer des questions.
Les résultats peuvent contenir des erreurs et restent soumis à l’examen des utilisateurs habilités. DUPAIN n’a pas pour fonction de décider automatiquement d’une sanction ou de l’issue d’une enquête : aucune décision produisant des effets juridiques vous concernant ou vous affectant de manière significative n’est prise sur le seul fondement d’un traitement automatisé, au sens de l’article 22 du RGPD.
Conformément à l’article 50 du règlement (UE) 2024/1689 sur l’intelligence artificielle, les personnes interagissant avec les fonctionnalités d’analyse de DUPAIN en sont informées lorsque cette information n’est pas déjà évidente du contexte.
La politique retenue pour DUPAIN est de ne pas utiliser les dossiers, les instructions adressées aux modèles ou les résultats générés pour entraîner, affiner ou améliorer des modèles d’IA à usage général. Les garanties correspondantes ont été vérifiées auprès des fournisseurs retenus à ce jour et sont détaillées dans l’accord de traitement des données.
Les fournisseurs d’IA et leurs lieux de traitement sont précisés dans la liste des sous-traitants ci-dessous.
6. Qui peut accéder aux données ?
Selon leurs missions et leurs habilitations, les données peuvent être accessibles :
- aux utilisateurs autorisés par le client ;
- aux personnes autorisées chez DUPAIN chargées de la relation client, de la gestion administrative, de l’exploitation, de la sécurité ou du support ;
- aux prestataires nécessaires au fonctionnement du service ;
- à nos conseils ou aux autorités compétentes lorsqu’une obligation légale ou la défense de nos droits le nécessite.
Les interventions techniques sur le contenu des dossiers doivent être limitées à un besoin justifié, encadrées par les instructions du client et tracées. Les modalités opérationnelles sont en cours de confirmation.
Nos sous-traitants sont soumis à des obligations de confidentialité, de sécurité et de traitement adaptées à leur mission. Ce tableau reprend, à la date de la présente politique, les sous-traitants intervenant sur les dossiers d’enquête et leur lieu de traitement ; l’annexe 2 de l’accord de traitement des données en fait référence :
| Sous-traitant | Prestation | Données concernées | Lieu de traitement |
|---|---|---|---|
| OVH SAS | Hébergement de l’application et des sauvegardes | Documents déposés dans les dossiers et sauvegardes de l’application | France, Allemagne |
| Supabase | Hébergement de la base de données de l’application | Comptes et données structurées des dossiers d’enquête | Union européenne (Irlande, région eu-west-1) |
| Brevo | Envoi des emails transactionnels de l’application (invitations, notifications) | Coordonnées professionnelles (nom, email) | Union européenne (France et Belgique, selon les sous-traitants d’infrastructure de Brevo) |
| Anthropic | Modèle d’intelligence artificielle (phase de test) | Contenu des dossiers soumis à l’analyse IA | États-Unis, transfert encadré par des clauses contractuelles types |
| Mistral AI | Modèle d’intelligence artificielle (phase de test) | Contenu des dossiers soumis à l’analyse IA | France |
Le support technique est assuré directement par les équipes de l’Éditeur, depuis la France.
Durant les phases de test et d’évaluation de nouveaux fournisseurs, DUPAIN utilise par défaut des données fictives ou anonymisées. Un dossier réel ne peut être utilisé dans un pilote qu’après autorisation spécifique et validation des conditions de traitement applicables ; cette liste de fournisseurs sera consolidée à l’issue de cette phase. Tout nouveau sous-traitant ou changement de sous-traitant concernant les dossiers d’enquête est communiqué au client concerné au moins quinze jours avant sa prise d’effet, sauf urgence de sécurité, selon les modalités d’opposition prévues à l’accord de traitement des données.
Lorsqu’un traitement implique un transfert hors de l’Espace économique européen, les garanties applicables sont celles précisées dans le tableau ci-dessus : décision d’adéquation ou mécanisme approprié, notamment clauses contractuelles types, accompagné si nécessaire de mesures supplémentaires. Vous pouvez demander des informations ou une copie de ces garanties à dupain.ai@gmail.com, sous réserve de la protection des informations confidentielles.
Pour les traitements dont DUPAIN est responsable (prise de rendez-vous, gestion commerciale, emailing marketing, hébergement du site), d’autres prestataires peuvent intervenir ; ils ne relèvent pas de l’accord de traitement des données, propre aux dossiers d’enquête confiés par les clients.
7. Combien de temps conservons-nous les données ?
Nous distinguons les données utilisées au quotidien, les archives à accès restreint et les sauvegardes.
| Catégorie | Durée de conservation |
|---|---|
| Demandes commerciales et prospects | Jusqu’à 3 ans après le dernier contact émanant du prospect, sauf opposition ou établissement d’une relation client |
| Coordonnées utilisées pour le suivi commercial d’anciens clients | Jusqu’à 3 ans après la fin de la relation commerciale ou le dernier contact actif émanant de la personne, sauf opposition |
| Comptes utilisateurs | Pendant la relation de service ; suppression des données de compte devenues inutiles dans les 90 jours suivant sa fin, sous réserve des informations nécessaires aux archives contractuelles et à la traçabilité |
| Contrats, commandes et preuves de la relation commerciale | Archivage restreint, en principe pendant 5 ans après la fin de la relation ; adaptation aux prescriptions effectivement applicables |
| Factures et pièces comptables | Pendant 10 ans à compter de la clôture de l’exercice comptable, conformément à l’article L123-22 du Code de commerce |
| Demandes de support | Jusqu’à 24 mois après leur résolution |
| Pièces d’enquête exceptionnellement transmises au support | Suppression dès qu’elles ne sont plus nécessaires, au plus tard 30 jours après résolution, sauf instruction documentée ou nécessité liée à un incident |
| Journaux techniques de sécurité | Jusqu’à 12 mois après l’événement |
| Dossiers d’enquête et historique de revue | Pendant la durée nécessaire définie par le client et prévue au contrat ; toute conservation après clôture doit être justifiée et, si approprié, réalisée en archive restreinte |
| Restitution en fin de service | Fenêtre d’export de 30 jours, sauf instruction de suppression anticipée ; suppression des systèmes actifs dans les 30 jours suivants, sauf accord documenté ou obligation légale |
| Sauvegardes | Expiration ou suppression dans un délai maximal de 90 jours après suppression des systèmes actifs |
La fenêtre d’export ne prolonge pas automatiquement la durée de conservation d’un dossier lorsqu’une suppression plus précoce est requise.
En cas d’incident, de réclamation ou de contentieux, seuls les éléments nécessaires peuvent être conservés plus longtemps, dans un espace à accès restreint, pour la durée justifiée par la situation. Pour les dossiers confiés, cette conservation intervient sur instruction documentée du client ou en application d’une obligation légale.
La suppression concerne également les données dérivées associées au dossier, notamment les extraits, index de recherche et résultats d’analyse. Les sauvegardes ne servent pas d’archives consultables au quotidien ; en cas de restauration, les suppressions applicables doivent être réexécutées.
8. Quelles mesures protègent les données ?
Le socle de protection prévu pour DUPAIN couvre les mesures suivantes.
| Domaine | Mesures prévues |
|---|---|
| Gestion des accès | Comptes nominatifs, droits limités au besoin, gestion des arrivées et départs, revue des habilitations et authentification multifacteur pour les accès privilégiés |
| Séparation des données | Cloisonnement logique des organisations et des enquêtes, contrôles d’autorisation et vérification de leur efficacité |
| Chiffrement | Protection des communications en transit et chiffrement des données stockées et des sauvegardes, avec gestion contrôlée des clés et secrets |
| Traçabilité | Journalisation des opérations sensibles et des accès administratifs, protection des journaux et limitation des données qu’ils contiennent |
| Surveillance et incidents | Détection des événements suspects, traitement des alertes et procédure de réponse aux incidents |
| Sauvegarde et continuité | Sauvegardes protégées, tests de restauration et procédures de reprise adaptées aux risques |
| Maintenance et vulnérabilités | Inventaire des composants, suivi des vulnérabilités, mises à jour et corrections selon leur criticité |
| Développement sécurisé | Revue des changements, contrôles de sécurité et séparation des environnements de développement, de test et de production |
| Protection des données dans les tests | Utilisation privilégiée de données fictives ; recours aux données réelles uniquement dans un cadre justifié et autorisé |
| Prestataires et personnel | Engagements de confidentialité, sensibilisation, évaluation des prestataires et encadrement de leurs accès |
| Suppression et minimisation | Limitation des copies, maîtrise des exports et suppression selon les durées applicables |
| Contrôles périodiques | Vérification des mesures et tests de sécurité adaptés aux évolutions du service |
DUPAIN met en œuvre progressivement les mesures ci-dessus, à mesure de la maturité du service. Certains mécanismes, tels que l’authentification unique (SSO/SAML), ne sont pas encore proposés et seront documentés ici lorsqu’ils seront disponibles.
Aucun dispositif ne permet de garantir une sécurité absolue. En cas de violation affectant les dossiers confiés, DUPAIN informe le client sans retard injustifié après en avoir pris connaissance. Pour les traitements dont nous sommes responsables, nous réalisons les notifications requises aux autorités et aux personnes concernées.
9. Cookies, préférences et services externes
Le site vitrine utilise des traceurs limités à son fonctionnement, à sa sécurité et, le cas échéant, à la mémorisation de préférences demandées par l’utilisateur, telles que la langue d’affichage. L’application utilise également les mécanismes nécessaires à l’authentification et à la gestion des sessions.
Les traceurs strictement nécessaires ne sont pas utilisés à des fins publicitaires. Les préférences de langue peuvent être conservées pendant 6 mois ; les traceurs de session expirent à la fermeture de la session ou selon le délai nécessaire à leur fonction. L’inventaire exact, les fournisseurs et les durées des autres traceurs sont disponibles ici : XXXXX (Confirmation prochaine).
Pour traiter les demandes provenant d’autres pays, nous pouvons utiliser le pays et la langue communiqués par la personne, sans exiger de géolocalisation précise.
Si une mesure d’audience est mise en place pour mieux comprendre la répartition géographique des visites, elle fait l’objet d’une information distincte. Les traceurs correspondants ne sont activés sans consentement que si les conditions d’exemption applicables sont effectivement réunies. Dans les autres cas, ils restent désactivés jusqu’à votre accord.
Tout dispositif soumis au consentement permet d’accepter, de refuser et de retirer son accord avec la même simplicité.
Les démonstrations sont réservées via Meetergo. Lorsque vous suivez ce lien, vous accédez à un service externe dont les informations de confidentialité sont disponibles sur sa page de réservation.
Les polices utilisées par le site sont hébergées directement sur nos serveurs : aucune requête n’est envoyée à un service de polices tiers.
10. Quels sont vos droits ?
Selon le traitement et les conditions légales, vous pouvez demander l’accès, la rectification, l’effacement ou la limitation du traitement de vos données, ainsi que leur portabilité. Vous pouvez également vous opposer à certains traitements et retirer votre consentement lorsqu’il constitue leur fondement.
Pour les traitements dont DUPAIN est responsable, adressez votre demande à dupain.ai@gmail.com.
Nous répondons en principe dans un délai d’un mois. Une prolongation de deux mois est possible lorsque la complexité ou le nombre des demandes le justifie ; vous en êtes informé dans le premier mois. Un justificatif d’identité n’est demandé qu’en cas de doute raisonnable.
Pour une demande concernant un dossier d’enquête, contactez son responsable de traitement. Si vous nous contactez directement, nous orientons ou transmettons votre demande de manière sécurisée au responsable compétent et l’assistons dans son traitement.
L’exercice des droits ne donne pas automatiquement accès à l’intégralité du dossier ou aux données de tiers. Toute restriction doit reposer sur le cadre juridique applicable.
Vous pouvez déposer une réclamation auprès d’une autorité de protection des données, notamment dans le pays de votre résidence habituelle, de votre lieu de travail ou de la violation alléguée. En France, vous pouvez contacter la CNIL.
11. Évolution de cette politique
Cette politique peut évoluer avec le service ou la réglementation. Sa date de mise à jour figure en tête de page. Les versions précédentes sont conservées et peuvent être fournies sur demande, afin de pouvoir identifier la version applicable au moment du traitement concerné.
Les modifications importantes, notamment relatives aux finalités, aux destinataires des données ou à vos droits, vous sont communiquées par email, en précisant les changements apportés, avant leur entrée en vigueur. Lorsqu’un nouveau traitement nécessite votre consentement, celui-ci est recueilli avant sa mise en œuvre. Dans les autres cas, la poursuite de l’utilisation du service après cette communication vaut prise en compte des modifications, sans qu’une nouvelle acceptation explicite soit requise.
Pour toute question : dupain.ai@gmail.com.