Politique de confidentialité

1. Qui traite vos données, et à quel titre

La présente politique explique quelles données à caractère personnel sont traitées lorsque vous utilisez Polynum, pourquoi, à qui elles sont transmises, combien de temps elles sont conservées et quels droits vous pouvez exercer. Deux acteurs y interviennent, et ils n'ont pas le même rôle : le distinguer n'est pas une subtilité juridique, c'est ce qui détermine à qui vous adressez une demande.

• Votre cabinet est responsable de traitement — c'est lui qui décide d'utiliser Polynum pour ses ateliers et qui choisit ce qui y est déposé. Déterminer les finalités et les moyens du traitement, c'est la définition même du responsable.
• PolysemIQ SAS est sous-traitant — l'éditeur fournit l'outil et le fait fonctionner pour le compte du cabinet, sur ses instructions. Il n'utilise vos contenus pour aucune finalité qui lui serait propre — ni analyse commerciale, ni entraînement de modèles.
• Les fournisseurs auxquels l'éditeur fait appel sont sous-traitants ultérieurs — ils n'interviennent que pour la prestation qui leur est confiée, sous les mêmes obligations.

Une exception : pour la gestion de votre compte et la sécurité du service, PolysemIQ SAS est lui-même responsable, puisque c'est lui qui en décide. En pratique, si votre demande porte sur le contenu d'un tableau, adressez-vous à votre cabinet, que nous assistons ; si elle porte sur votre compte, écrivez-nous à dpo@polysemiq.fr. Une demande reçue par erreur est transmise à celui qui doit y répondre, et vous en êtes informé.

2. Pourquoi vos données sont traitées

Les traitements suivants sont mis en œuvre. Pour ceux dont votre cabinet est responsable, la base légale est celle qu'il retient et que l'éditeur applique pour son compte.

Aucune donnée n'est utilisée à des fins de prospection, de publicité, de mesure d'audience ou de profilage : le service ne comporte aucun outil de cette nature.

3. Quelles données sont traitées, et d'où elles viennent

Ces données proviennent de vous, des autres participants aux tableaux sur lesquels vous travaillez, et des fichiers ou photographies que vous transmettez.

Certaines ne sont pas fournies par la personne qu'elles concernent : un nom ou un propos peut figurer sur un post-it, dans un commentaire ou dans un fichier joint, et une photographie de mur d'atelier peut porter des écritures manuscrites nominatives ou faire apparaître des personnes présentes dans la salle. La source est alors l'utilisateur qui a rédigé, photographié ou déposé cet élément, et il lui appartient, comme au cabinet dont il relève, d'en informer ces personnes. Les destinataires, durées et droits décrits ici leur sont applicables de la même manière ; qui souhaite savoir si des données le concernant figurent dans le service peut écrire à dpo@polysemiq.fr.

4. Qui reçoit vos données

Au sein de l'entreprise, seules les personnes de l'équipe de PolysemIQ SAS dont les fonctions le justifient accèdent aux données, pour les seuls besoins de la fourniture et de la maintenance du service. À l'extérieur, les prestataires suivants interviennent en qualité de sous-traitants ultérieurs, sur instruction et pour la seule prestation qui leur est confiée :

Vos contenus ne sont ni vendus, ni loués, ni communiqués à des tiers à des fins commerciales, et ne sont pas utilisés pour entraîner des modèles d'intelligence artificielle. En dehors de ces prestataires, ils peuvent être communiqués aux autorités administratives ou judiciaires lorsqu'une disposition légale l'impose ; une telle communication est consignée.

5. L'assistant d'intelligence artificielle : ce qui part, et chez qui

C'est la section la plus importante de cette politique : elle décrit le seul traitement qui fait sortir vos contenus du service. Lorsque vous sollicitez l'assistant, le service transmet à un fournisseur de modèles votre consigne, l'état du tableau, le contenu des fichiers joints et les photographies transmises ; ce fournisseur renvoie une proposition, que le service dépose dans votre tableau. Les fournisseurs susceptibles d'être sollicités, et leur pays d'établissement, sont les suivants :

Le traitement des photographies d'atelier fait appel à des fournisseurs déterminés par le service, et non à celui que vous auriez choisi pour les autres usages ; cette particularité vous est signalée avant l'envoi des photographies. L'éditeur demande à chacun de ces fournisseurs que les contenus transmis ne soient pas utilisés pour entraîner leurs modèles et ne soient conservés que le temps nécessaire à l'exécution de la demande.

Les contenus que l'assistant vous propose sont des propositions de travail, à relire avant toute réutilisation ou diffusion. Ils porteront une mention de leur origine artificielle — visible sur les documents exportés et lisible par machine — au plus tard le 2 décembre 2026. Cette mention n'est pas encore déployée à ce jour : jusqu'à cette date, il vous appartient de signaler vous-même cette origine lorsque vous rediffusez ces contenus.

6. Transferts hors de l'Union européenne

Une partie des prestataires mentionnés à la section 5 est établie hors de l'Union européenne, dans le ou les pays suivants : États-Unis. Le recours à ces prestataires emporte un transfert de données hors de l'Union au sens du chapitre V du règlement (UE) 2016/679.

L'encadrement contractuel de ces transferts est en cours de conclusion. PolysemIQ SAS s'engage à ce que chacun d'eux soit couvert, au plus tard en septembre 2026, par les clauses contractuelles types adoptées par la Commission européenne ou par une autre garantie appropriée au sens du chapitre V du règlement, complétée le cas échéant par des mesures supplémentaires appréciées au regard de la législation du pays de destination. Il s'engage également à n'orienter d'ici là aucun traitement vers un prestataire nouveau qui n'en serait pas couvert.

Vous pouvez demander l'état des garanties applicables à un transfert déterminé en écrivant à dpo@polysemiq.fr ; il vous est communiqué dans le mois, avec copie des garanties lorsqu'elles sont conclues, le cas échéant expurgée des seules stipulations couvertes par le secret des affaires. Lorsqu'aucune garantie n'est encore en place pour un flux, cela vous est indiqué, avec l'échéance de mise en conformité.

Si vous souhaitez que vos contenus ne soient traités que par un fournisseur établi dans l'Union européenne, indiquez-le à votre cabinet : cette restriction peut être demandée à l'éditeur, qui l'applique par configuration du compte. Elle n'est pas encore proposée comme une option du service : sa mise en œuvre technique dans l'ensemble des parcours — y compris la chaîne de lecture des photographies d'atelier, qui ne passe pas aujourd'hui par le choix de fournisseur — est prévue et achevée au plus tard en octobre 2026.

7. Combien de temps vos données sont conservées

Les durées suivantes sont celles que l'éditeur retient. Elles constituent un engagement pour l'avenir et non la description d'un état existant : leur mise en œuvre technique dans l'ensemble du service n'est pas achevée à ce jour, les seules bornes en vigueur étant volumétriques ou fonctionnelles.

Cette mise en œuvre technique est achevée au plus tard en septembre 2026. Deux précisions utiles : une suppression demandée est répercutée dans les sauvegardes à l'échéance de la dernière archive contenant la donnée, et non instantanément — cette échéance vous est indiquée lorsque vous exercez votre droit ; et une donnée peut être conservée au-delà de la durée indiquée lorsqu'une obligation légale ou la constatation d'un droit en justice l'impose, auquel cas elle est archivée et n'est plus utilisée pour le service.

8. Ce que vous êtes tenu de fournir, et absence de décision automatisée

La fourniture de votre adresse électronique et d'un nom d'affichage est nécessaire à la création de votre compte : sans elle, l'accès ne peut pas être ouvert. Il s'agit d'une exigence contractuelle, non d'une obligation légale. Le contenu que vous placez sur vos tableaux, les fichiers joints et les photographies relèvent en revanche de votre seule appréciation : le service fonctionne sans eux, et tant que vous ne sollicitez pas l'assistant, aucun contenu n'est transmis à un fournisseur de modèles.

Aucune décision produisant des effets juridiques à votre égard, ou vous affectant de manière significative, n'est prise sur le seul fondement d'un traitement automatisé : le résultat produit par l'assistant est un schéma graphique déposé dans un tableau, que vous restez libre de modifier ou de supprimer. Le service ne met en œuvre aucun profilage, aucune reconnaissance faciale, aucune analyse d'émotions et aucun traitement de données biométriques.

9. Vos droits, et comment les exercer

Vous disposez, dans les conditions prévues par le règlement (UE) 2016/679, des droits suivants :

• Accès (art. 15) — obtenir la confirmation que des données vous concernant sont traitées et en recevoir une copie.
• Rectification (art. 16) — faire corriger une donnée inexacte ou compléter une donnée incomplète.
• Effacement (art. 17) — obtenir la suppression de vos données, notamment lorsqu'elles ne sont plus nécessaires.
• Limitation (art. 18) — obtenir le gel d'un traitement, le temps qu'une contestation soit tranchée.
• Portabilité (art. 20) — recevoir dans un format lisible par machine les données que vous avez fournies, ou en demander la transmission directe à un autre prestataire lorsque cela est techniquement possible.
• Directives post mortem — définir le sort de vos données après votre décès, et les modifier à tout moment.

Pour les exercer, adressez-vous en premier lieu à votre cabinet, responsable du traitement de vos contenus. Vous pouvez également écrire à dpo@polysemiq.fr ou à l'adresse postale figurant aux mentions légales : votre demande est alors transmise au cabinet compétent sous trois jours ouvrés, et vous en êtes informé. Il vous est répondu dans un délai d'un mois, prolongeable de deux mois en raison de la complexité ou du nombre de demandes — vous en êtes alors informé, avec le motif, dans le premier mois. Une pièce d'identité n'est demandée qu'en cas de doute raisonnable, et l'exercice de ces droits est gratuit.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de l'autorité de contrôle française : Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07. Elle peut également être déposée en ligne depuis son site. Si votre résidence habituelle ou votre lieu de travail se situe dans un autre État membre de l'Union européenne, vous pouvez saisir l'autorité de contrôle de cet État.

10. Votre droit d'opposition

Vous avez le droit de vous opposer, à tout moment, pour des raisons tenant à votre situation particulière, aux traitements fondés sur l'intérêt légitime de l'éditeur — ici, ceux qui relèvent de la sécurité du service et de la journalisation. En cas d'opposition, l'éditeur cesse le traitement, à moins de démontrer l'existence de motifs légitimes et impérieux qui prévalent sur vos intérêts, vos droits et vos libertés, ou que le traitement soit nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice. L'opposition s'exerce à l'adresse dpo@polysemiq.fr ; elle ne vous prive d'aucun autre droit et n'a aucune conséquence sur la fourniture du service, sous réserve des mesures de sécurité indispensables à son fonctionnement.

11. Les liens de partage : ce qu'un invité voit, et ce qu'il reçoit

Un lien de partage vaut autorisation d'accès : toute personne qui en dispose accède au tableau, sans authentification, et le service ne sait pas qui le détient — seulement qu'il a été présenté. Un invité voit :

• l'intégralité du contenu du tableau : post-its, textes, formes, cadres, images et fichiers déposés
• les commentaires et le nom de leurs auteurs
• les versions antérieures du tableau — donc des contenus qui ont pu en être retirés depuis
• le nom et l'activité des participants connectés au même moment

Un invité transmet, du seul fait de son accès : le nom qu'il déclare, son activité pendant la session, et les commentaires ou objets qu'il crée si le lien accorde l'écriture. Un tel lien permet en outre de solliciter l'assistant, et donc de faire sortir le contenu du tableau vers un fournisseur de modèles, dans les conditions de la section 5.

12. Sécurité, version de cette politique et modifications

L'éditeur met en œuvre les mesures techniques et organisationnelles appropriées : cloisonnement par compte, chiffrement des clés d'accès aux services tiers et des communications avec votre navigateur, restriction des accès d'exploitation, journalisation. En cas de violation susceptible d'engendrer un risque élevé pour vos droits et libertés, vous en êtes informé dans les meilleurs délais, ainsi que le cabinet responsable et, lorsque la loi l'impose, l'autorité de contrôle.

La présente politique est en version 1.1, du 21 août 2026 ; la version applicable est celle publiée à cette adresse, identifiée par sa date. Toute modification substantielle — nouvelle finalité, nouveau destinataire, nouveau pays de destination, allongement d'une durée — vous est signalée dans le service et par message à l'adresse électronique de votre compte, avant son entrée en vigueur. Les versions antérieures sont communiquées sur demande adressée à dpo@polysemiq.fr.