Politique de confidentialité

DOCUMENT PUBLIC — SITE NYMETRA

POLITIQUE DE CONFIDENTIALITÉ

Site, espace client, commandes, licences, support et sécurité

Version 1.2 FINAL — 30 septembre 2026

MARCHÉ V1 : PROFESSIONNELS UNIQUEMENT

LECTURE RAPIDE

Les points essentiels avant le détail

1 — OBJET, CHAMP D’APPLICATION ET RÔLES

La présente Politique explique comment SYTEWEB SRL (« SYTEWEB »), éditeur de NYMETRA, traite les données à caractère personnel lorsqu’une personne visite nymetra.fr, contacte l’équipe, passe une commande, utilise l’espace client, active une licence, sollicite le support ou interagit avec les services en ligne exploités par SYTEWEB.

Elle vise les traitements pour lesquels SYTEWEB détermine les finalités et les moyens et agit donc comme responsable du traitement au sens du Règlement (UE) 2016/679 (« RGPD »).

Lorsque SYTEWEB agit pour le compte d’un Client

Lorsqu’une intervention d’installation, de diagnostic, de sécurité ou de support conduit exceptionnellement SYTEWEB ou un prestataire habilité à accéder à des données personnelles traitées pour le compte d’un Client, ce traitement est encadré par le DPA NYMETRA applicable. Dans ce périmètre, le Client demeure responsable du traitement ou donneur d’instructions, et la présente Politique ne remplace pas le DPA.

2 — ARCHITECTURE DE DONNÉES DE NYMETRA

2.1 — Fonctionnement normal du logiciel

La détection, la validation, la pseudonymisation et la réintégration sont réalisées dans l’environnement du Client selon les fonctionnalités de la version utilisée. Les documents originaux et les informations de correspondance nécessaires à la réintégration restent dans cet environnement dans le fonctionnement normal.

La version pseudonymisée et le contenu nécessaire à la requête sont transmis directement depuis l’environnement du Client au fournisseur d’intelligence artificielle qu’il a choisi. La pseudonymisation réduit l’exposition d’informations directement identifiantes mais ne constitue pas, à elle seule, une anonymisation irréversible.

2.2 — Communications avec les services SYTEWEB

NYMETRA peut communiquer avec les services exploités par SYTEWEB pour la gestion des licences et activations, l’espace client, la commande, les mises à jour, le support déclenché par l’utilisateur et la sécurité. Ces services ne sont pas conçus pour recevoir le contenu des dossiers, prompts, réponses ou tables de correspondance dans le fonctionnement normal.

3 — DONNÉES TRAITÉES ET SOURCES

Selon le parcours utilisé, SYTEWEB peut traiter les catégories de données suivantes. Toutes ne sont pas collectées pour chaque personne.

3.1 — Données collectées indirectement

Certaines informations peuvent être communiquées par l’organisation cliente, par exemple lorsqu’elle désigne ou réaffecte un Utilisateur Autorisé. Dans un contexte B2B, des coordonnées professionnelles peuvent également provenir d’un échange, d’une recommandation ou d’une source professionnelle licitement accessible. Lorsque l’information n’a pas été recueillie directement auprès de la personne concernée, SYTEWEB applique les obligations d’information prévues par le RGPD selon les circonstances.

3.2 — Données à ne pas transmettre dans les champs libres

Les champs « message » et « description » permettent une saisie libre. Il est demandé de ne pas y copier de document, d’extrait de dossier, de mot de passe, de clé API ni d’information confidentielle ou sensible qui n’est pas nécessaire à la demande. Une personne peut néanmoins y insérer volontairement de telles informations ; dans ce cas, SYTEWEB les traite uniquement dans la mesure nécessaire à la demande et applique les règles de minimisation et de suppression appropriées.

4 — FINALITÉS ET BASES JURIDIQUES

SYTEWEB ne traite pas les données « au cas où ». Chaque traitement doit correspondre à une finalité identifiée et à une base juridique applicable.

5 — LICENCES, ACTIVATIONS ET EMPREINTE DE POSTE

Les mécanismes de licence ne servent pas à analyser l’activité métier du Client. Ils servent à vérifier le droit d’usage, le nombre d’activations autorisées et les règles contractuelles applicables à la Licence.

5.1 — Données envoyées lors d’une activation ou d’une vérification

• la clé de licence ;

• une empreinte technique de poste obtenue par HMAC-SHA-256 à partir de la clé de licence et d’un identifiant matériel local ;

• la version de NYMETRA ;

• la plateforme compatible utilisée ;

• l’empreinte d’un ancien poste lorsqu’un remplacement ou une libération le nécessite.

L’identifiant matériel brut du poste n’est pas transmis à SYTEWEB. L’empreinte reçue est une valeur dérivée et dépend de la clé de licence : une même machine utilisée avec deux licences produit des empreintes différentes.

5.2 — Données conservées pour une activation active

Le registre d’activation contient la clé de licence, l’empreinte dérivée, la date d’activation, la date de dernière vérification, la version et la plateforme. Une désactivation ou un remplacement supprime l’activation correspondante ; une trace limitée du transfert est conservée pendant la durée définie à la section 11.

5.3 — Données réseau

Les infrastructures techniques peuvent traiter les métadonnées réseau inhérentes à la requête, notamment l’adresse IP, l’horodatage et le user-agent. L’adresse IP peut notamment être utilisée par les mécanismes de limitation de débit et de sécurité. Le code applicatif de licence n’a pas pour finalité de journaliser le contenu des dossiers ou les prompts du Client.

6 — COMMANDE, ESPACE CLIENT, PAIEMENT ET E-MAILS

6.1 — Commande B2B

Le parcours de commande enregistre les informations nécessaires à la configuration achetée, à la preuve contractuelle, à la facturation et à la mise à disposition du droit d’usage. La preuve d’acceptation peut inclure l’identité communiquée par l’acheteur, la date et l’heure, la configuration, le récapitulatif financier et la version des documents contractuels acceptés.

6.2 — Paiement par Stripe

Le paiement en ligne est traité par Stripe. Les données complètes de carte bancaire sont saisies dans l’environnement de paiement de Stripe et ne sont pas stockées directement par SYTEWEB. SYTEWEB reçoit et conserve uniquement les informations nécessaires à la confirmation de la commande, au rapprochement, à la facturation et à la preuve du paiement.

6.3 — Espace client et double authentification

L’espace client utilise des mécanismes d’authentification temporaires, des sessions et une double authentification TOTP pour les opérations sensibles prévues. Les données de sécurité correspondantes sont utilisées uniquement pour identifier l’utilisateur, protéger l’accès et limiter les risques d’utilisation non autorisée.

6.4 — E-mails transactionnels

SYTEWEB utilise Brevo pour l’envoi de certains messages transactionnels et de service. Les messages peuvent contenir l’adresse du destinataire, l’objet, le contenu nécessaire et des informations techniques de délivrabilité. Les clés de licence ne sont pas communiquées par e-mail dans le parcours standard : elles sont rendues disponibles dans l’espace client après authentification renforcée.

7 — CONTACT, CRM ET SUPPORT

7.1 — Formulaire de contact

Les informations du formulaire de contact sont utilisées pour traiter la demande, recontacter la personne et qualifier le besoin professionnel. Elles peuvent être enregistrées dans le système relationnel B2B de SYTEWEB. Aucun upload de document métier n’est prévu dans le formulaire de contact de la V1.

7.2 — Support

Le support est conçu pour fonctionner d’abord sans accès aux données métier. Le Client est invité à décrire le problème avec des informations techniques minimales. Le rapport de diagnostic généré par NYMETRA, lorsqu’il est joint à une demande, ne contient pas le nom de fichier, le chemin du fichier ni les valeurs personnelles détectées ; il peut inclure des métadonnées techniques limitées nécessaires au diagnostic.

Une demande de support peut toutefois comporter un texte libre saisi par l’utilisateur. Il ne faut pas y transmettre de dossier réel, de secret, de mot de passe, de clé API ou d’information sensible non nécessaire.

7.3 — Intervention exceptionnelle sur des données Client

Si le diagnostic exige exceptionnellement l’accès à des données personnelles pour le compte du Client, l’intervention est réalisée conformément au DPA et à la procédure de support : accès minimal, autorisé, temporaire et traçable, sans accès autonome permanent et avec suppression ou restitution des éléments temporaires selon les instructions applicables.

8 — FOURNISSEUR D’IA CHOISI PAR LE CLIENT

NYMETRA permet au Client d’utiliser un fournisseur d’IA pris en charge avec son propre compte et, lorsque nécessaire, sa propre clé API. Le Client contracte directement avec ce fournisseur et reste responsable de la configuration et des conditions applicables à son compte.

Dans le fonctionnement normal, la version pseudonymisée et le contenu nécessaire à la requête sont transmis directement depuis l’environnement du Client au fournisseur choisi. Ce flux ne transite pas par l’infrastructure SYTEWEB. OpenAI (GPT), Anthropic (Claude), Google (Gemini) ou un autre fournisseur choisi par le Client ne sont donc pas présentés comme sous-traitants de SYTEWEB pour ce flux normal.

9 — DESTINATAIRES ET PRESTATAIRES

L’accès aux données est limité aux personnes qui en ont besoin pour leurs fonctions et aux prestataires nécessaires à la fourniture des services. Les principaux prestataires structurants de la V1 sont les suivants :

Peuvent également recevoir certaines données, dans la stricte mesure nécessaire : les prestataires de stockage documentaire interne et de sécurité, les conseils juridiques ou comptables, les assureurs lorsqu’ils sont concernés, ainsi que les autorités administratives, judiciaires ou de contrôle lorsque la loi l’exige.

10 — TRANSFERTS HORS DE L’ESPACE ÉCONOMIQUE EUROPÉEN

Certains prestataires structurants sont établis aux États-Unis ou disposent d’une infrastructure et de sous-traitants internationaux. Des données personnelles peuvent donc être traitées hors de l’Espace économique européen selon le service utilisé.

Lorsque le RGPD l’exige, ces transferts sont encadrés par un mécanisme reconnu : décision d’adéquation, notamment le cadre UE–États-Unis de protection des données (EU-U.S. Data Privacy Framework) pour les organisations qui y sont certifiées, clauses contractuelles types de la Commission européenne et, lorsque nécessaire, mesures complémentaires.

À la date de cette version, Cloudflare et Netlify documentent notamment leur recours au Data Privacy Framework et/ou aux clauses contractuelles types pour les transferts concernés. Stripe prévoit des mécanismes de transfert comprenant notamment le Data Privacy Framework et les clauses contractuelles types selon les flux. Brevo indique que les serveurs hébergeant ses bases de données sont situés dans l’Union européenne ; sa chaîne de sous-traitance reste soumise aux garanties applicables lorsqu’un transfert international intervient.

Une personne concernée peut demander à contact@nymetra.fr des informations complémentaires sur les garanties applicables au transfert qui la concerne et, lorsqu’une copie peut être communiquée, les modalités pour l’obtenir.

11 — DURÉES DE CONSERVATION

Les durées ci-dessous constituent la politique V1. Une donnée peut être isolée et conservée plus longtemps lorsqu’un litige, une fraude, un incident ou une obligation légale impose de préserver une preuve déterminée. Inversement, une donnée devenue inutile est supprimée plus tôt lorsque cela est possible.

Les copies techniques de sauvegarde ou de reprise gérées par un prestataire peuvent subsister temporairement après une suppression jusqu’à leur rotation normale. Elles ne doivent pas être réutilisées comme données actives sauf nécessité de restauration et restent soumises aux mesures de sécurité et aux engagements du prestataire.

12 — SÉCURITÉ ET CONTRÔLE DES ACCÈS

SYTEWEB applique des mesures techniques et organisationnelles proportionnées au risque et au périmètre de traitement, notamment :

• comptes nominatifs et authentification multifacteur pour les accès administratifs concernés ;

• principe du moindre privilège et limitation des accès aux besoins de la mission ;

• protection de l’administration par des mécanismes d’accès contrôlé ;

• séparation entre contenu métier local et services en ligne de licence/commande/support ;

• journalisation et conservation proportionnée des événements techniques ou de sécurité ;

• procédure interne de gestion des incidents et violations ;

• procédure de support privilégiant l’absence d’accès, puis les informations techniques minimales, avant tout accès plus intrusif ;

• interdiction de demander ou conserver les mots de passe et clés API du Client dans les communications ordinaires de support.

Aucune mesure ne permet de garantir un risque nul. En cas d’incident impliquant des données personnelles, SYTEWEB applique ses obligations de qualification, de documentation et de notification selon le rôle qu’il exerce et la réglementation applicable.

13 — COOKIES, STOCKAGES LOCAUX ET MESURE D’AUDIENCE

Le site public et les espaces authentifiés peuvent utiliser des mécanismes techniques strictement nécessaires au fonctionnement, à la session, à l’authentification ou à la sécurité. Ils ne sont pas utilisés pour construire un profil publicitaire.

Dans la configuration V1 actuelle, aucun outil de publicité comportementale ou de profilage marketing n’est activé. La fréquentation du site public est mesurée par Netlify Web Analytics à partir des journaux du serveur : aucun cookie ni autre traceur n’est déposé sur le terminal, et les résultats ne sont consultés que sous forme de statistiques agrégées (pages vues, pages consultées, sites de provenance). Si cette configuration évolue, les traceurs non strictement nécessaires ne seront activés qu’après application du régime d’information et, lorsque requis, de consentement approprié. Les informations opérationnelles sont présentées sur /cookies.

14 — VOS DROITS

Sous réserve des conditions prévues par le RGPD et de la base juridique applicable, toute personne concernée peut demander :

• l’accès à ses données et une copie des informations traitées ;

• la rectification de données inexactes ou incomplètes ;

• l’effacement lorsque les conditions légales sont réunies ;

• la limitation du traitement ;

• l’opposition aux traitements fondés sur l’intérêt légitime ;

• la portabilité des données lorsque le traitement y est éligible ;

• le retrait d’un consentement à tout moment lorsque le traitement repose sur ce consentement, sans remettre en cause la licéité antérieure ;

• l’opposition à tout moment à la prospection directe qui la concerne.

14.1 — Comment exercer vos droits

Écrivez à contact@nymetra.fr ou par courrier à SYTEWEB SRL, Avenue de Tervueren 202 boîte 6, 1150 Woluwe-Saint-Pierre, Belgique. Précisez le droit exercé et les informations permettant d’identifier raisonnablement la relation concernée. SYTEWEB peut demander un élément complémentaire lorsque cela est nécessaire pour vérifier l’identité et éviter de communiquer des données à une personne non autorisée.

SYTEWEB répond en principe dans un délai d’un mois. Ce délai peut être prolongé de deux mois lorsque la demande est complexe ou nombreuse, avec information de la personne dans le délai initial.

14.2 — Réclamation auprès d’une autorité de contrôle

Vous pouvez introduire une réclamation auprès de l’Autorité de protection des données belge (APD) ou, selon le RGPD, auprès de l’autorité de contrôle de votre résidence habituelle, de votre lieu de travail ou du lieu de l’infraction alléguée. L’APD est accessible via dataprotectionauthority.be.

15 — DONNÉES OBLIGATOIRES, DÉCISIONS AUTOMATISÉES ET PROFILAGE

15.1 — Caractère obligatoire ou facultatif

Les champs obligatoires sont identifiés dans les formulaires. Certaines données sont nécessaires pour traiter une demande, conclure ou exécuter une commande, fournir la licence, sécuriser l’espace client ou respecter une obligation légale. À défaut, SYTEWEB peut ne pas être en mesure d’exécuter l’action demandée. Les champs facultatifs peuvent être laissés vides.

15.2 — Décisions automatisées

SYTEWEB ne met pas en œuvre, dans la V1, de décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant de manière similaire significative une personne au sens de l’article 22 du RGPD. Certaines règles techniques automatisées peuvent accepter ou refuser une activation en fonction des paramètres de la licence ou des limites d’appareils ; elles sont liées à l’exécution technique du droit d’usage et peuvent faire l’objet d’une vérification ou d’un support humain.

15.3 — Profilage marketing

Aucun profilage comportemental publicitaire n’est réalisé dans la configuration V1 actuelle. Les attributs CRM utilisés pour organiser la relation B2B — par exemple offre, taille de structure, statut Client ou échéance de service — servent à l’administration commerciale et opérationnelle et non à prendre une décision automatisée produisant un effet juridique sur une personne.

16 — MISE À JOUR DE LA POLITIQUE

La présente Politique peut être mise à jour lorsque les services, les prestataires, les catégories de données, les finalités, les durées, les mécanismes de transfert ou la réglementation évoluent. La date et le numéro de version sont indiqués ci-dessous. Lorsqu’une modification est substantielle et que le droit applicable l’exige, une information complémentaire est fournie par un moyen approprié.

— FIN DE LA POLITIQUE —