Politique de confidentialité

Pour les données que le Client confie au Service (données de ses patients, de ses magasins, de ses comptes sur des plateformes tierces), le Prestataire agit en qualité de Sous-traitant (art. 28 RGPD) et le Client est Responsable de traitement, conformément à l'article 9 des CGV.

Pour les données de ses propres contacts (utilisateurs de l'application, demandes de démo), le Prestataire est Responsable de traitement.

• Comptes : nom, e-mail professionnel et rôle des utilisateurs de l'application.

• Contacts commerciaux : informations transmises via le formulaire de demande de démo.

• Accès du Client : identifiants et autorisations des outils que les agents utilisent pour son compte (voir section 3).

• Données métier : informations nécessaires à la tâche confiée (bénéficiaire, organisme complémentaire, devis, factures, paiements…), lues dans les outils du Client.

• Journaux : traces horodatées de chaque action d'agent et des connexions, pour la sécurité et l'auditabilité du Service.

Pour réaliser les tâches confiées, les agents se connectent, pour le compte du Client, aux outils qu'il a autorisés : logiciel métier, plateformes de tiers payant, banque, messagerie (Gmail, Outlook, IMAP)… Ils n'accèdent qu'aux informations nécessaires à la tâche configurée par le Client et n'y réalisent que les actions qu'il a configurées ou validées. Les accès (identifiants ou autorisations OAuth) sont conservés chiffrés et révocables à tout moment depuis la page Accès de l'application ou auprès de l'éditeur de l'outil.

Pour une messagerie, les agents lisent les e-mails utiles à la tâche (par exemple les codes de double authentification des plateformes ou les factures reçues) et envoient ceux que le Client a configurés ; le contenu des e-mails reçus n'est conservé que s'il fait partie du résultat demandé. Pour Gmail, le Service demande les autorisations gmail.readonly, gmail.send, openid et email.

Granit AI's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

• Fournir le Service souscrit (exécution du contrat).

• Sécuriser le Service et tracer les actions des agents (intérêt légitime).

• Répondre aux demandes de démo et de contact (intérêt légitime).

• Respecter les obligations légales du Prestataire (obligation légale).

Les données de santé sont traitées pour le compte du Client dans le cadre de l'article 9 du RGPD et du Code de la santé publique.

Le Prestataire ne cède, ne revend ni n'exploite les données à des fins propres. Il recourt à des prestataires techniques (hébergement, modèles d'intelligence artificielle) dans les conditions de l'article 5 des CGV : hébergement au sein de l'Union européenne, niveau de sécurité et de conformité maintenu. Les données sont également transmises aux plateformes que le Client demande d'utiliser pour son compte, et aux autorités lorsque la loi l'impose.

Les données sont hébergées au sein de l'Union européenne, chez un hébergeur certifié HDS, sans transfert hors UE. Elles sont chiffrées en transit et au repos, les accès sont restreints selon le principe du moindre privilège et chaque action d'agent est journalisée. Le détail des garanties figure sur la page Sécurité (getgranit.ai/securite).

Aucune donnée patient n'est utilisée pour entraîner des modèles tiers ; les modèles utilisés sont hébergés en Europe.

• Données du Service : pendant la durée du contrat, puis restituées et supprimées dans les 30 jours suivant sa fin (article 10 des CGV).

• Accès et jetons d'autorisation : jusqu'à leur révocation par le Client ou la fin du contrat.

• Contacts commerciaux : 3 ans après le dernier échange.

Toute personne dispose d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, à exercer auprès de contact@getgranit.ai. Lorsque le Prestataire agit comme Sous-traitant, il transmet la demande au Client et l'aide à y répondre. Une réclamation peut être introduite auprès de la CNIL (cnil.fr).

En cas de violation de données, le Prestataire notifie la CNIL sous 72 heures et informe les Clients concernés.

Seuls les cookies et le stockage local nécessaires au fonctionnement du site et de l'application sont utilisés (session, préférence de langue). Aucun cookie publicitaire.

Le Prestataire peut modifier la présente politique. La version en vigueur est celle publiée sur cette page ; toute évolution significative est notifiée aux Clients concernés.