Politique de confidentialité

Ceci est une traduction de la politique de confidentialité allemande. En cas de divergence, la version allemande prévaut.

La présente politique de confidentialité explique, conformément aux art. 13 et 14 RGPD, quelles données personnelles Creativate Technologies GmbH traite lorsque vous visitez nos sites, nous contactez, créez un compte ou utilisez c:node, et quels sont vos droits.

Elle s'applique :

• aux sites creativate.tech, c-node.ai et graph.c-node.ai,
• à l'application c:node (app.c-node.ai, environnement d'essai try.c-node.ai, application de bureau et mobile), au compte central auth.c-node.ai, à la facturation billing.c-node.ai et aux interfaces de c:node (API, MCP).

1. Responsable du traitement et contact protection des données

Creativate Technologies GmbH Lahnstraße 65, 60326 Francfort-sur-le-Main, Allemagne

Représentée par son gérant Leonardo Bornhäußer.

• E-mail : contact@creativate.tech
• Contact protection des données : privacy@creativate.tech

2. Notre rôle : responsable du traitement ou sous-traitant

• Nous sommes responsable du traitement pour nos sites, les demandes, les newsletters, les offres de démonstration et d'essai, le compte c:node, la facturation, l'exploitation et la sécurité de nos services ainsi que pour le jeu de données du c:node Graph (section 4.13).
• Nous sommes sous-traitant lorsque des organisations (clients) mettent c:node à la disposition de leurs collaborateurs et y traitent des contenus : conversations, fichiers, mémoire, données de services connectés (connecteurs), routines et brouillons. L'organisation est alors responsable du traitement ; nous ne traitons ces contenus que sur ses instructions, sur la base de notre accord de traitement des données (DPA). Adressez d'abord vos questions sur ces contenus à votre organisation ; nous l'aidons à y répondre.

Les sections suivantes décrivent aussi les traitements que nous effectuons en tant que sous-traitant, afin que vous puissiez comprendre ce qu'il advient de vos données.

3. Principes

• Hébergement dans l'UE. Nos serveurs, bases de données et fichiers sont hébergés par Amazon Web Services à Francfort-sur-le-Main (région eu-central-1).
• Pas d'entraînement avec vos données. Nous n'utilisons pas vos contenus pour entraîner des modèles d'IA et ne les mettons pas à la disposition des fournisseurs de modèles à des fins d'entraînement.
• Rien vers l'extérieur sans validation. c:node n'envoie pas d'e-mails, ne crée pas de rendez-vous, de documents ou de tâches dans des services connectés et n'écrit rien vers l'extérieur sans qu'une personne habilitée ait expressément validé le brouillon.
• Pas de suivi. Sur c-node.ai, dans l'application, dans le compte et dans la facturation, nous n'utilisons aucun outil d'analyse, de publicité ou de suivi. Les polices et bibliothèques sont servies depuis nos propres serveurs.

4. Traitements en détail

4.1 Visite de nos sites

Lorsque vous ouvrez une page, le serveur qui la délivre traite des données techniquement nécessaires : adresse IP, date et heure, adresse demandée, référent, informations sur le navigateur et le système d'exploitation. Les sites sont délivrés via Amazon CloudFront et Amazon S3.

• Finalité : mise à disposition du site, stabilité et sécurité (par ex. défense contre les attaques).
• Base juridique : art. 6, par. 1, point f) RGPD (intérêt légitime à un site sûr et fonctionnel).
• Durée de conservation : lorsque des journaux d'accès sont générés, nous les supprimons dès qu'ils ne sont plus nécessaires à ces fins.

Nous ne stockons sur votre appareil que ce qui est nécessaire à son fonctionnement (par ex. langue et affichage choisis, votre choix en matière de cookies). Les détails figurent dans la Politique de cookies. La base juridique du stockage et de la lecture est le § 25, al. 2, n° 2 TDDDG (loi allemande sur la protection des données dans les télécommunications et les services numériques), et l'art. 6, par. 1, point f) RGPD pour le traitement ultérieur.

Pour certains contenus, comme les chiffres clés du c:node Graph, c-node.ai récupère des données auprès de nos propres services (graph.c-node.ai, auth.c-node.ai pour l'affichage « connecté », contract.c-node.ai pour la démonstration). Aucune donnée n'est transmise à des tiers à cette occasion.

4.2 Formulaires de contact et de demande, e-mail, prise de rendez-vous

Lorsque vous nous écrivez via un formulaire, nous traitons prénom, nom, adresse e-mail, entreprise, votre message, l'objet, la langue, la page depuis laquelle vous écrivez et votre déclaration de consentement. Les formulaires passent par notre propre service de formulaires (forms.creativate.tech) et sont enregistrés dans notre système de gestion des contacts auto-hébergé (Mautic). Contre le spam, nous utilisons ALTCHA : votre navigateur résout un petit calcul ; aucun cookie n'est déposé et aucune donnée n'est transmise à des tiers.

Les e-mails qui nous sont adressés arrivent dans des boîtes Google Workspace (Google Ireland Limited). Pour la prise de rendez-vous, nous renvoyons vers Google Agenda (calendar.app.google) ; les informations de confidentialité de Google s'y appliquent également et vous saisissez vos données directement chez Google.

• Finalité : traitement de votre demande et communication avec vous.
• Base juridique : art. 6, par. 1, point b) RGPD lorsque la demande concerne ou prépare un contrat, sinon art. 6, par. 1, point f) RGPD (réponse aux demandes).
• Durée de conservation : jusqu'au traitement de votre demande, puis jusqu'à 3 ans (prescription de droit commun allemand) si aucune relation commerciale n'en résulte ; en cas de contrat, les durées de la section 7 s'appliquent.

4.3 Newsletter

Sur creativate.tech et lors de la création d'un compte, vous pouvez vous abonner à nos actualités par e-mail. Nous traitons votre adresse e-mail, votre langue, la date et le texte de votre consentement. Sur creativate.tech, nous envoyons un e-mail de confirmation (double opt-in) ; vous ne recevez la newsletter qu'après confirmation.

• Base juridique : art. 6, par. 1, point a) RGPD (consentement).
• Retrait : à tout moment via le lien de désinscription présent dans chaque envoi, dans les paramètres du compte (auth.c-node.ai) ou par e-mail à privacy@creativate.tech.
• Durée de conservation : jusqu'au retrait ; nous conservons ensuite la preuve du consentement jusqu'à 3 ans (art. 7, par. 1 RGPD, prescription).

4.4 Démonstration « état des lieux » sur c-node.ai et environnement d'essai try.c-node.ai

Sur c-node.ai, vous pouvez faire établir sans connexion un « état des lieux » (Lagebild) sur une entreprise. Vous saisissez une adresse internet (domaine) et, si vous le souhaitez, une question. c:node consulte alors jusqu'à quelques dizaines de pages publiques de ce site (y compris les pages mentions légales et équipe), les compare à des sources publiques (par ex. données des registres, appels d'offres de l'UE, sources juridiques) et fait résumer le texte par un modèle de langage d'IA (Google Gemini). Le résultat est un brouillon généré par IA, qui peut contenir des erreurs.

Si vous demandez l'état des lieux en PDF par e-mail, nous traitons en outre votre adresse e-mail et votre consentement, vous envoyons le lien et pouvons vous contacter une fois au sujet de cet état des lieux.

• Données : domaine et question saisis, langue, données techniques (adresse IP pour la limitation d'usage et la prévention des abus), un cookie de session (cn_demo, 24 heures), et, en cas de demande de PDF, adresse e-mail et consentement.
• Base juridique : art. 6, par. 1, point f) RGPD pour la démonstration (présentation de notre produit, prévention des abus) ; art. 6, par. 1, point a) RGPD pour l'envoi et la prise de contact par e-mail.
• Destinataires : Google (API Gemini, voir section 5) pour le résumé ; notre service d'envoi d'e-mails (Resend) pour l'envoi.
• Durée de conservation : lien PDF 7 jours ; session de démonstration 24 heures ; adresse e-mail, domaine et question jusqu'au retrait de votre consentement. L'adresse IP peut être conservée dans le journal d'utilisation jusqu'à 400 jours. Les résultats établis pour un domaine peuvent être mis en cache afin de répondre plus rapidement aux demandes répétées ; nous les supprimons sur demande adressée à privacy@creativate.tech.

Information pour les personnes dont le site est analysé : nous ne traitons que des pages accessibles au public. Des noms figurant sur les pages mentions légales ou équipe peuvent être contenus dans le texte transmis au modèle de langage ; l'état des lieux lui-même ne présente aucune personne. Vous pouvez vous opposer à ce traitement en vertu de l'art. 21 RGPD (section 10).

Dans l'environnement d'essai try.c-node.ai, vous pouvez essayer c:node avec un compte d'essai gratuit. L'IA y traite vos saisies avec Google Gemini ; les sections 4.6 à 4.8 s'appliquent. Veuillez ne pas saisir de données confidentielles ou particulièrement sensibles dans l'environnement d'essai.

4.5 Retours (feedback)

Via l'icône de feedback de nos pages, vous pouvez nous envoyer une évaluation, un message et, si vous le souhaitez, votre adresse e-mail et jusqu'à trois captures d'écran. Nous enregistrons également la page, la langue et le type de navigateur.

• Finalité : corriger les erreurs et améliorer le produit.
• Base juridique : art. 6, par. 1, point f) RGPD.
• Durée de conservation : jusqu'au traitement du retour, 12 mois au maximum.

4.6 Compte et connexion

Pour c:node, le compte et la facturation, vous utilisez un compte central (auth.c-node.ai). Nous traitons l'adresse e-mail, le nom, éventuellement l'entreprise, la langue, la photo de profil, le mot de passe (uniquement sous forme de hachage), les rôles et appartenances à des organisations, les dates de connexion, les consentements et acceptations des conditions et informations de confidentialité (avec version et date) ainsi que les événements de sécurité (par ex. connexions, avec un hachage tronqué de l'adresse IP).

Vous pouvez vous connecter avec un code ou un lien par e-mail, avec un mot de passe ou via Google ou Microsoft. Lors d'une connexion via Google ou Microsoft, nous recevons votre adresse e-mail, votre nom, un identifiant et, le cas échéant, votre photo de profil (autorisations « openid », « email », « profile ») ; les informations de confidentialité du fournisseur s'appliquent également. Une photo de profil ainsi obtenue peut être chargée directement depuis les serveurs du fournisseur lors de son affichage ; le fournisseur reçoit alors votre adresse IP.

• Finalité : mise à disposition du compte, connexion sécurisée, gestion des organisations et des rôles, preuve des consentements.
• Base juridique : art. 6, par. 1, point b) RGPD (contrat d'utilisation) ; art. 6, par. 1, point c) en lien avec l'art. 7, par. 1 RGPD pour la preuve des consentements ; art. 6, par. 1, point f) RGPD pour les événements de sécurité.
• Durée de conservation : tant que le compte existe. Événements de sécurité 90 jours, codes et liens de connexion expirés après 1 jour, sessions terminées après 7 jours. Si vous supprimez votre compte, il est supprimé après un délai d'attente de 30 jours, pendant lequel vous pouvez annuler la suppression. Ensuite, il ne subsiste qu'un espace réservé sans lien avec votre personne ; nous conservons les données de facturation conformément à la section 4.14.

Vous pouvez désactiver ou supprimer votre compte et exporter vos données (art. 20 RGPD) vous-même dans les paramètres du compte.

4.7 Utilisation de c:node : conversations, fichiers et mémoire

Lorsque vous utilisez c:node, nous traitons les contenus que vous saisissez ou téléversez et les résultats : questions et réponses (conversations), fichiers de la bibliothèque, notes et entrées de la mémoire, brouillons, calculs, validations et données d'utilisation (par ex. quotas consommés).

La mémoire comporte trois espaces : personnel (par défaut, vous seul), équipe et organisation. Personne d'autre ne voit les contenus personnels, pas même les administrateurs. Les contenus n'entrent dans la mémoire d'équipe ou d'organisation qu'après validation expresse. Les connaissances publiques du c:node Graph en sont séparées et ne sont pas modifiées par votre utilisation.

Les fichiers sont stockés chiffrés dans Amazon S3 (Francfort) ; en raison du versionnage, les fichiers supprimés restent disponibles dans une version de sauvegarde jusqu'à 30 jours.

• Base juridique : art. 6, par. 1, point b) RGPD ; en cas d'utilisation via une organisation, nous traitons les contenus en tant que son sous-traitant (art. 28 RGPD).
• Durée de conservation : jusqu'à leur suppression par vous ou votre organisation, au plus tard à la suppression du compte ou 30 jours après la fin du contrat (DPA). Les contenus des espaces équipe et organisation appartiennent à l'organisation et sont conservés lors de la suppression de votre compte.

4.8 Traitement par l'IA

c:node est un système d'IA. Les réponses, résumés et brouillons sont générés par des modèles de langage d'IA et signalés comme résultats d'IA dans l'application ; les affirmations étayées portent leur source. Les résultats de l'IA peuvent contenir des erreurs. Veuillez les vérifier avant de les utiliser. Les détails figurent dans l'Avis de transparence IA.

Pour produire une réponse, nous transmettons à un modèle de langage votre question, l'historique de la conversation et les contenus nécessaires (par ex. extraits de fichiers, de la mémoire ou de services connectés). Le modèle utilisé dépend de l'offre, de la tâche et des paramètres de votre organisation :

Les organisations peuvent choisir une règle « UE uniquement » ; seuls des modèles traitant dans l'UE ou nos propres modèles sont alors utilisés. Si une organisation utilise ses propres clés d'API (« bring your own key »), son contrat avec le fournisseur s'applique.

Pseudonymisation. Pour une partie des appels aux modèles, nous remplaçons avant la transmission les données personnelles reconnaissables (par ex. adresses e-mail, numéros de téléphone, IBAN, adresses, noms) par des espaces réservés et ne les réinsérons que dans la réponse. Nous étendons progressivement cette couche de protection à tous les appels. Les données pseudonymisées restent des données personnelles ; les garanties des sections 5 et 6 s'appliquent donc inchangées.

Catégories particulières. Veuillez ne pas saisir de données de santé ou d'autres catégories particulières (art. 9 RGPD) si votre organisation n'a pas fixé de règles à ce sujet. Si c:node détecte de telles données, il ne les traite qu'avec des modèles situés dans l'UE ou sur nos propres serveurs.

Pas de décision individuelle automatisée. c:node ne prend pas de décisions produisant des effets juridiques ou affectant de manière significative de façon similaire au sens de l'art. 22 RGPD. Il propose ; ce sont des personnes qui décident et valident.

• Base juridique : comme à la section 4.7.
• Conservation chez les fournisseurs de modèles : les fournisseurs traitent les données pour générer la réponse. La question de savoir s'ils les conservent en outre brièvement, par exemple pour détecter les abus, et pour combien de temps, dépend des conditions d'API de chaque fournisseur.
• Journal d'utilisation : pour la facturation, le contrôle des coûts et l'assurance qualité, nous enregistrons pour chaque appel l'organisation, l'offre, la tâche, le fournisseur, le modèle, le nombre de jetons, le coût et la durée — sans contenu. Conservation : 400 jours.

4.9 Services connectés (connecteurs)

Vous ou votre organisation pouvez connecter c:node à d'autres services, par ex. Google (Gmail, Drive, Agenda, Docs, Sheets, Tasks), Microsoft 365 (Outlook, Calendrier, OneDrive, SharePoint, To Do, Teams), Atlassian (Jira, Confluence), Slack, Notion, Asana, GitHub, Nextcloud, DATEV, Lexware Office, sevDesk, Personio, EspoCRM et d'autres. Une liste à jour figure dans l'application.

• Ce qui se passe : ce n'est qu'une fois un service connecté que c:node reçoit les autorisations que vous accordez (par ex. lire Gmail et créer des brouillons, lire les agendas et créer des rendez-vous, lire des fichiers). c:node lit alors les contenus nécessaires à votre question ou routine et peut en transmettre des extraits au modèle de langage (section 4.8). Si la synchronisation est activée, nous enregistrons des métadonnées (par ex. objet, expéditeur, nom de fichier, date) et, si vous le choisissez, les textes intégraux afin que c:node puisse les retrouver.
• Écriture uniquement après validation : c:node ne crée ou n'envoie des e-mails, brouillons, rendez-vous, documents, tâches et messages dans les services connectés que si vous validez expressément le brouillon concerné. L'envoi d'un e-mail est une seconde étape de validation distincte.
• Identifiants : nous stockons chiffrés les jetons d'accès des services. Vous pouvez à tout moment déconnecter un service dans c:node et révoquer l'accès auprès du fournisseur. Les données déjà synchronisées sont conservées après la déconnexion jusqu'à ce que vous les supprimiez ou que votre compte soit supprimé.
• Base juridique : art. 6, par. 1, point b) RGPD ; en cas d'utilisation via une organisation, en tant que son sous-traitant. L'organisation utilisatrice est responsable des personnes dont les données figurent dans vos e-mails, agendas ou fichiers.
• Durée de conservation : les données synchronisées suivent la source (un contenu supprimé dans le service l'est aussi chez nous), sinon jusqu'à leur suppression par vous ou celle du compte. Les données auxiliaires des tâches de synchronisation sont supprimées après 14 jours.

4.10 Routines

Avec les routines, vous pouvez confier à c:node des tâches récurrentes, par ex. « résumer chaque lundi les offres en cours ». Une routine s'exécute au moment que vous choisissez, en votre nom et avec vos autorisations, sur les sources que vous avez sélectionnées (par ex. e-mail, agenda, fichiers, mémoire, recherche web). Le résultat est toujours un brouillon, signalé comme créé par une routine ; rien n'est envoyé ni enregistré sans votre validation. Une routine se met en pause après trois erreurs consécutives.

Les routines sont actuellement disponibles pour certaines organisations et seront activées pour toutes les instances avec l'une des prochaines versions.

• Données : nom, instruction, planification, sources et cibles sélectionnées de la routine, et un journal par exécution (date, statut, brouillon créé). Le traitement par les modèles de langage suit la section 4.8 ; les catégories particulières (art. 9 RGPD) ne sont traitées dans les routines qu'avec nos propres modèles, sinon pas du tout.
• Base juridique : comme à la section 4.7.
• Durée de conservation : jusqu'à la suppression de la routine ; nous conservons les journaux d'exécution aussi longtemps qu'ils sont nécessaires pour retracer l'activité de la routine.

4.11 Notifications push

Si vous activez les notifications push, nous enregistrons l'adresse push de votre navigateur ou appareil et un nom d'appareil. Les notifications sont transmises chiffrées via le service push de votre navigateur ou système d'exploitation (par ex. Google Firebase Cloud Messaging, Mozilla, Microsoft, Apple) et ne contiennent qu'un titre générique, aucun contenu.

• Base juridique : art. 6, par. 1, point a) RGPD et § 25, al. 1 TDDDG (consentement via la demande du navigateur) ; retrait à tout moment dans c:node ou dans les paramètres du navigateur.
• Durée de conservation : jusqu'à la désactivation du push ou jusqu'à ce que le service push signale l'adresse comme invalide.

4.12 Recherche web et recherche documentaire

Pour les questions nécessitant des informations actuelles d'internet, c:node transmet le terme de recherche à un service de recherche : Google Gemini avec la recherche Google, SerpApi (SerpApi LLC, États-Unis) ou notre propre instance de recherche. Pour les recherches scientifiques, c:node interroge les répertoires ouverts OpenAlex et Crossref. Seul le terme de recherche est transmis, aucune donnée de compte. Veuillez ne pas utiliser de données personnelles confidentielles dans les requêtes.

Si vous ouvrez un site précis via c:node, c:node lit cette page depuis nos serveurs.

• Base juridique : art. 6, par. 1, point b) RGPD.

4.13 Données publiques dans le c:node Graph

Le c:node Graph est un ensemble de connaissances issues de sources publiques (par ex. lois et règlements, décisions de justice, actes juridiques de l'UE, statistiques, registres d'entreprises et d'organisations, programmes de financement, appels d'offres publics). Il sert à étayer les réponses par des sources vérifiables. La plupart des sources ne contiennent pas de données personnelles ; lorsqu'elles en contiennent, nous les minimisons (par ex. nous omettons les noms des parties dans les décisions de justice, les comptes utilisateurs des plateformes de code et les personnes physiques attributaires de marchés).

Certaines sources publiées officiellement contiennent des noms de personnes physiques dans leur rôle professionnel ou public, en particulier les dirigeants de sociétés inscrits au registre du commerce (détaillé ci-dessous), les représentants d'intérêts inscrits au registre des lobbies du Bundestag, les exploitants d'installations énergétiques du Marktstammdatenregister, les déposants de marques de l'UE et les personnes figurant sur la liste des sanctions de l'UE. La provenance est à chaque fois la source officielle citée ; nous ne reprenons que les données nécessaires comme preuve, ne traitons pas de catégories particulières (art. 9 RGPD) et ne proposons ni recherche de personnes ni profilage.

• Base juridique : art. 6, par. 1, point f) RGPD (intérêt légitime à des informations étayées issues de sources accessibles au public) ; pour la liste des sanctions, également l'intérêt de nos utilisateurs à respecter les règles de sanctions.
• Votre droit d'opposition : comme décrit ci-dessous, à privacy@creativate.tech.

Dirigeants de sociétés issus du registre du commerce (information au titre de l'art. 14 RGPD)

Cette section s'adresse aux personnes qui sont ou ont été inscrites au registre du commerce allemand (Handelsregister) en tant que dirigeant ou représentant d'une société, et leur fournit les informations prévues à l'article 14 du RGPD. Elle ne concerne pas les utilisateurs de notre plateforme.

Origine. Le c:node Graph contient un ensemble de données du registre du commerce allemand issu du jeu de données ouvert publié par OffeneRegister.de (Open Knowledge Foundation Allemagne) et OpenCorporates sous licence Creative Commons Attribution 4.0 (CC BY 4.0). Nous ne collectons pas ces données auprès de vous, auprès du portail du registre ni par lecture automatisée de sites web.

État historique. Le jeu de données reflète l'état du registre en 2018/2019 et n'est pas mis à jour en continu. Toute réponse qui cite des dirigeants indique que cet état est historique et renvoie au registre du commerce officiel (handelsregister.de) pour l'état actuel.

Finalité. Les utilisateurs connectés des espaces de travail c:node activés peuvent demander, pour une société déterminée, qui y est inscrit comme gérant, membre du directoire ou dans une autre fonction de dirigeant. La réponse indique sa source et la date du registre afin de pouvoir être vérifiée (vérification commerciale de clients, fournisseurs et partenaires). Nous ne proposons ni recherche de personnes, ni profilage de personnes, ni exports en masse.

Base juridique. Art. 6(1)(f) RGPD. Notre intérêt légitime, et celui de nos utilisateurs, est un renseignement commercial vérifiable fondé sur des données que la loi rend publiques pour l'information des relations d'affaires (§ 9 du Code de commerce allemand, HGB). Les données concernent uniquement votre rôle professionnel.

Catégories de données personnelles. Nom, fonction (par ex. gérant, membre du directoire, fondé de pouvoir (Prokurist), liquidateur, associé indéfiniment responsable), début et fin de l'inscription, ainsi que le lien avec la société (dénomination, forme juridique, siège, tribunal d'enregistrement, numéro d'immatriculation). Nous ne conservons ni lieu de résidence, ni date de naissance, ni adresse, ni coordonnées. Nous ne traitons pas de catégories particulières de données (art. 9 RGPD).

Aucun traitement par des modèles d'IA. Les réponses relatives aux dirigeants sont produites selon des règles fixes à partir des données du registre. Les noms ne sont pas transmis à des fournisseurs de modèles de langage et ne servent pas à l'entraînement de modèles.

Destinataires. Uniquement les utilisateurs connectés qui posent une question précise sur une société. L'hébergement est assuré par Amazon Web Services à Francfort-sur-le-Main (eu-central-1) en tant que sous-traitant ; aucun transfert vers des pays tiers n'a lieu.

Conservation et suppression. Les données sont conservées dans un index distinct, en lecture seule, séparé du reste du graphe. Il est entièrement remplacé à chaque reconstruction ; les sauvegardes d'un état antérieur sont supprimées au plus tard après 30 jours. Les noms n'apparaissent que dans la réponse concernée, pas dans les journaux techniques. Les réponses dans les conversations suivent les durées de suppression de l'espace de travail concerné. Nous conservons les données aussi longtemps que nous proposons la fonction.

Absence de notification individuelle. Le jeu de données comprend plusieurs millions d'inscriptions. Informer chaque personne inscrite exigerait des efforts disproportionnés (art. 14(5)(b) RGPD). Nous mettons donc ces informations ici à la disposition du public.

Votre droit d'opposition (art. 21 RGPD). Vous pouvez à tout moment, pour des raisons tenant à votre situation particulière, vous opposer au traitement de vos données de registre dans le c:node Graph. Écrivez à privacy@creativate.tech en indiquant votre nom et la société concernée (de préférence avec le tribunal d'enregistrement et le numéro d'immatriculation). Après une opposition justifiée, nous vous inscrivons sur une liste de blocage : votre nom n'est alors plus restitué pour la société concernée (ou pour toutes les sociétés), pas même sous forme de nombre d'entrées masquées. Le blocage prend effet immédiatement et s'applique aussi à chaque reconstruction future des données. Vos autres droits (accès, rectification, effacement, limitation, réclamation auprès d'une autorité de contrôle) restent inchangés, voir la section 10. La rectification du contenu du registre lui-même relève du tribunal d'enregistrement compétent.

4.14 Facturation et paiements

Vous souscrivez les offres payantes via billing.c-node.ai. Le paiement est traité par Stripe (Stripe Payments Europe, Limited, Irlande). Stripe collecte sur ses propres pages le nom, l'adresse de facturation, le cas échéant le numéro de TVA et les données de paiement ; nous ne recevons pas les données de carte. Nous transmettons à Stripe votre adresse e-mail, un identifiant de compte et l'offre choisie. Stripe établit les factures ; nous vous les envoyons par e-mail (Resend) et, comme pièces comptables, à notre comptabilité (Lexware Office, Haufe-Lexware GmbH & Co. KG, Fribourg-en-Brisgau, Allemagne) et à notre cabinet d'expertise comptable.

• Base juridique : art. 6, par. 1, point b) RGPD (contrat), art. 6, par. 1, point c) RGPD (conservation imposée par le droit fiscal et commercial).
• Durée de conservation : factures et pièces comptables 10 ans, correspondance commerciale 6 ans (§ 147 AO, § 257 HGB), à compter de la fin de l'année civile ; elles sont ensuite supprimées.

Nous informons également nos clients sur leur contrat (par ex. quotas, renouvellements) et gérons les données contractuelles (e-mail, offre, statut) dans notre système de gestion des contacts ; base juridique art. 6, par. 1, point b) RGPD.

4.15 Envoi d'e-mails

Nous envoyons les e-mails de service (codes et liens de connexion, invitations, avis concernant le compte, les quotas et les factures, avis de validation) via Resend (Plus Five Five, Inc., États-Unis). Resend reçoit l'adresse du destinataire, l'objet et le contenu de l'e-mail.

• Base juridique : art. 6, par. 1, point b) RGPD.

4.16 Exploitation, sécurité et prévention des abus

Pour une exploitation sûre, nos services journalisent des événements techniques (date, fonction ou adresse appelée, code de statut, erreurs) ; les journaux d'accès des serveurs peuvent également contenir l'adresse IP. Nous masquons les adresses e-mail et les identifiants dans les journaux applicatifs. Pour les limites d'utilisation (par ex. dans l'environnement d'essai), nous traitons l'adresse IP. Nous exploitons nous-mêmes la supervision (Grafana, Loki, Prometheus) à Francfort.

• Base juridique : art. 6, par. 1, point f) RGPD (sécurité et stabilité), art. 32 RGPD.
• Durée de conservation : journaux et métriques centraux 30 jours ; nous supprimons les journaux locaux des différents services dès qu'ils ne sont plus nécessaires à l'exploitation et à la sécurité.

4.17 Interfaces (API et MCP)

Les organisations peuvent connecter c:node à leurs propres applications et assistants d'IA (par ex. Claude, ChatGPT, Microsoft Copilot) via une API ou le Model Context Protocol (MCP). Les réponses sont alors transmises à ces applications ; l'organisation est responsable de leur traitement. Pour chaque appel, nous enregistrons la date, l'outil et un identifiant haché, sans questions ni contenus. Rien ne peut être validé via MCP ou l'API ; les validations ne sont possibles que dans c:node lui-même.

4.18 Gestion des clients et prospects

Nous gérons les coordonnées des prospects, clients et partenaires (nom, entreprise, fonction, e-mail, téléphone, historique des échanges, état du contrat) dans des systèmes auto-hébergés (Mautic, EspoCRM) sur nos serveurs à Francfort.

• Base juridique : art. 6, par. 1, points b) et f) RGPD ; publicité par e-mail uniquement avec consentement ou dans le cadre du § 7, al. 3 UWG (avec possibilité d'opposition dans chaque e-mail).
• Durée de conservation : jusqu'à 3 ans après le dernier contact ; pour les clients, pendant la relation commerciale plus les délais légaux.

5. Destinataires et sous-traitants

Nous ne communiquons des données personnelles que s'il existe une base juridique. Les prestataires qui traitent des données pour notre compte interviennent en tant que sous-traitants dans le cadre d'un contrat conforme à l'art. 28 RGPD. Certains destinataires traitent des données en partie en tant que responsables du traitement indépendants, par exemple Stripe pour le traitement des paiements, la prévention de la fraude et les obligations légales.

Auto-hébergés sur nos serveurs chez AWS à Francfort (aucun autre destinataire) : bases de données (PostgreSQL, SQLite), service de formulaires avec ALTCHA, Mautic, EspoCRM, reconnaissance vocale, modèles de plongement, supervision (Grafana, Loki, Prometheus).

Les services connectés (section 4.9) ne sont pas nos destinataires : vous ou votre organisation décidez quels services c:node peut lire et écrire.

6. Transferts vers des pays tiers

Certains destinataires sont établis ou traitent des données aux États-Unis. Nous n'y transférons des données que si un niveau de protection adéquat est assuré : sur la base de la décision d'adéquation de la Commission européenne relative au cadre de protection des données UE-États-Unis (Data Privacy Framework, art. 45 RGPD) lorsque le destinataire est certifié, sinon sur la base des clauses contractuelles types de la Commission européenne (art. 46, par. 2, point c) RGPD, décision d'exécution (UE) 2021/914) assorties de mesures supplémentaires. Vous pouvez obtenir une copie des garanties sur demande à privacy@creativate.tech.

Si vous ou votre organisation choisissez la règle « UE uniquement », aucun transfert vers un pays tiers n'a lieu pour le traitement par l'IA.

7. Durées de conservation en un coup d'œil

8. Obligation de fournir des données

Pour le compte et le contrat, nous avons besoin au minimum de votre adresse e-mail ; sans elle, nous ne pouvons pas créer de compte. Toutes les autres données sont facultatives. Il n'existe aucune obligation légale de nous fournir des données.

9. Décisions automatisées

Nous ne prenons pas de décisions fondées exclusivement sur un traitement automatisé au sens de l'art. 22 RGPD et ne pratiquons pas de profilage produisant des effets juridiques ou des effets significatifs similaires.

10. Vos droits

Vous disposez d'un droit d'accès (art. 15 RGPD), de rectification (art. 16), d'effacement (art. 17), de limitation du traitement (art. 18), à la portabilité des données (art. 20) et du droit de retirer un consentement donné, pour l'avenir (art. 7, par. 3). Vous pouvez exercer de nombreux droits directement dans les paramètres du compte (export, désactivation, suppression, consentements). Sinon, écrivez à privacy@creativate.tech. Nous répondons dans un délai d'un mois (prolongeable selon l'art. 12, par. 3 RGPD) et pouvons demander une preuve d'identité.

Droit d'opposition (art. 21 RGPD)

Lorsque nous traitons des données sur la base de l'art. 6, par. 1, point f) RGPD (intérêt légitime), vous pouvez vous y opposer à tout moment pour des raisons tenant à votre situation particulière. Nous ne traitons alors plus les données, à moins de démontrer des motifs légitimes et impérieux qui prévalent sur vos intérêts, ou que le traitement serve à la constatation, à l'exercice ou à la défense de droits en justice.

Vous pouvez vous opposer à tout moment, sans motif, au traitement à des fins de prospection ; nous n'utilisons alors plus vos données à cette fin.

Aucune forme n'est requise ; le plus simple est un e-mail à privacy@creativate.tech.

11. Droit d'introduire une réclamation

Vous pouvez introduire une réclamation auprès d'une autorité de contrôle de la protection des données, notamment dans l'État membre de votre résidence habituelle, de votre lieu de travail ou de la violation présumée. L'autorité compétente pour nous est :

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Gustav-Stresemann-Ring 1, 65189 Wiesbaden, Allemagne, https://datenschutz.hessen.de

12. Sécurité des données

Nous protégeons les données par des mesures techniques et organisationnelles conformément à l'art. 32 RGPD, notamment : chiffrement des transmissions (TLS), stockage chiffré des fichiers et des jetons d'accès, hébergement dans l'UE, séparation des données par organisation avec des règles d'accès dans la base de données, concept de rôles et de droits, validation obligatoire de toute action vers l'extérieur, masquage des données personnelles dans les journaux applicatifs, protection contre les abus et le spam, sauvegardes et restauration documentée. Les détails figurent à l'annexe 2 de l'accord de traitement des données.

13. Modifications

Nous adaptons la présente politique lorsque nos services ou la législation évoluent. Les versions antérieures sont disponibles sur demande ; nous informons à l'avance les utilisateurs connectés des modifications importantes.

Mise à jour : 21 octobre 2026 (version 3.0.0) Creativate Technologies GmbH