Politique de confidentialité de La Mashine

Cette politique explique l’utilisation des données dans la plateforme https://app.lamashine.com/, destinée à des utilisateurs majeurs invités par une organisation en France. Elle couvre les comptes, projets, réunions, fonctions IA et demandes de support. Elle n’autorise pas de nouveaux traitements contraires aux engagements particuliers conclus avec votre organisation.

1. Qui est responsable de vos données

LA MASHINE, SAS au capital de 30 000 euros, RCS Toulouse 932 458 441, siège 33 rue du Quatorze Juillet, 31100 Toulouse, édite le service. Vous pouvez écrire à contact@lamashine.com pour toute question ou demande relative à vos données. Le référent interne chargé de ces questions coordonne les réponses ; aucun délégué à la protection des données n’est présenté comme désigné.

Votre organisation est responsable des traitements qu’elle détermine pour organiser l’accompagnement, les projets, les habilitations et les réunions. La Mashine agit alors comme sous-traitant sur ses instructions. L’identité de cette organisation figure dans votre invitation et votre espace ; elle doit vous communiquer sa propre information sur les finalités, bases juridiques et contacts utiles.

La Mashine est responsable de ses traitements propres, notamment de la gestion de ses relations contractuelles avec les représentants des clients, de sa comptabilité, de la défense de ses droits et de la sécurité de son service pour les finalités qu’elle détermine. Les informations ci-dessous distinguent ces usages des traitements exécutés pour votre organisation.

2. Quelles données sont traitées

Nous recevons des informations de votre organisation lors de l’invitation, de vous lors de vos contributions, des membres et intervenants de vos projets, ainsi que des données techniques produites pendant l’utilisation. Les catégories comprennent : nom, prénom, e-mail, organisation, rôle, habilitations, données d’authentification, contenus de projets et fichiers, tâches, livrables, échanges avec l’IA, notes et comptes rendus.

Les projets peuvent contenir des données de contacts, prospects ou personnes interviewées : identité professionnelle, rôle, organisation et propos utiles au projet. L’organisation responsable et les personnes qui les importent doivent veiller à la licéité de la collecte et à l’information de ces tiers. L’import de données sensibles, de données pénales, de pièces d’identité et de secrets d’authentification est interdit.

Les données techniques comprennent les pages de projet ouvertes par tranche d’une heure, droits utilisés et accès refusés, références des actions dans le projet, dernière activité, volumes et coûts IA par personne. Les journaux d’actions ne reproduisent pas les contenus. Les statistiques d’usage ne sont donc pas toutes anonymes à leur collecte.

Les informations nécessaires au compte et aux habilitations sont indispensables pour accéder au service. Les contenus sont fournis selon les besoins du projet. L’enregistrement audio est facultatif. L’absence d’accord n’interdit pas l’utilisation générale de la plateforme.

Les contenus transmis à la plateforme ne doivent pas inclure de données concernant des mineurs, d’identifiants officiels délivrés par une autorité publique ni de données de carte de paiement. En cas de dépôt accidentel, il convient de le signaler sans délai pour permettre sa restriction et sa suppression.

3. Finalités et bases juridiques

Pour les traitements de comptes, projets, accompagnement, reporting et support exécutés sur instruction, votre organisation détermine et vous indique la base juridique appropriée. Selon son statut et sa mission, il peut notamment s’agir d’une mission d’intérêt public, d’un contrat applicable à la personne ou d’un intérêt légitime lorsque celui-ci est autorisé. La Mashine ne présume pas que le contrat commercial conclu avec une école constitue un contrat conclu avec chaque étudiant.

L’enregistrement de votre voix et sa transformation en transcription et compte rendu reposent sur votre consentement personnel, préalable et révocable. L’Organisation doit garantir qu’un refus ou retrait ne vous pénalise pas et qu’une contribution non enregistrée reste possible.

Pour ses finalités propres, La Mashine utilise les coordonnées professionnelles des représentants des clients pour préparer et gérer la relation commerciale sur le fondement de son intérêt légitime ; lorsqu’une personne est elle-même partie au contrat, son exécution peut constituer la base applicable. La conservation des pièces comptables relève des obligations légales. La sécurité, la prévention des abus, la maîtrise technique des ressources IA et la défense des droits reposent sur l’intérêt légitime correspondant, après prise en compte des droits des personnes.

Les statistiques nécessaires au suivi d’un programme sont traitées pour l’organisation. L’amélioration du produit utilise des indicateurs d’usage limités et des statistiques rendues anonymes avant réutilisation, sans réutiliser les contenus, sans profil commercial individuel et sans mutualiser les données des projets avec d’autres clients. Les opérations préparatoires portant encore sur des données personnelles restent soumises au RGPD et aux engagements pris envers l’organisation.

4. Qui peut consulter les informations

Les membres consultent leur projet ; les coachs les projets qui leur sont attribués ; les administrateurs les projets de leur organisation ; les experts le contexte nécessaire à leur intervention. Les comptes rendus suivent ces droits. Les transcriptions intégrales et les audios ne sont jamais consultables dans l’interface. Les demandes légales d’accès sont traitées séparément, en protégeant les autres personnes.

L’équipe habilitée de La Mashine accède aux contenus lorsque cela est nécessaire au support, à la sécurité ou à la maintenance. Les administrateurs techniques peuvent consulter les données nominatives d’activité et de coût pour leurs missions. L’organisation consulte des indicateurs groupés sur ses projets ; elle ne dispose pas, par cette fonction statistique, du journal détaillé des accès ou des coûts individuels.

Les données peuvent être communiquées aux prestataires strictement nécessaires, aux conseils tenus à la confidentialité ou aux autorités légalement habilitées. Les contenus d’un projet ne sont pas réutilisés par La Mashine au bénéfice d’un autre projet, y compris dans la même organisation, ni comme contexte de ses réponses IA. Les données de projets ne sont pas vendues et ne sont pas publiées à des fins promotionnelles sans les autorisations nécessaires.

5. Réunions et intelligence artificielle

Chaque participant valide personnellement l’enregistrement pour la séance après information. L’organisateur ne peut pas répondre à sa place. Une absence d’accord ou un refus bloque le démarrage de l’enregistrement. La validation est conservée avec son horodatage. Les nouveaux participants ne sont inclus qu’après leur accord.

Vous pouvez retirer votre accord à tout moment. En cours d’enregistrement, vous quittez la séance enregistrée et la capture de votre voix cesse immédiatement. Contactez l’organisateur ou contact@lamashine.com pour le traitement des données déjà recueillies. Le retrait n’annule pas les opérations antérieures licites ; une suppression est réalisée lorsque les conditions du RGPD l’exigent. Un échange non enregistré ou un moyen équivalent doit être organisé si nécessaire pour éviter un préjudice lié à votre refus ou retrait.

Seul l’audio est enregistré. Mistral le transcrit en UE ; la transcription nécessaire à la synthèse est transmise au circuit IA autorisé pour l’organisation. La transcription est un support technique non consultable et seul le compte rendu est présenté aux utilisateurs habilités. Les autres fonctions IA peuvent recevoir les messages, pièces jointes et éléments de contexte de projet nécessaires à la demande. Les recommandations concernent les projets ; elles ne sont pas utilisées pour prendre automatiquement une décision individuelle ayant des effets juridiques ou comparables, ni pour noter ou valider le cursus des étudiants.

Deux configurations sont proposées. La configuration par défaut utilise Anthropic aux États-Unis pour l’assistance et la génération de contenus. Sur demande documentée de l’Organisation, l’équipe de La Mashine active une configuration européenne couvrant toutes les fonctions IA, notamment l’assistance, le diagnostic, les brouillons, l’analyse des pièces jointes et les comptes rendus. Dans cette configuration, le modèle GLM-5.3 est exécuté par Mistral dans l’Union européenne. Mistral assure également la transcription audio en UE.

En cas d’indisponibilité du fournisseur principal avant le début de la réponse, un seul circuit de secours peut être utilisé : pour la configuration UE, GLM-5.3 exécuté par TensorX en Irlande via Requesty UE ; pour la configuration Anthropic, Claude exécuté sur Google Vertex en UE via Requesty UE. Chaque secours utilise un déploiement déterminé, sans substitution d’hébergeur. Si ce secours échoue, la demande échoue avec une information compréhensible. La configuration UE ne bascule jamais vers Anthropic ou un traitement IA hors UE. La configuration Anthropic reste une configuration impliquant un traitement aux États-Unis, même si son secours est européen.

La Mashine n’utilise pas ces données pour entraîner ses modèles et ne donne pas aux fournisseurs d’API l’autorisation de les utiliser pour l’entraînement. Les appels directs à Anthropic contenant les données du service sont réservés aux modèles, fonctionnalités et organisations effectivement couverts par l’accord Zero Data Retention (« ZDR »). Les fonctionnalités non couvertes ne doivent pas recevoir ces données.

Pour les appels directs à Anthropic, le ZDR empêche normalement le stockage des requêtes et réponses après restitution de la réponse. Des données techniques limitées peuvent subsister selon la fonctionnalité ; des exceptions liées aux obligations légales et à certains contenus signalés par les systèmes de sécurité du fournisseur peuvent conduire à une conservation, notamment jusqu’à deux ans pour ces derniers. Le ZDR ne signifie ni absence de traitement ni traitement exclusivement dans l’Union européenne.

Le ZDR est activé sur le compte Mistral utilisé depuis le 20 octobre 2026 et sur l’ensemble de l’organisation Requesty. Requesty traite les contenus en transit sans conserver les requêtes, réponses, pièces jointes ou contenus d’appels d’outils et sans cache persistant de contenu de son côté. Les déploiements de secours sélectionnés excluent la conservation des contenus et leur utilisation pour l’entraînement selon les conditions fournisseurs applicables. Des métadonnées de facturation sans contenu subsistent chez Requesty pendant six ans. La Mashine conserve distinctement les requêtes et réponses brutes pendant quatre-vingt-dix jours chez OVH en France, pour le débogage, sous accès technique restreint ; elles ne servent pas à entraîner des modèles ni à alimenter d’autres projets.

6. Prestataires et pays de traitement

L’ensemble de la plateforme, y compris les fichiers, la base et les sauvegardes, est hébergé par OVH en France. Les services IA et techniques peuvent impliquer d’autres pays ; un hébergement européen n’exclut pas ces flux.

La liste des modèles autorisés et les restrictions de région sont imposées côté Requesty ; les appels vers d’autres modèles ou points d’accès sont refusés. Le développeur d’un modèle ouvert n’est pas, de ce seul fait, destinataire des données : les circuits GLM-5.3 décrits utilisent Mistral et TensorX, sans appel au service API de Z.ai. Les restrictions portent sur les traitements IA décrits ; les autres prestataires de la plateforme suivent les périmètres du tableau.

Les transferts de données personnelles hors de l’EEE doivent bénéficier, selon le destinataire et le périmètre effectif, d’une décision d’adéquation ou de garanties appropriées telles que les clauses contractuelles types de la Commission européenne, complétées lorsque nécessaire. La Mashine vérifie ces conditions et les instructions de l’organisation avant les transferts. Vous pouvez obtenir des informations sur les garanties applicables et une copie de celles-ci, expurgée des seuls éléments protégés nécessaires, à contact@lamashine.com.

7. Durées de conservation

Les durées suivantes sont des limites de conservation pour les finalités indiquées. Une demande licite d’effacement, une instruction de l’organisation ou une obligation légale peut conduire à une durée différente. Les règles particulières du contrat de votre organisation prévalent lorsqu’elles imposent une durée plus courte ou une instruction de fin de service déterminée.

Les durées de Requesty sont distinctes de celles de La Mashine. Son DPA prévoit l’effacement à la fin du contrat sous trente jours, puis l’expiration des sauvegardes sous trente-cinq jours supplémentaires, sous réserve des conservations légales indiquées. Sous ZDR, ces copies ne contiennent pas les requêtes et réponses.

Les sauvegardes de base de La Mashine sont renouvelées sur un cycle maximal de sept jours. Les données supprimées y restent isolées jusqu’à expiration du cycle, ne sont pas exploitées et sont de nouveau effacées si une restauration intervient. Les fichiers actifs supprimés sont retirés du stockage de production. Une obligation légale de conservation ou une exception fournisseur applicable est documentée et les données concernées sont isolées ; une attestation de suppression ne présente pas à tort ces copies comme déjà effacées.

La suppression d’un compte coupe ses accès et efface les données de profil devenues inutiles. Les contributions communes peuvent subsister lorsqu’une base juridique le permet ; les éléments personnels encore identifiants sont examinés. Remplacer le nom par « Compte supprimé » n’est pas une garantie d’anonymisation. Il en va de même pour les propos d’un contact dont le nom a été retiré.

8. Cookies et stockage sur votre appareil

La plateforme n’utilise pas d’outil externe de mesure publicitaire ou de suivi d’audience tel que Google Analytics. Elle utilise des mécanismes nécessaires à l’authentification, à la sécurité et aux préférences d’interface demandées. Le suivi d’usage interne décrit plus haut reste un traitement de données personnelles même lorsqu’il n’utilise pas de cookie analytique.

Ces mécanismes sont utilisés sans consentement préalable uniquement dans la mesure où ils sont nécessaires au service demandé ou à la personnalisation attendue de l’interface. Aucun traceur soumis au consentement ne doit être ajouté sans information et recueil préalable du choix requis. Vous pouvez effacer les données du site dans votre navigateur ; cela peut vous déconnecter et réinitialiser les préférences.

L’adresse IP utilisée par le dispositif de limitation des tentatives de connexion est conservée quinze minutes et n’est pas enregistrée en base par ce dispositif. L’information de présence sur une page est maintenue quarante-cinq secondes en mémoire. Les autres traces techniques éventuellement nécessaires à la sécurité suivent les limites des journaux techniques ci-dessus.

9. Vos droits et demandes

Selon la situation, vous disposez des droits d’accès, rectification, effacement, limitation et opposition. Le droit à la portabilité s’applique lorsque ses conditions sont réunies, notamment pour les données fournies et traitées automatiquement sur la base du consentement ou d’un contrat avec la personne. Vous pouvez retirer votre consentement à tout moment pour les traitements fondés sur celui-ci et définir des directives relatives à vos données après votre décès dans les conditions du droit français.

Vous pouvez écrire à contact@lamashine.com ou au contact indiqué par votre organisation, en précisant votre compte et votre demande. La Mashine transmet à l’organisation les demandes qui relèvent de sa responsabilité et l’assiste ; les demandes relatives à ses propres traitements sont traitées directement. Une vérification d’identité proportionnée peut être demandée en cas de doute raisonnable, sans imposer systématiquement une pièce d’identité ni son dépôt dans un projet.

Une réponse est apportée dans un délai d’un mois. Une prolongation légale pouvant aller jusqu’à deux mois supplémentaires est possible compte tenu de la complexité ou du nombre de demandes, avec information motivée dans le premier mois. Un refus ou une limitation est expliqué. Les droits des tiers, obligations légales et exceptions applicables sont pris en compte ; l’export ne doit pas révéler sans droit les données des autres participants.

Vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés : https://www.cnil.fr/ ; CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07. Vous n’êtes pas tenu d’attendre une démarche amiable pour saisir l’autorité compétente.

10. Sécurité et évolution de cette politique

La Mashine met en œuvre des mesures adaptées : chiffrement des communications, cloisonnement par organisation, habilitations par rôle, protection des comptes, journalisation et procédures d’incident et de suppression. Les mesures contractuelles détaillées sont précisées dans le DPA. Une sécurité absolue ne peut être garantie ; tout incident est traité et notifié aux destinataires requis selon le rôle et les obligations de chacun.

La version applicable est rendue accessible dans la plateforme. Toute modification substantielle des usages, destinataires ou durées est portée à votre connaissance. Une nouvelle finalité ou une modification nécessitant votre consentement fait l’objet d’un recueil distinct ; la mise à jour de cette politique n’emporte pas, à elle seule, votre consentement.