Politique de confidentialité

1. Qui nous sommes

IyedeX est une entreprise tunisienne établie à Sfax qui conçoit des logiciels et des produits d'intelligence artificielle pour la Tunisie. Son représentant légal, responsable de la protection des données, est Iyed Chraiti.

• Entreprise : IyedeX, Sfax, Tunisie
• Contact pour tout ce qui concerne cette politique : contact@iyedex.tn
• Contact protection des données : Iyed Chraiti, à la même adresse

Pour nos propres produits, nous sommes responsable de traitement : nous décidons de ce qui est collecté et pourquoi. Pour les travaux menés sous contrat avec une entreprise ou une institution, nous sommes généralement sous-traitant et agissons sur instruction du client. Les parties trois et quatre précisent ce que cela change.

2. Portée

Elle couvre le site iyedex.tn, l'assistant 3amAli sur le web et dans son application mobile, tous nos autres produits, ainsi que les données personnelles que nous traitons pour le compte de clients privés et publics.

Elle ne couvre pas les sites d'autres entreprises vers lesquels nous renvoyons. Dès que vous suivez un lien sortant, c'est leur politique qui s'applique, pas la nôtre.

3. Données collectées

Trois catégories, qu'il vaut mieux distinguer.

• Ce que vous nous donnez. Votre nom et votre adresse e-mail à la création d'un compte, ce que vous écrivez dans un formulaire de contact ou de partenariat, et ce que vous envoyez à un produit en l'utilisant : messages, questions, fichiers et images.
• Ce que le service enregistre. Vos échanges avec un assistant, les fonctions que vous utilisez, les pages ouvertes, la durée des visites et les erreurs rencontrées.
• Ce que votre appareil révèle. Adresse IP, version du navigateur ou de l'application, système d'exploitation, langue et fuseau horaire, identifiants d'appareil. Ces éléments sont nécessaires pour répondre à la requête et pour distinguer un usage normal d'un abus.

Nous ne demandons pas, et ne souhaitons pas, de données sensibles : santé, croyances, opinions politiques, biométrie. Si vous en placez dans une conversation, elles sont traitées comme le reste de cette conversation, mais nous ne les recherchons jamais et n'établissons aucun profil sur cette base.

4. Finalités

• Faire fonctionner le service demandé : créer et tenir votre compte, répondre à vos questions, conserver votre historique là où vous le retrouvez, et vous aider en cas de problème. Base : l'exécution du contrat qui nous lie.
• Garder le service sûr et disponible : détecter les abus, prévenir la fraude, diagnostiquer les pannes, anticiper la charge. Base : notre intérêt légitime à un service qui fonctionne.
• Améliorer le produit : comprendre où les réponses échouent et où le dialecte tunisien est mal compris, et améliorer nos modèles, nos prompts et notre routage en conséquence. Base : notre intérêt légitime, assorti de votre droit d'opposition à tout moment (section 8).
• Respecter une obligation légale : lorsque le droit tunisien, ou une décision régulière d'une autorité ou d'un tribunal, nous impose de conserver ou de communiquer une information. Base : obligation légale.

5. Partage

Nous ne vendons pas vos données personnelles et nous ne les louons pas. Cela n'est jamais arrivé. Elles ne sont partagées que dans les cas suivants :

• Prestataires techniques qui hébergent, envoient les e-mails ou font tourner le service, liés par un contrat écrit de confidentialité et limités à la tâche que nous leur confions.
• Fournisseurs de modèles. Tant que notre modèle tunisien n'est pas achevé, une partie du travail de l'assistant s'appuie sur des modèles tiers que nous avons affinés. Concrètement, le texte d'une requête peut être traité sur leur infrastructure pour produire la réponse. Nous ne retenons que des fournisseurs contractuellement empêchés de s'en servir pour entraîner leurs propres modèles, et nous ne transmettons que le strict nécessaire.
• Les autorités, lorsque la loi ou une décision régulière l'exige, et pas au-delà de sa portée.
• Un acquéreur, en cas de fusion, d'acquisition ou de cession : la présente politique suit alors les données et vous serez informé avant tout changement.
• Tout le monde, sous forme agrégée : des comptages et des statistiques qui n'identifient personne.

6. Lieu et durée

Nous hébergeons en Tunisie chaque fois que c'est possible, et c'est la direction que prend l'entreprise. Une partie de l'infrastructure et certains fournisseurs de modèles se trouvent hors du pays : vos données peuvent donc être traitées à l'étranger. Dans ce cas, nous exigeons un accord écrit de protection des données et des garanties contractuelles types avant tout transfert.

Nous ne conservons rien plus longtemps que la raison qui le justifie :

• Données de compte : tant que le compte existe, puis effacées dans les 30 jours suivant sa suppression.
• Conversations et historique : jusqu'à ce que vous les supprimiez, ou jusqu'à la suppression du compte.
• Journaux techniques et de sécurité : 12 mois, puis effacés.
• Données anonymisées servant à améliorer les modèles : conservées tant qu'elles sont utiles, et seulement une fois qu'elles ne peuvent plus vous être rattachées.
• Documents à conservation légale obligatoire : pendant la durée fixée par la loi, pas davantage.

7. Sécurité

• Tout ce qui circule est chiffré en TLS.
• Les données sensibles sont chiffrées au repos.
• L'accès est limité aux personnes qui en ont besoin pour travailler, selon le principe du moindre privilège, et les accès aux données personnelles sont journalisés.

Une exception, dite franchement. Votre adresse e-mail et votre nom d'utilisateur ne sont pas chiffrés au repos : la récupération de compte et l'administration des utilisateurs exigent de pouvoir les lire. Nous préférons le dire plutôt que de vous laisser supposer le contraire.

Aucun système connecté à Internet n'est parfaitement sûr et nous ne prétendrons pas le contraire. Si une violation touche vos données, nous vous en informerons ainsi que l'Instance Nationale de Protection des Données Personnelles sans délai injustifié, en disant clairement ce qui s'est passé et ce qu'il convient de faire.

8. Vos droits

Sur les données que nous détenons à votre sujet, vous avez le droit de :

• Y accéder : demander une copie de ce que nous détenons.
• Les rectifier : faire corriger ce qui est inexact.
• Les effacer : en obtenir la suppression, sous réserve de ce que la loi nous impose de garder.
• Vous y opposer : y compris à l'utilisation de vos données pour améliorer nos modèles, ce que nous appliquerons sans vous demander de motif.
• En limiter le traitement : nous les faire conserver sans les utiliser, le temps qu'un différend soit tranché.
• Les emporter : les recevoir dans un format portable.

Écrivez à contact@iyedex.tn. Nous répondons sous 30 jours. Nous pouvons vous demander de confirmer votre identité au préalable : c'est vous que cela protège, pas nous. Si notre réponse ne vous satisfait pas, vous pouvez saisir l'Instance Nationale de Protection des Données Personnelles (INPDP).

9. Enfants

Nos produits ne s'adressent pas aux enfants de moins de 13 ans et nous ne collectons sciemment aucune donnée les concernant. Si nous constatons en détenir sans consentement parental vérifié, nous les supprimons.

Entre 13 et 18 ans, nous demandons qu'un parent ou tuteur lise cette politique et consente à l'utilisation du service. Si vous êtes parent et pensez que votre enfant nous a transmis des données, écrivez à contact@iyedex.tn et nous les supprimerons.

10. Droit applicable

Nous relevons du droit tunisien, et en particulier de la loi organique n° 2004-63 du 27 juillet 2004 relative à la protection des données à caractère personnel, sous le contrôle de l'INPDP. Lorsqu'un client, un marché ou un utilisateur apporte des obligations plus strictes (le RGPD notamment), nous appliquons la norme la plus stricte plutôt que le minimum.

11. Modifications

Nous mettons cette page à jour lorsque nos pratiques changent. La date en tête indique toujours quand. Si un changement est important, nous ne comptons pas sur le fait que vous le remarquiez : nous vous le dirons par e-mail ou dans le produit avant son entrée en vigueur, en précisant ce qui a changé.

12. Contact

Toute question sur cette politique, toute demande sur vos données, toute réclamation :

• E-mail : contact@iyedex.tn
• Adresse : IyedeX, Sfax, Tunisie
• Personne responsable : Iyed Chraiti

Nous répondons à toute demande relative à la vie privée sous 30 jours.

Produits à venir

Chaque nouveau produit grand public reçoit ici sa propre section, indiquant ce qu'il collecte et pourquoi, avant son lancement. Cette partie est la liste complète : si un produit n'y figure pas, il n'est pas en service.

Notre rôle

Lorsque nous construisons ou exploitons quelque chose pour une entreprise, les données personnelles qui s'y trouvent lui appartiennent et elle en reste responsable de traitement. Nous sommes sous-traitant : nous agissons sur ses instructions écrites et sur rien d'autre. Le contrat signé, et l'accord de traitement qui y est annexé, régissent la relation ; s'ils disent autre chose que cette page, ce sont eux qui l'emportent.

Personnes concernées

Indépendamment des données clients, nous détenons les coordonnées professionnelles ordinaires de nos interlocuteurs : nom, fonction, e-mail et téléphone professionnels, et la trace de ce qui a été discuté et convenu. Nous les détenons comme responsable de traitement, pour gérer la relation et satisfaire à nos obligations comptables et légales, pendant la durée de la relation augmentée du délai imposé par le droit tunisien.

Données clients

• Nous ne les traitons que pour livrer ce qui a été convenu.
• Nous n'utilisons pas les données clients pour entraîner nos modèles, ni pour améliorer quoi que ce soit en dehors du projet du client, sauf demande écrite de sa part.
• Nous ne mélangeons jamais les données de deux clients.
• Nous ne faisons appel à un sous-traitant ultérieur qu'avec l'accord du client, et à des conditions au moins aussi strictes que les nôtres.
• À la fin de la mission, nous restituons ou détruisons les données, au choix du client, et le confirmons par écrit.

Sécurité

Les environnements clients sont cloisonnés, l'accès est limité à l'équipe du projet et journalisé, et les identifiants sont conservés dans un gestionnaire de secrets, jamais dans le code ni dans un message. Nous signalons au client tout incident touchant ses données sans délai injustifié et l'assistons dans ses propres obligations de notification. Le client peut auditer ces dispositions moyennant un préavis raisonnable, dans les termes prévus par son contrat.

Souveraineté

Les données d'une institution publique, et les données de citoyens qu'elle nous confie, sont hébergées en Tunisie. Lorsqu'un projet ne peut réellement pas être livré sans une brique située hors du pays, nous le disons avant la signature, nous nommons la brique et le pays, et nous n'avançons qu'avec l'accord écrit de l'institution. Rendre possible de garder ce travail entièrement en Tunisie est une grande part de la raison d'être de l'entreprise.

Les données des citoyens

Les données de citoyens traitées pour le compte d'une institution servent à la finalité de cette institution et à rien d'autre. Elles ne servent jamais à entraîner nos modèles, sous aucune forme, anonymisées ou non, et ne sont jamais réutilisées pour un autre client. Nous les conservons pour la durée que fixe l'institution, et nous les restituons ou les détruisons à la fin de la mission.

Audit et signalement

Nous travaillons dans le cadre des règles tunisiennes de la commande publique et du cadre propre à l'institution. Nous fournissons la documentation dont un organisme public a besoin pour se prononcer : comment un système est bâti, où vont les données, qui peut y accéder, et nous acceptons audits et inspections selon les termes du contrat. Les incidents touchant les données d'une institution lui sont signalés, ainsi qu'à l'INPDP lorsque la loi l'exige, sans délai injustifié.

Intelligence artificielle

Lorsqu'un système que nous construisons éclaire une décision qui touche un usager, nous l'indiquons dans la documentation, nous ne présentons jamais la sortie d'un modèle comme une décision, et nous prévoyons un recours devant une personne. Un modèle peut se tromper, et un service public doit pouvoir le rattraper quand il se trompe.