Politique de confidentialité

1. Responsable de traitement

Le responsable de traitement des données personnelles dans le cadre de l'utilisation du Service noryzia est :

• Dénomination : Mehdi Bennis, exerçant sous le nom commercial Noryzia — entrepreneur individuel (EI)
• Adresse professionnelle : 1038 Route de Villette, 38380 Saint-Laurent-du-Pont, France
• RCS / SIRET : RCS Grenoble n° 105 346 704 — SIRET 105 346 704 00015
• Contact général : contact@noryzia.com
• Contact protection des données : dpo@noryzia.com (cf. section 12)

2. Engagements de souveraineté 100% France

noryzia s'engage de manière contractuelle et opérationnelle à :

• Héberger l'intégralité des données en France métropolitaine, dans les datacenters de Scaleway SAS (Paris, certifiés ISO 27001).
• Ne transférer aucune donnée hors de l'Union européenne dans la configuration par défaut — hébergement, calcul, indexation, sauvegarde et envoi d'e-mails sont assurés par des prestataires français (Scaleway, OVH). Deux fonctionnalités optionnelles, désactivées par défaut, font exception et sont détaillées à la section 8 bis : elles ne peuvent être activées que par l'administrateur de votre organisation ou par vous-même, en connaissance de cause.
• Ne jamais utiliser les Contenus Utilisateur pour entraîner des modèles d'IA, ni les nôtres ni ceux de tiers, dans aucune circonstance.
• Ne jamais revendre, partager, monétiser ou exploiter les données personnelles à des fins commerciales ou publicitaires.
• Utiliser exclusivement des modèles LLM hébergés chez des fournisseurs souverains européens (Scaleway Generative APIs, déployés en France).

3. Données collectées

noryzia collecte uniquement les données strictement nécessaires à la fourniture du Service :

3.1 Données d'identification du compte

• Nom d'utilisateur, nom d'affichage
• Adresse email professionnelle
• Mot de passe (stocké sous forme chiffrée bcrypt, jamais en clair)
• Nom de la société et secteur d'activité (déclaratif)
• Rôle au sein de l'organisation (utilisateur, administrateur, super-administrateur)

3.2 Contenus utilisateur

• Documents téléversés (PDF, DOCX, XLSX, TXT, EML, MD, code source…)
• Requêtes (prompts) saisies dans le chat
• Réponses générées par l'IA
• Métadonnées de connecteurs (Google Drive, IMAP, Notion, etc. — uniquement metadata, pas le contenu brut des emails IMAP)

3.3 Données techniques (logs)

• Adresse IP de connexion (anonymisée après 30 jours)
• Identifiant de session (JWT)
• Logs d'audit LLM (requête, type, latence, modèle utilisé, tokens, statut)
• User-agent du navigateur

Aucune donnée biométrique, aucune donnée de santé, aucune donnée de mineur n'est sciemment collectée par noryzia.

4. Finalités et bases légales

5. Destinataires des données

Vos données personnelles ne sont accessibles qu'aux personnes habilitées au sein de noryzia (équipe technique, support, comptabilité) dans la stricte limite de leurs missions, et soumises à une obligation de confidentialité contractuelle.

Aucune donnée personnelle n'est cédée, vendue, louée, ni partagée avec des tiers à des fins commerciales ou publicitaires.

6. Sous-traitants

noryzia fait appel à des sous-traitants encadrés par des accords de sous-traitance (DPA) conformes à l'article 28 du RGPD :

La liste actualisée des sous-traitants est disponible sur demande à dpo@noryzia.com.

7. Durées de conservation

• Données du compte actif : durée de l'abonnement.
• Données du compte résilié : 30 jours après résiliation pour permettre l'export RGPD, puis suppression irréversible (90 jours max y compris sauvegardes).
• Documents et contenus indexés : conservés tant que le Client ne les supprime pas (droit à l'effacement Art. 17 RGPD applicable à tout moment depuis l'interface).
• Logs d'audit LLM : 12 mois (puis purgés).
• Logs techniques de sécurité : 1 an (Art. 6 LCEN).
• Factures et données comptables : 10 ans (Code de commerce L123-22).

8. Hébergement et localisation

L'ensemble des données est hébergé dans les datacenters de Scaleway SAS à Paris (DC2, DC3, DC5), certifiés ISO 27001 et éligibles à la certification HDS (Hébergeur de Données de Santé) pour les usages le nécessitant. Adresse de l'hébergeur :

• Scaleway SAS — BP 438 — 75366 PARIS CEDEX 08 — France
• Téléphone : +33 (0)1 84 13 00 00

Dans la configuration par défaut, aucune donnée ne transite par les États-Unis, le Royaume-Uni ou tout autre pays hors UE, y compris pour les opérations de calcul, de sauvegarde ou d'envoi d'e-mails.

8 bis. Fonctionnalités optionnelles impliquant un tiers hors UE

Par souci d'exactitude, nous préférons nommer les seules exceptions possibles plutôt que formuler un engagement absolu que deux fonctionnalités optionnelles viendraient contredire. Les deux sont désactivées par défaut et ne s'activent que par une action explicite de l'administrateur de votre organisation ou de vous-même.

Ces transferts reposent sur les clauses contractuelles types de la Commission européenne et sur le EU-U.S. Data Privacy Framework lorsque le prestataire y est certifié. Si votre organisation souhaite exclure toute possibilité de transfert hors UE, ces deux fonctionnalités peuvent être verrouillées définitivement au niveau de votre tenant : il suffit d'en faire la demande à dpo@noryzia.com.

9. Sécurité des données

noryzia met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque (article 32 RGPD) :

• Chiffrement en transit : TLS 1.2 et 1.3 exclusivement (TLS 1.0 et 1.1 refusés par le serveur), HSTS avec includeSubDomains, certificat Let's Encrypt renouvelé automatiquement.
• Protection des secrets : tokens connecteurs OAuth chiffrés Fernet (clé dérivée par tenant via PBKDF2) ; données hébergées exclusivement chez Scaleway, dans ses centres de données de la région de Paris.
• Authentification : JWT signés RS256 (RSA 2048 bits), session révocable, mots de passe bcrypt (12 rounds), vérification email obligatoire.
• Isolation tenant : chaque client dispose d'un espace logique étanche (système de fichiers, index FAISS, base de données). Le cloisonnement est vérifié par des tests automatisés exécutés à chaque livraison.
• Audit et traçabilité : journalisation des accès, des requêtes LLM et des opérations sensibles, pseudonymisée et purgée automatiquement au bout de 90 jours glissants (durée réductible à la demande de votre organisation).
• Détection PII : 11 types de données personnelles (e-mail, téléphone, IBAN, NIR, carte bancaire, adresse IP, date de naissance, SIRET, identifiant fiscal, nom de personne, adresse postale) détectés automatiquement dans vos questions et pseudonymisés avant transmission au modèle de langage, selon 3 niveaux configurables. Le contenu de vos documents, lui, est transmis tel quel au modèle : c'est la condition même pour qu'il puisse y répondre avec exactitude.
• Sécurité applicative : 15 contrôles STRIDE implémentés (anti prompt-injection, anti homoglyphes Unicode, rate-limiting fail-closed, CSP nonce dynamique, etc.).
• Notification de violation : sous 72 heures conformément à l'article 33 RGPD.

10. Vos droits RGPD

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (Art. 15) — obtenir la confirmation que des données vous concernant sont traitées et en obtenir une copie.
• Droit de rectification (Art. 16) — corriger toute donnée inexacte ou incomplète directement depuis votre espace personnel.
• Droit à l'effacement / oubli (Art. 17) — demander la suppression de vos données. Le bouton « Supprimer mon compte » dans votre espace personnel déclenche cette procédure en un clic.
• Droit à la portabilité (Art. 20) — récupérer vos données dans un format structuré, couramment utilisé et lisible par machine (JSON / ZIP) via le bouton « Exporter mes données ».
• Droit d'opposition (Art. 21) — vous opposer au traitement pour des raisons tenant à votre situation particulière, notamment pour les traitements fondés sur l'intérêt légitime.
• Droit à la limitation (Art. 18) — demander la suspension du traitement le temps d'une contestation.
• Droit de retirer votre consentement à tout moment (Art. 7), sans affecter la licéité du traitement antérieur.

Pour exercer ces droits, contactez le DPO à dpo@noryzia.com ou utilisez les fonctionnalités prévues à cet effet dans votre espace personnel (« Mon compte → RGPD »). Une réponse vous sera apportée dans un délai maximum d'un (1) mois à compter de la réception de votre demande (article 12 RGPD).

11. Cookies et traceurs

noryzia n'utilise que des cookies strictement nécessaires au fonctionnement du Service, exemptés de consentement préalable au sens de l'article 82 de la loi Informatique et Libertés modifiée et des lignes directrices de la CNIL :

• access_token — JWT de session (durée : la session, sécurité : HttpOnly, Secure, SameSite=Strict).
• refresh_token — Renouvellement automatique de session (durée : 7 jours).
• noryzia.citations.visible — Préférence d'affichage des références (localStorage, pas un cookie).

Aucun cookie publicitaire, aucun traceur tiers, aucun pixel Facebook / Google Ads / LinkedIn n'est déposé sur le Service.

12. DPO et autorité de contrôle

12.1 Délégué à la Protection des Données

noryzia a désigné un Délégué à la Protection des Données (DPO) joignable à dpo@noryzia.com ou par courrier postal à l'adresse du siège social.

12.2 Réclamation auprès de la CNIL

Si vous estimez, après avoir contacté notre DPO, que vos droits n'ont pas été respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• 3 Place de Fontenoy — TSA 80715 — 75334 PARIS CEDEX 07
• Site : cnil.fr/plaintes

13. Modifications de la politique

Cette politique peut être amenée à évoluer. Toute modification substantielle est notifiée aux utilisateurs par email et publiée sur cette page au moins 30 jours avant son entrée en vigueur. La version la plus récente est toujours consultable à l'adresse https://app.noryzia.com/privacy.