Politique de
confidentialité
Version 1.3 - En vigueur à compter du [DATE]
Responsable de traitement
[SHERPA] (cf. mentions légales), ci-après « SHERPA ». Contact données personnelles : contact@sherpaiq.fr.
1.1 - Qualité du traitant (posture duale)
SHERPA est responsable de traitement lorsque vous utilisez le service directement. SHERPA agit comme sous-traitant (art. 28 RGPD), sur instruction de l'incubateur ou de l'organisation qui vous a ouvert l'accès, lorsque l'accès passe par celle-ci.
Données collectées et finalités
| Données | Finalité | Base légale |
|---|---|---|
| Email, nom, prénom, rôle | Compte, authentification, contact | Exécution du service / consentement |
| Réponses au diagnostic (47 questions, champs libres) | Score (local, déterministe) + analyse IA | Consentement (art. 6.1.a) |
| Données dérivées (scores, narratif, plan) | Restitution du diagnostic et accompagnement | Exécution du service |
| Données de connexion techniques | Sécurité, fonctionnement | Intérêt légitime |
| Liste d'attente : e-mail, rôle souhaité, stade du projet, texte libre optionnel « ce qui vous bloque », horodatages, adresse IP au clic de confirmation (preuve du consentement) | Enregistrer votre demande d'accès, la confirmer (double opt-in), vous adresser une invitation nominative puis un rappel au plus | Consentement (art. 6.1.a) - case au formulaire puis lien de confirmation |
| Identité légale du projet - SIREN et données publiques du registre (dénomination, forme, date d'immatriculation), saisie optionnelle | Vérification de l'existence légale via l'API publique Recherche d'entreprises (DINUM, France) et badge « Vérifié registre » | Consentement (saisie volontaire) |
| Mise en relation investisseur - fondateur : identité des parties, structure et thèse déclarées par l'investisseur, projet visé, message, disponibilités et réponse du fondateur, date et heure de chaque étape (envoi, acceptation, refus, annulation) | Adresser la demande au fondateur, qui voit avant son accord la structure et la thèse déclarées par l'investisseur, jamais son adresse e-mail ; après son accord seulement, communiquer à chaque partie le nom du compte et l'adresse e-mail de l'autre ; conserver la trace datée de la mise en relation (preuve de l'apport) | Exécution du service ; intérêt légitime (preuve) |
| Fiche de cas dérivée d'un diagnostic - secteur, modèle économique, score, indicateurs d'équipe et de trésorerie, signaux de risque rédigés par un modèle. Aucun nom de personne, de société ni de projet, aucune de vos réponses telles que vous les avez écrites | Mémoire partagée SHERPA : servir de précédent aux analyses d'autres projets, et faire bénéficier le vôtre des cas déjà partagés | Consentement (art. 6.1.a) - case facultative, projet par projet |
Le score est calculé localement et de façon déterministe : les valeurs chiffrées ne dépendent pas d'un modèle d'IA.
Le SIREN n'est jamais transmis aux modèles d'IA ni journalisé : il ne sert qu'à la consultation du registre public et à l'affichage du badge.
Le texte d'une mise en relation (message, disponibilités, réponse) n'est destiné qu'à ses deux parties. L'équipe SHERPA voit les parties, le projet, les dates et l'issue ; elle n'ouvre le texte qu'en cas de litige, de signalement ou d'incident de sécurité, et chaque consultation est enregistrée, avec son motif, dans l'historique de la demande.
Rien de la liste d'attente n'est transmis à un modèle d'IA ni à un tiers : le texte libre du formulaire ne fait pas partie du diagnostic. L'invitation est une décision humaine, prise par l'équipe.
2.1 - La mémoire partagée entre projets
SHERPA apprend des projets qu'il analyse : un diagnostic peut donner lieu à une fiche de cas que les analyses d'autres fondateurs consultent comme précédent. C'est ce qui permet à votre propre diagnostic de s'appuyer sur des situations réelles plutôt que sur des généralités.
Ce partage est facultatif et ne conditionne rien : refuser ne retire aucune fonctionnalité, ne modifie pas votre score et ne change pas votre analyse. Le choix se fait PROJET PAR PROJET, à la fin du questionnaire de chaque projet - accepter pour l'un n'engage pas les autres.
Ce qui part est une fiche typée, dérivée de l'analyse : vos réponses au questionnaire, vos champs libres et vos notes de suivi n'y figurent pas. Seuls les « signaux de risque » sont du texte, rédigé par le modèle à partir de l'analyse et non recopié de vos écrits.
Pseudonymisation, et non anonymisation : la fiche ne porte ni votre identité ni celle de votre société, mais elle reste rattachée en interne au diagnostic dont elle vient - ce qui est précisément ce qui nous permet de la retirer si vous le demandez. Sur un ensemble de petite taille, un recoupement par recoupement demeure théoriquement concevable.
Retrait : décochez la case au diagnostic suivant du même projet, ou écrivez à contact@sherpaiq.fr. Un retrait couvre tout ce que ce projet avait déjà partagé, et il est définitif pour cela - si vous ré-acceptez plus tard, l'accord vaut pour la suite, jamais rétroactivement sur ce que vous aviez retiré.
Modèles d'IA tiers et transferts hors UE
Pour produire les analyses qualitatives, le contenu de votre projet (réponses, champs libres) est transmis à des fournisseurs de modèles de langage susceptibles d'être situés hors Union européenne :
| Fournisseur | Siège | Garanties |
|---|---|---|
| Anthropic (Claude) | États-Unis | DPA + non-entraînement (ZDR) + Clauses Contractuelles Types |
| OpenAI (GPT) | États-Unis | DPA + non-entraînement (ZDR) + Clauses Contractuelles Types |
| Google (Gemini) | États-Unis | DPA + non-entraînement (ZDR) + Clauses Contractuelles Types |
Minimisation : la donnée personnelle structurée détectable (emails, téléphones, IBAN, SIREN/SIRET) est retirée automatiquement des champs libres avant tout envoi. Cette protection est partielle - n'inscrivez pas dans les champs libres d'informations confidentielles que vous ne souhaitez pas voir traitées par un tiers.
SHERPA peut faire évoluer la liste de ces fournisseurs en maintenant des garanties équivalentes.
Aucune décision entièrement automatisée
SHERPA ne prend aucune décision produisant des effets juridiques ou significatifs à votre égard de manière entièrement automatisée (art. 22 RGPD). Le score et le diagnostic sont des outils d'aide à la décision ; toute mise en relation ou décision d'un tiers (investisseur, incubateur) suppose l'intervention d'un humain.
Durée de conservation
Vos données sont conservées tant que votre compte est actif. À la suppression du compte, les données projet et diagnostics sont supprimées ; les fournisseurs d'IA ne conservent rien sous régime ZDR.
Mises en relation : leur trace est conservée tant que les comptes des parties existent. À la clôture d'un compte, seule la trace utile à la preuve de l'apport (parties, projet, dates, issue, historique) est archivée, à accès restreint, pendant cinq (5) ans à compter du dernier événement de la demande (durée de prescription de l'action en paiement de la commission liée à l'apport) ; le texte des échanges (message, disponibilités, réponse) est effacé à l'archivage. L'archive est supprimée au terme de ce délai.
Liste d'attente : votre demande est supprimée à la purge mensuelle qui suit ses douze mois (purge mensuelle automatisée). La désinscription (lien en un clic dans chaque e-mail) arrête tout envoi immédiatement ; votre adresse est alors gardée, sans autre donnée d'usage, jusqu'à cette purge, afin de ne pas vous solliciter de nouveau. Une demande suivie de la création d'un compte suit ensuite la durée de vie de ce compte.
Vos droits
Accès, rectification, effacement, limitation, portabilité, opposition, retrait du consentement : par demande à contact@sherpaiq.fr. La trace archivée d'une mise en relation (article 5) est conservée malgré une demande d'effacement, le temps de la prescription (art. 17.3.e RGPD). Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).
Version 1.3 - SHERPA - [ADRESSE SIÈGE SOCIAL]