Politique de Confidentialité

Dernière mise à jour : 27 septembre 2026

La présente politique décrit la manière dont Novatech Réunion (ci-après « nous ») collecte, utilise et protège les données à caractère personnel des utilisateurs de la plateforme Nova Team (ci-après « le Service »), conformément au Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et à la loi Informatique et Libertés modifiée.

1. Engagement de souveraineté

Nova Team est conçue selon un principe non négociable : la souveraineté numérique de bout en bout. Cela se traduit par trois engagements concrets :

• Hébergement 100% en France — l'ensemble des données (compte, contenus, journaux, sauvegardes) est stocké et traité sur des serveurs situés en France, sous juridiction française et européenne ;
• Modèles d'IA open-source exécutés localement — aucun appel n'est fait à des fournisseurs d'IA tiers (OpenAI, Anthropic, Google, etc.). Vos données ne sortent jamais de notre infrastructure souveraine ;
• Pas d'entraînement sur vos données — vos contenus ne sont jamais utilisés pour entraîner, ré-entraîner ou affiner un modèle d'IA, qu'il soit local ou externe.

Cette architecture nous met à l'abri des législations extra-européennes à portée extraterritoriale (notamment le US CLOUD Act) et garantit la pleine application du RGPD à l'ensemble des traitements.

2. Responsable du traitement

• Novatech Réunion, SAS à associé unique
• Siège : 25 Rue Malartic, Résidence Villa Strelitzia, Appartement 03, 97400 Saint-Denis de La Réunion
• RCS Saint-Denis de La Réunion : 991 607 441
• Représentant légal : M. Fabien FOURET
• Contact : privacy@novatech.re

Compte tenu de la taille de la structure, Novatech Réunion n'a pas désigné de Délégué à la Protection des Données (DPO). Pour toute question relative à vos données, vous pouvez contacter directement le responsable du traitement à l'adresse ci-dessus.

3. Hébergement des données

L'ensemble des données du Service est hébergé en France. L'application, la base de données et les sauvegardes sont hébergées dans un datacenter situé à Paris, opéré par Hostinger Operations, UAB (filiale européenne du groupe Hostinger). Les traitements d'intelligence artificielle sont exécutés sur des serveurs de calcul opérés par Novatech Réunion et hébergés par Exodata, dans un datacenter situé à La Réunion. Les données ne sont ni répliquées, ni transférées vers des datacenters situés hors Union européenne.

4. Données collectées

4.1 Données fournies directement par l'Utilisateur

• Données d'identification : nom, prénom, adresse email, mot de passe (haché), nom de l'organisation.
• Données de facturation : raison sociale, adresse, numéro de TVA, moyens de paiement (traités et stockés par Stripe).
• Contenus Utilisateur : documents, fichiers, messages, prompts, conversations, notes, mémoires, règles d'automatisation, comptes email connectés (OAuth).

4.2 Données collectées automatiquement

• Données de connexion : adresse IP, user-agent, horodatage, identifiants de session, journaux d'événements.
• Données d'usage : pages consultées, fonctionnalités utilisées, statistiques d'appels aux modèles d'IA locaux.
• Cookies techniques : strictement nécessaires au fonctionnement du Service (authentification, préférences). Voir section Cookies.

4.3 Données issues de services tiers

Lorsque l'Utilisateur connecte volontairement un compte tiers (Gmail, Outlook, etc.), nous accédons, avec son consentement explicite via OAuth 2.0, aux données strictement nécessaires au fonctionnement de la fonctionnalité concernée (ex. lecture des emails pour l'assistant Amanda). Ces données sont traitées localement par nos modèles d'IA souverains et ne sont jamais retransmises à un tiers.

5. Finalités et bases légales

6. Traitement par les modèles d'intelligence artificielle

Nova Team fonctionne exclusivement avec des modèles d'IA open-source hébergés localement sur l'infrastructure souveraine de l'éditeur, en France. Cela inclut les modèles génératifs de type LLM, les modèles d'embeddings vectoriels, les modèles de transcription audio et de synthèse vocale.

Concrètement :

• aucun prompt, aucun document, aucune conversation, aucune requête vocale n'est transmis à OpenAI, Anthropic, Google, Microsoft, xAI, Mistral (hébergé hors UE) ou tout autre fournisseur d'IA tiers ;
• les traitements IA sont effectués dans nos propres datacenters, sous notre seul contrôle ;
• les Contenus Utilisateur ne sont jamais utilisés pour entraîner, ré-entraîner ou affiner un modèle d'IA, qu'il soit local ou externe ;
• aucune télémétrie contenant des données client n'est envoyée vers des plateformes externes.

Ce choix d'architecture garantit que vos données les plus sensibles — documents confidentiels, correspondance, savoir-faire métier — restent sous souveraineté française et européenne, sans exposition au US CLOUD Act ni à aucune législation extra-européenne.

7. Destinataires et sous-traitants

Les données sont accessibles aux seuls personnels habilités de Novatech Réunion, soumis à une obligation de confidentialité. Nous recourons à un nombre strictement limité de sous-traitants, tous établis dans l'Union européenne et liés par des accords de traitement (DPA) conformes au RGPD :

• Hostinger Operations, UAB (UE, datacenter Paris) — hébergement applicatif, base de données et sauvegardes.
• Exodata (France, datacenter La Réunion) — hébergement des serveurs de calcul sur lesquels Novatech Réunion exécute les modèles d'IA.
• Stripe Payments Europe, Ltd. (Irlande) — traitement des paiements et gestion des abonnements.
• Prestataire d'emails transactionnels (UE) — envoi d'emails de vérification, de réinitialisation de mot de passe et de notifications.
• Google LLC / Microsoft Corporation — uniquement si l'Utilisateur choisit volontairement de connecter un compte Gmail ou Outlook via OAuth. Dans ce cas, et dans ce cas seulement, des données (tokens OAuth, contenus d'emails) transitent par ces fournisseurs à la demande de l'Utilisateur.

Nous ne recourons à aucun fournisseur d'IA tiers. Les modèles sont opérés directement par Novatech Réunion, sur des serveurs dont seul l'hébergement physique est confié à Exodata.

8. Transferts hors Union européenne

Dans le cadre du fonctionnement nominal du Service, aucune donnée n'est transférée hors de l'Union européenne. L'hébergement et les traitements d'IA sont 100% localisés en France.

La seule exception concerne les intégrations tierces activées volontairement par l'Utilisateur (Gmail, Outlook) : dans ce cas, les transferts vers les États-Unis sont encadrés par les mécanismes prévus par le RGPD (clauses contractuelles types, Data Privacy Framework). L'Utilisateur peut à tout moment révoquer ces connexions depuis ses paramètres.

9. Durées de conservation

• Compte utilisateur actif : pendant toute la durée d'utilisation du Service.
• Compte inactif : suppression automatique après 24 mois d'inactivité, après notification préalable.
• Contenus Utilisateur : conservés tant que le compte est actif ; supprimés sous 30 jours après résiliation.
• Essai gratuit resté sans souscription : le compte, les comptes utilisateurs de l'espace et l'ensemble des Contenus Utilisateur (documents, index de recherche, conversations, mémoires, contenus générés, comptes de messagerie et d'agenda connectés) sont supprimés automatiquement et définitivement 7 jours après la fin de la période d'essai de 15 jours, après trois notifications par courriel (voir l'article 6 des CGU). Les autorisations d'accès aux comptes connectés sont révoquées et, s'il en existe une, la fiche client est supprimée chez notre prestataire de paiement. Seule subsiste au journal d'audit la trace de la suppression : identifiant technique de l'espace, date et nombre d'éléments supprimés, sans donnée personnelle.
• Données de facturation : 10 ans à compter de la clôture de l'exercice (obligation comptable).
• Journaux de connexion et de sécurité : 12 mois.
• Consentements marketing : 3 ans à compter du dernier contact.

10. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données contre la perte, l'accès non autorisé, la divulgation ou l'altération :

• Chiffrement TLS 1.2+ en transit sur l'ensemble des connexions ;
• Hachage des mots de passe via bcrypt ;
• Contrôle d'accès basé sur les rôles (RBAC) et isolation multi-tenant ;
• Journalisation des accès et audit interne ;
• Sauvegardes régulières chiffrées ;
• Mises à jour de sécurité appliquées régulièrement.

11. Droits de l'Utilisateur

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données ;
• Droit de rectification : corriger des données inexactes ;
• Droit à l'effacement (« droit à l'oubli ») ;
• Droit à la limitation du traitement ;
• Droit à la portabilité de vos données ;
• Droit d'opposition au traitement fondé sur l'intérêt légitime ;
• Droit de retirer votre consentement à tout moment, sans affecter la licéité du traitement antérieur ;
• Droit de définir des directives relatives au sort de vos données après votre décès.

Ces droits peuvent être exercés directement depuis l'espace Paramètres de votre compte, ou sur demande à privacy@novatech.re. Une réponse vous sera apportée dans un délai maximal d'un mois.

En cas de difficulté, vous pouvez introduire une réclamation auprès de la CNIL (3 Place de Fontenoy, 75007 Paris — www.cnil.fr).

12. Cookies et traceurs

Le Service utilise uniquement des cookies strictement nécessaires :

• Cookies d'authentification : maintien de la session connectée ;
• Cookies de préférences : thème, langue, paramètres d'interface ;
• Cookies de sécurité : protection contre les attaques CSRF.

Ces cookies ne nécessitent pas de consentement au sens de l'article 82 de la loi Informatique et Libertés. Aucun cookie publicitaire ou de mesure d'audience tierce n'est déposé sans votre consentement explicite.

13. Mémoires utilisateur (fonctionnalité IA)

Le Service propose une fonctionnalité de « mémoires » permettant aux assistants IA souverains de retenir certains éléments récurrents (préférences, contexte métier, informations utiles) pour améliorer la pertinence des réponses. Ces mémoires sont stockées en France, sur notre infrastructure, et ne sont transmises à aucun tiers. La fonctionnalité peut être désactivée à tout moment depuis vos paramètres, et les mémoires peuvent être consultées, modifiées ou supprimées individuellement ou en bloc.

14. Mineurs

Le Service n'est pas destiné aux personnes de moins de 16 ans. Nous ne collectons pas sciemment de données concernant des mineurs. Si vous constatez qu'un mineur nous a fourni des données sans autorisation, merci de nous contacter afin que nous procédions à leur suppression.

15. Modifications

La présente politique peut être mise à jour pour refléter des évolutions légales, techniques ou organisationnelles. La date de dernière mise à jour figure en haut du document. Toute modification substantielle fera l'objet d'une information préalable.

16. Contact

Pour toute question relative à vos données personnelles : privacy@novatech.re.