Proxia traite des données à caractère personnel pour fournir sa plateforme d'agents IA. La présente politique explique quelles données sont collectées, pour quelles finalités, pendant combien de temps, à qui elles sont confiées et comment exercer vos droits au titre du Règlement (UE) 2016/679 (RGPD) et de la loi Informatique et Libertés.
1. Qui est responsable de vos données
Pour les données de ses visiteurs, de ses prospects, de ses clients et de leurs utilisateurs, le responsable de traitement est la société Prox-IA (SAS éditrice de Proxia), 11 rue du Moulin Buisson, 63200 Riom — SIRET 131 124 075 00014. Pour toute demande relative à vos données, écrivez à contact@prox-ia.com.
Pour les données que les clients de Proxia confient à leurs agents — celles de leurs propres clients, prospects ou salariés — le responsable de traitement est le client, et Proxia agit comme sous-traitant dans les conditions de l'accord de traitement des données. Si vous avez échangé avec l'assistant d'un professionnel, c'est à lui que s'adressent en premier vos demandes ; Proxia les lui transmet si vous nous écrivez.
2. Données collectées et finalités
| Catégorie | Finalité | Base légale |
|---|---|---|
| Compte client et comptes utilisateurs (nom, email, téléphone, société) | Création et gestion des comptes, assistance, facturation | Exécution du contrat |
| Conversations avec les agents : messages, messages vocaux et leur transcription, photos, documents transmis | Fourniture du service, réglage des agents du client | Exécution du contrat |
| Jetons d'accès, clés et identifiants des services que vous connectez | Permettre à l'agent d'agir sur votre messagerie, votre agenda, vos tableurs, etc. | Exécution du contrat |
| Abonnement aux notifications de votre navigateur ou de votre téléphone | Vous prévenir de la réponse d'un agent ou d'un événement | Exécution du contrat |
| Échanges avec l'assistant d'une page publique (carte, vitrine) ; coordonnées si vous les laissez | Répondre à votre question, transmettre votre demande au professionnel concerné | Mesures précontractuelles |
| Formulaires de contact et de demande d'audit (nom, email, téléphone, société, message) | Réponse à votre demande, qualification commerciale | Mesures précontractuelles |
| Données de facturation (montant, mode de paiement, identifiants Stripe) | Émission des factures, recouvrement, obligations comptables | Obligation légale |
| Données techniques (adresse IP, navigateur, dates d'accès) | Sécurité, limitation des abus, prévention de la fraude | Intérêt légitime |
| Mesure d'audience du site public | Connaître la fréquentation du site | Consentement |
3. Durées de conservation
- Comptes : pendant toute la durée du contrat. Coordonnées des prospects : 3 ans après le dernier contact.
- Conversations avec les agents : pendant la durée du contrat ; supprimées dans les 60 jours qui suivent sa fin, sauf demande de suppression anticipée.
- Documents importés dans une conversation (tableurs, PDF, documents) : les noms de personnes sont masqués avant enregistrement ; le fichier et le texte extrait sont supprimés au bout de 24 heures.
- Jetons d'accès aux services connectés : supprimés dès la déconnexion du connecteur, et au plus tard 30 jours après la fin du contrat.
- Échanges avec l'assistant d'une page publique : 12 mois.
- Formulaires de contact et de demande d'audit : 3 ans après le dernier échange.
- Données techniques : 12 mois maximum.
- Données de facturation : 10 ans (obligation comptable, art. L.123-22 du Code de commerce).
- Sauvegardes : 14 jours.
4. Hébergement et localisation des données
L'application et sa base de données sont hébergées dans l'Union européenne, sur les infrastructures d'Hetzner Online GmbH (Allemagne). Aucune donnée n'est stockée hors de l'Union européenne par Proxia. Certains traitements font toutefois appel à des fournisseurs établis aux États-Unis, listés à la section 5 : les données leur sont transmises le temps du traitement, dans un cadre contractuel prévu par le RGPD.
5. Sous-traitants et destinataires
Pour fournir le service, Proxia s'appuie sur les sous-traitants suivants :
- Hetzner Online GmbH (Allemagne) — hébergement de l'application et de la base de données.
- Cloudflare, Inc. (États-Unis) — protection du site contre les attaques et les robots, vérification humaine avant une conversation sur une page publique. Reçoit les données techniques de connexion.
- Anthropic (États-Unis) — modèles de langage Claude utilisés par les agents. Reçoit le contenu des conversations et des documents soumis à l'agent ; pour certains connecteurs, le jeton d'accès au service connecté lui est transmis le temps de l'appel. Les données envoyées ne servent pas à entraîner ses modèles.
- Groq, Inc. (États-Unis) — transcription des messages vocaux et de la dictée. Reçoit l'enregistrement audio.
- Google (Google Ireland Ltd, Irlande ; Google LLC, États-Unis) — génération d'images à la demande d'un utilisateur (reçoit la consigne de l'image) ; mesure d'audience du site public, uniquement après votre consentement (section 6).
- Tavily (États-Unis) — recherche sur le Web, lorsqu'un agent y est autorisé. Reçoit les termes de la recherche.
- Stripe Payments Europe Ltd (Irlande) — paiement des abonnements.
- Brevo (France) — envoi des emails et des SMS (rappels de rendez-vous, justificatifs de paiement).
- Services de notification de votre navigateur ou de votre téléphone (Google, Mozilla, Apple) — acheminement des notifications, qui contiennent un aperçu du message.
Les transferts vers les États-Unis sont encadrés par les clauses contractuelles types de la Commission européenne ou, lorsque le fournisseur y adhère, par le cadre de protection des données UE–États-Unis (Data Privacy Framework).
Les services que vous connectez à vos agents (Google, Microsoft, Notion, Sellsy, Pennylane, etc.) ne sont pas des sous-traitants de Proxia : ils reçoivent uniquement les appels que votre agent leur adresse, avec les autorisations que vous avez délivrées. Il en va de même de votre compte Stripe lorsque vous encaissez vos propres clients depuis l'application.
7. Sécurité
Proxia met en œuvre des mesures techniques et organisationnelles pour protéger vos données : chiffrement TLS de l'intégralité du trafic, chiffrement applicatif des jetons d'accès, clés et mots de passe des services connectés, mots de passe des utilisateurs enregistrés sous forme hachée, cloisonnement des données par client, sauvegardes quotidiennes, protection des pages publiques contre les robots et les abus.
8. Dictée et messages vocaux
Lorsque vous dictez un message ou utilisez le mode mains libres, la reconnaissance de la parole est d'abord assurée par votre navigateur, qui peut faire appel aux serveurs de son éditeur. L'enregistrement est ensuite transmis à Proxia puis à Groq pour être transcrit. La lecture à voix haute des réponses est réalisée par votre appareil.
9. Utilisation des données Google API Services
Lorsqu'un utilisateur connecte son compte Google à Proxia (Google Agenda, Google Sheets, Google Drive), l'application accède à certaines données de son compte Google via les API Workspace de Google. L'utilisation et le transfert par Proxia d'informations reçues des Google APIs vers toute autre application respectent la Google API Services User Data Policy, y compris les exigences relatives à la Limited Use.
Les autorisations demandées par défaut sont : agenda (calendar, calendar.events), feuilles de calcul (spreadsheets) et accès aux seuls fichiers Drive créés ou ouverts avec Proxia (drive.file). Proxia ne demande aucun accès à Gmail. Toute autorisation supplémentaire n'est demandée qu'à la demande du client, pour un besoin précis.
Important — emails : Proxia n'envoie jamais d'email automatiquement et n'accède pas à votre messagerie. L'agent prépare l'email dans la boîte d'envoi de l'application Proxia ; c'est vous, l'utilisateur, qui le relisez et cliquez « Envoyer ». Aucune communication externe n'est émise sans action humaine.
En particulier, Proxia s'engage à ce que les données issues des Google APIs :
- soient utilisées uniquement pour fournir ou améliorer des fonctionnalités directement visibles par l'utilisateur dans Proxia (préparer un brouillon d'email, créer un événement dans l'agenda, lire ou écrire dans une feuille de calcul demandée par l'utilisateur, etc.) ;
- ne soient jamais transférées à des tiers, sauf (i) si l'utilisateur en donne explicitement l'autorisation, (ii) pour des raisons de sécurité (lutte contre la fraude, abus, conformité), (iii) ou pour se conformer à la loi ;
- ne soient jamais utilisées à des fins publicitaires, ni à des fins de profilage publicitaire, ni revendues à des courtiers en données ;
- ne soient pas lues par des humains, sauf (i) avec le consentement explicite de l'utilisateur, (ii) pour des raisons de sécurité (incident, abus), (iii) pour respecter une obligation légale, ou (iv) sous forme agrégée et anonymisée à des fins de support et de débogage interne.
Les données Google ne sont pas utilisées pour entraîner, affiner ou améliorer des modèles d'IA généralistes. Les consignes envoyées au modèle Claude d'Anthropic transitent par l'API Anthropic, qui ne les utilise pas non plus pour l'entraînement de ses modèles (conformément aux conditions de l'API commerciale Anthropic).
Les jetons d'accès Google sont enregistrés chiffrés en base de données. Vous pouvez retirer à tout moment l'accès de Proxia à votre compte Google depuis myaccount.google.com/permissions : l'accès aux données Google cesse aussitôt. Vous pouvez aussi nous demander de déconnecter le connecteur, ce qui supprime immédiatement les jetons enregistrés chez Proxia.
10. Vos droits
Vous disposez à tout moment d'un droit d'accès, de rectification, d'effacement, de limitation et d'opposition au traitement de vos données, ainsi que d'un droit à la portabilité. Pour exercer ces droits, écrivez à contact@prox-ia.com en précisant votre demande. Délai de réponse : 30 jours maximum. Pour la suppression de vos données, voir aussi la page dédiée Suppression de vos données.
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL — www.cnil.fr/fr/plaintes.
11. Modifications
La présente politique peut être mise à jour pour refléter des évolutions techniques, légales ou contractuelles. Chaque version est datée. Toute modification substantielle est notifiée aux clients par email au moins 15 jours avant son entrée en vigueur.