Politique de confidentialité

Informations au titre du RGPD (UE 2016/679) · Dernière mise à jour : 15 octobre 2026

1. Responsable du traitement

Le responsable du traitement est SHIFTLABS. Contact : notre page contact.

2. Données collectées

A. Sur ce site, où SHIFTLABS est responsable de traitement. Les données que vous nous transmettez via nos formulaires (demande de démo, contact) :

Donnée	Finalité	Base légale	Conservation
Nom, prénom	Vous recontacter	Intérêt légitime / consentement	3 ans après dernier contact
Email professionnel	Réponse à votre demande	Intérêt légitime / consentement	3 ans
Entreprise, taille	Qualifier le besoin	Intérêt légitime	3 ans
Message / enjeu	Préparer l'échange	Intérêt légitime	3 ans

B. Sur la plateforme, où SHIFTLABS est sous-traitant pour le compte de l'entreprise cliente, qui en est responsable de traitement (voir section 8). Cette partie décrit le traitement le plus important en volume, et concerne les salariés de nos clients :

Donnée	Finalité	Base légale	Conservation
Prénom et rôle déclarés en entretien	Rattacher une contribution à une activité, jamais à une évaluation	Intérêt légitime de l'employeur, avec consentement recueilli à l'écran	Durée de la mission, au plus 24 mois
Verbatim de l'entretien et synthèse relue par le répondant	Cartographier le travail réel et identifier des usages IA	Idem	Durée de la mission, au plus 24 mois
Réponses au questionnaire et à l'échantillonnage	Mesurer la répartition du temps, en agrégé	Idem	Durée de la mission, au plus 24 mois
Agrégats de journaux d'événements ou de télémétrie d'usage, importés à l'initiative du client (totaux, médianes et classements ; le fichier est lu dans le navigateur, aucune ligne brute ni identifiant de personne n'est envoyé ; groupes de moins de cinq personnes regroupés)	Reconstituer les parcours réels et mesurer l'usage des outils, en agrégé	Idem	Durée de la mission, au plus 24 mois
Relevés datés des indicateurs publiés (maturité, valeur identifiée, cas d'usage, adoption…)	Montrer au client l'évolution de ses indicateurs	Exécution du contrat	Durée de la mission, au plus 24 mois
Compteurs de consommation d'IA de l'organisation (appels et tokens par mois ; jamais le contenu des échanges)	Suivre la consommation et, le cas échéant, l'encadrer	Intérêt légitime	Durée de la mission, au plus 24 mois
Messages envoyés à l'expert depuis l'espace client	Répondre au client	Exécution du contrat	Supprimés avec le compte client (durée du contrat, puis 12 mois)
Compte client (nom, adresse, mot de passe haché)	Accès à l'espace de suivi	Exécution du contrat	Durée du contrat, puis 12 mois
Journal des actions sensibles (suppressions, purges, publications, restaurations)	Preuve en cas de contestation, obligation de sécurité	Obligation légale (art. 32)	12 mois, dans la limite des 500 entrées les plus récentes tous clients confondus

Dictée vocale, à votre initiative. Si vous choisissez de répondre au micro plutôt qu'au clavier, votre navigateur transmet votre voix à son propre éditeur pour la transcrire (Google pour Chrome, Apple pour Safari, Microsoft pour Edge) — un service que SHIFTLABS ne contrôle pas et dont il ne reçoit jamais l'audio. Ce choix vous est proposé explicitement avant tout usage du micro, et vous pouvez répondre au clavier à tout moment sans aucune perte de fonctionnalité.

Ce que l'employeur reçoit est agrégé et jamais nominatif : ni le prénom, ni le verbatim intégral ne lui sont transmis. Les données ne servent jamais à évaluer, noter, classer ou sanctionner une personne, et ne sont jamais utilisées pour entraîner un modèle.

3. Destinataires

Vos données sont destinées aux seules personnes de SHIFTLABS qui traitent votre demande. Elles ne sont jamais vendues. Elles peuvent être traitées par nos sous-traitants techniques (hébergeur, messagerie, limitation de débit, supervision applicative), listés ci-dessous avec le moteur d'analyse par l'IA, dans le strict cadre de leurs missions. Nous n'utilisons aucun outil de CRM à ce jour.

Serveurs applicatifs : Vercel Inc. (États-Unis), exécution en région Paris (cdg1)
Stockage des données : Vercel Blob, région Paris (cdg1)
Moteur d'analyse (IA) : Anthropic, PBC (États-Unis), via son API professionnelle. Les textes à analyser (réponses aux entretiens, contenus des sources, questions posées à l'assistant) lui sont transmis et traités aux États-Unis. Anthropic agit comme sous-traitant, supprime les entrées et sorties de ses systèmes sous 30 jours au plus (sauf obligation légale, ou contenu signalé comme contraire à sa politique d'usage : jusqu'à 2 ans) et ne les utilise pas pour entraîner ses modèles sans autorisation expresse
Moteur d'analyse de repli (IA) : Mistral AI (France), traitement dans l'Union européenne, appelé lorsque le moteur principal ne répond pas
Envoi de courriels : Brevo (société française), hébergement dans l'Union européenne
Limitation de débit : Upstash, hébergé à Londres (Royaume-Uni, pays reconnu adéquat par la Commission européenne) — données techniques uniquement : empreinte hachée de l'IP, du compte ou de l'e-mail, et compteurs, jamais la valeur en clair
Suivi des erreurs : Sentry (Functional Software, Inc.), États-Unis sauf organisation Sentry configurée en résidence UE

4. Transferts hors UE

Une partie de nos sous-traitants est établie aux États-Unis, dont le moteur d'analyse par l'IA (Anthropic) : les textes envoyés pour analyse y sont traités. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne (pour Anthropic, intégrées à son accord de sous-traitance), complétées par le chiffrement des données au repos, dont nous seuls détenons la clé. Les textes envoyés au moteur d'analyse sont chiffrés en transit (TLS), mais lisibles par lui le temps du traitement.

Nous privilégions les sous-traitants européens partout où une alternative existe : l'exécution applicative et le stockage actif des données sont désormais tous deux en région Paris. L'analyse par l'IA, elle, est confiée à Anthropic (États-Unis) ; Mistral AI (France) reste configuré comme moteur de repli. Le tableau ci-dessus reflète la situation réelle à la date de mise à jour de cette page, et non un objectif. Une copie antérieure à cette bascule subsiste dans l'ancien magasin (États-Unis) tant qu'il n'est pas détaché ; les demandes d'effacement reçues depuis la bascule portent sur le magasin actif (Paris).

5. Sécurité

Mesures techniques et organisationnelles effectivement en place : chiffrement en transit (TLS) et au repos (AES-256-GCM), cloisonnement logique des données par organisation cliente (accès filtrés par identifiant de client ; entretiens et collectes dans des fichiers séparés par client), session signée et révocable, journal des actions sensibles (suppressions, purges, publications, restaurations), limitation de débit sur les points d'entrée publics, sauvegardes chiffrées dont les instantanés les plus anciens sont effacés définitivement.

Les durées indiquées en section 2 sont, à l'exception du journal des actions sensibles (purgé automatiquement à chaque écriture), appliquées par une revue périodique de l'équipe qui identifie et supprime les données échues : elles ne reposent pas sur une suppression automatique. Une demande d'effacement est, elle, exécutée immédiatement sur le magasin actif, et l'instantané de sauvegarde pris pour l'opération est ensuite supprimé. Les instantanés antérieurs (les 30 plus récents, sans durée maximale) peuvent encore contenir la donnée : seule la suppression d'un compte client la retire aussi de ses sauvegardes antérieures.

6. Vos droits

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, ainsi que du droit de définir des directives post-mortem.

Pour les exercer : notre page contact (mention « Protection des données »). Réponse sous 1 mois. Vous pouvez réclamer auprès de la CNIL.

7. Cookies

Ce site ne dépose aucun cookie de suivi, de mesure d'audience ou publicitaire. Aucun bandeau de consentement n'est donc requis. Les stockages strictement nécessaires suivants sont utilisés, exemptés de consentement au sens de l'article 82 de la loi Informatique et Libertés :

Cookie de session (__Host-sl_session) : vous maintient connecté à votre espace. Signé, inaccessible aux scripts de la page, durée 7 jours, révoqué dès que le mot de passe change.
Cookie d'état de connexion (sl_oauth_<fournisseur>) : posé uniquement pendant la connexion via Google ou Microsoft, pour quelques minutes, afin d'empêcher la falsification de cette requête (CSRF).
Stockage local du navigateur pendant un entretien : conserve votre brouillon en cas de coupure réseau. Il est effacé dès que l'envoi est confirmé par nos serveurs.

8. Traitement des données clients (DPA)

Dans le cadre de nos prestations, SHIFTLABS agit en qualité de sous-traitant au sens de l'article 28 du RGPD, le client restant responsable de traitement. Un accord de traitement des données (DPA) doit être signé avec le client avant tout traitement, et précise :

l'objet, la durée, la nature et la finalité du traitement ;
les catégories de données et de personnes concernées ;
le cloisonnement logique par client — chaque accès est filtré par identifiant de client, et les entretiens et collectes sont stockés dans des fichiers séparés par client — et une restitution à l'employeur agrégée et non nominative ;
l'engagement de ne jamais utiliser vos données pour entraîner des modèles ;
la liste des sous-traitants ultérieurs et l'encadrement des transferts ;
les mesures de sécurité, la notification de violation et l'assistance aux droits.

Le projet de DPA est consultable sur /dpa ; pour le signer, contactez-nous via notre page contact (mention « Protection des données »).