Politique de
confidentialité
Version 1.2 - En vigueur à compter du [DATE]
Responsable de traitement
[SHERPA] (cf. mentions légales), ci-après « SHERPA ». Contact données personnelles : contact@sherpaiq.fr.
1.1 - Qualité du traitant (posture duale)
SHERPA est responsable de traitement lorsque vous utilisez le service directement. SHERPA agit comme sous-traitant (art. 28 RGPD), sur instruction de l'incubateur ou de l'organisation qui vous a ouvert l'accès, lorsque l'accès passe par celle-ci.
Données collectées et finalités
| Données | Finalité | Base légale |
|---|---|---|
| Email, nom, prénom, rôle | Compte, authentification, contact | Exécution du service / consentement |
| Réponses au diagnostic (47 questions, champs libres) | Score (local, déterministe) + analyse IA | Consentement (art. 6.1.a) |
| Données dérivées (scores, narratif, plan) | Restitution du diagnostic et accompagnement | Exécution du service |
| Données de connexion techniques | Sécurité, fonctionnement | Intérêt légitime |
| Identité légale du projet - SIREN et données publiques du registre (dénomination, forme, date d'immatriculation), saisie optionnelle | Vérification de l'existence légale via l'API publique Recherche d'entreprises (DINUM, France) et badge « Vérifié registre » | Consentement (saisie volontaire) |
| Fiche de cas dérivée d'un diagnostic - secteur, modèle économique, score, indicateurs d'équipe et de trésorerie, signaux de risque rédigés par un modèle. Aucun nom de personne, de société ni de projet, aucune de vos réponses telles que vous les avez écrites | Mémoire partagée SHERPA : servir de précédent aux analyses d'autres projets, et faire bénéficier le vôtre des cas déjà partagés | Consentement (art. 6.1.a) - case facultative, projet par projet |
Le score est calculé localement et de façon déterministe : les valeurs chiffrées ne dépendent pas d'un modèle d'IA.
Le SIREN n'est jamais transmis aux modèles d'IA ni journalisé : il ne sert qu'à la consultation du registre public et à l'affichage du badge.
2.1 - La mémoire partagée entre projets
SHERPA apprend des projets qu'il analyse : un diagnostic peut donner lieu à une fiche de cas que les analyses d'autres fondateurs consultent comme précédent. C'est ce qui permet à votre propre diagnostic de s'appuyer sur des situations réelles plutôt que sur des généralités.
Ce partage est facultatif et ne conditionne rien : refuser ne retire aucune fonctionnalité, ne modifie pas votre score et ne change pas votre analyse. Le choix se fait PROJET PAR PROJET, à la fin du questionnaire de chaque projet - accepter pour l'un n'engage pas les autres.
Ce qui part est une fiche typée, dérivée de l'analyse : vos réponses au questionnaire, vos champs libres et vos notes de suivi n'y figurent pas. Seuls les « signaux de risque » sont du texte, rédigé par le modèle à partir de l'analyse et non recopié de vos écrits.
Pseudonymisation, et non anonymisation : la fiche ne porte ni votre identité ni celle de votre société, mais elle reste rattachée en interne au diagnostic dont elle vient - ce qui est précisément ce qui nous permet de la retirer si vous le demandez. Sur un ensemble de petite taille, un recoupement par recoupement demeure théoriquement concevable.
Retrait : décochez la case au diagnostic suivant du même projet, ou écrivez à contact@sherpaiq.fr. Un retrait couvre tout ce que ce projet avait déjà partagé, et il est définitif pour cela - si vous ré-acceptez plus tard, l'accord vaut pour la suite, jamais rétroactivement sur ce que vous aviez retiré.
Modèles d'IA tiers et transferts hors UE
Pour produire les analyses qualitatives, le contenu de votre projet (réponses, champs libres) est transmis à des fournisseurs de modèles de langage susceptibles d'être situés hors Union européenne :
| Fournisseur | Siège | Garanties |
|---|---|---|
| Anthropic (Claude) | États-Unis | DPA + non-entraînement (ZDR) + Clauses Contractuelles Types |
| OpenAI (GPT) | États-Unis | DPA + non-entraînement (ZDR) + Clauses Contractuelles Types |
| Google (Gemini) | États-Unis | DPA + non-entraînement (ZDR) + Clauses Contractuelles Types |
Minimisation : la donnée personnelle structurée détectable (emails, téléphones, IBAN, SIREN/SIRET) est retirée automatiquement des champs libres avant tout envoi. Cette protection est partielle - n'inscrivez pas dans les champs libres d'informations confidentielles que vous ne souhaitez pas voir traitées par un tiers.
SHERPA peut faire évoluer la liste de ces fournisseurs en maintenant des garanties équivalentes.
Aucune décision entièrement automatisée
SHERPA ne prend aucune décision produisant des effets juridiques ou significatifs à votre égard de manière entièrement automatisée (art. 22 RGPD). Le score et le diagnostic sont des outils d'aide à la décision ; toute mise en relation ou décision d'un tiers (investisseur, incubateur) suppose l'intervention d'un humain.
Durée de conservation
Vos données sont conservées tant que votre compte est actif. À la suppression du compte, les données projet et diagnostics sont supprimées ; les fournisseurs d'IA ne conservent rien sous régime ZDR.
Vos droits
Accès, rectification, effacement, limitation, portabilité, opposition, retrait du consentement : par demande à contact@sherpaiq.fr. Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).
Version 1.2 - SHERPA - [ADRESSE SIÈGE SOCIAL]