Politique de confidentialité

Mise à jour : 2026-09-16

Ce que Victoria traite, pourquoi, combien de temps, par qui — et vos droits.

1. Responsable du traitement

CORDIALBAN (entreprise individuelle, 47 rue Vivienne, 75002 Paris ; voir les mentions légales), joignable à contact@victoria.app, est responsable des traitements liés aux comptes et au Mirroir. Pour les documents qu'une organisation dépose sur la plateforme, l'organisation est responsable du traitement ; CORDIALBAN agit comme sous-traitant, selon le contrat de traitement accepté à l'inscription.

2. Données traitées

Compte : adresse électronique, nom d'utilisateur, mot de passe (conservé uniquement sous forme de hachage), organisation, date du contrat de traitement.
Organisations : nom, membres et rôles, licence.
Documents déposés sur la plateforme (le corpus d'un sujet), le texte qui en est extrait et ce qui en est tiré : OS, graphes, mesures, audits, échanges de la Réunion. Les prénoms détectés sont remplacés par des rôles au dépôt.
Le Mirroir : le prénom que vous choisissez et l'OS produit. Les messages sont extraits de votre export dans votre navigateur ; seul un extrait compact est envoyé, et il est détruit après l'écriture de l'OS.
Une adresse laissée au Mirroir, seulement si vous la donnez : pour recevoir votre OS, ou être prévenu quand le Mirroir rouvre ; et, seulement si vous cochez la case, pour recevoir de temps en temps des nouvelles de Victoria.
Abonnement : le plan, son statut, ses échéances et les identifiants de l'abonnement chez le revendeur ; jamais vos coordonnées bancaires.
Sources, seulement si l'organisation en branche : les jetons d'accès que le fournisseur délivre, gardés chiffrés ; le périmètre choisi ; et ce que la source y trouve, proposé à la boîte de réception d'un sujet avec sa provenance (la source, son identifiant, sa date). Rien n'est lu hors du périmètre choisi, et rien n'entre au corpus sans qu'un membre l'accepte. Chaque source lit, avec les portées minimales en lecture seule :
- OneDrive / SharePoint (Files.Read.All) : le contenu des fichiers du dossier choisi ; les noms des autres fichiers du lecteur passent par la synchronisation sans être gardés ;
- Google Drive (drive.readonly) : le contenu des fichiers du dossier choisi ;
- Notion : les pages de la base ou de la page choisie, parmi celles que vous partagez avec Victoria à la connexion ;
- Outlook (Mail.Read) et Gmail (gmail.readonly) : les courriels du dossier ou du libellé choisi, entiers, et leurs fichiers joints ;
- Teams (ChannelMessage.Read.All) : les messages du canal choisi qui portent la réaction choisie ;
- Slack : les messages épinglés, ou marqués de la réaction choisie, du canal choisi ;
- le courriel : les messages envoyés à l'adresse de dépôt d'un sujet, et leurs fichiers joints ; un expéditeur qui n'est pas membre de l'organisation voit son message mis à part, jamais proposé.
Une source se révoque dans les réglages de l'organisation : ses jetons sont effacés, et révoqués chez le fournisseur quand il le permet (Google, Slack) ; sinon, la page dit où retirer l'accès (Microsoft, Notion).
La veille : une pièce acceptée et les affirmations de l'OS qu'elle touche, envoyées à un modèle le temps d'une confrontation ; les écarts relevés, sans autre contenu.
Connexion par l'annuaire d'un cabinet : l'adresse et l'identifiant que l'annuaire (Microsoft Entra ID, Google Workspace) certifie ; aucun mot de passe.
Horodatage : l'empreinte (SHA-256) d'une version figée ou d'une archive, envoyée à une autorité d'horodatage, qui ne reçoit jamais le contenu ; le jeton qu'elle rend.
Une relation partagée : quand une organisation partage un sujet de relation avec une autre, l'autre lit ce sujet — son OS, ses pièces — et rien d'autre.
Journaux : qui a fait quoi et quand (suppressions, exports, accès aux documents, licences, gestes d'administration), jamais le contenu. L'adresse IP sert à limiter le débit des requêtes et n'est gardée que deux heures au plus ; le journal d'administration n'en conserve qu'une empreinte.

3. Finalités et bases légales

Fournir le service (comptes, plateforme, Mirroir) : exécution du contrat.
Écrire l'OS d'une personne au Mirroir : consentement, donné au dépôt.
Envoyer l'OS, ou prévenir que le Mirroir rouvre, à l'adresse laissée : à votre demande. Recevoir des nouvelles de Victoria : consentement, séparé et facultatif.
Traiter les documents d'une organisation : pour son compte, en sous-traitance.
Sécurité, prévention des abus, facturation : intérêt légitime et obligations légales.

4. Durées de conservation

Compte : la vie du compte ; effacé immédiatement et définitivement à sa suppression.
Corpus d'une organisation : selon son choix, conservé pendant la vie du sujet (corbeille de 30 jours après une suppression) ou détruit dès l'extraction.
Mirroir : l'extrait envoyé est détruit après l'écriture de l'OS ; l'OS reste accessible 30 jours par le cookie du navigateur, qui seul y donne accès.
Adresse laissée au Mirroir : jusqu'à la désinscription (un clic, dans chaque courriel), et trois ans au plus.
Exports : sept jours, puis effacés.
Pièce proposée par une source : jusqu'à son acceptation (elle suit alors le corpus) ou son refus ; une pièce refusée ou mise à part est gardée [durée à fixer] pour ne pas revenir.
Jetons d'une source : jusqu'à sa révocation ; son journal, la vie de l'organisation.
Versions mensuelles et leurs jetons d'horodatage : la vie de l'organisation.
Journal : la vie de l'organisation, plus un an.
Sauvegardes : la durée de la corbeille, plus un cycle de sauvegarde.

5. Destinataires et prestataires

Aucune donnée n'est vendue ; aucune publicité n'est servie. Le service s'appuie sur les prestataires suivants :

Hébergement : les données sont hébergées en Suisse, pays reconnu par la Commission européenne comme offrant un niveau de protection adéquat.
Modèles d'intelligence artificielle : ils reçoivent, le temps d'un traitement, la matière nécessaire (un échantillon d'un corpus, le texte d'un OS). Certains sont établis hors de l'Union européenne ; les garanties qui encadrent ces transferts sont communiquées sur simple demande.
Envoi des e-mails : Gandi, établi en France, achemine les e-mails que Victoria envoie depuis no-reply@victoria.app (la fin d'une tâche, l'arrêt d'une planification, l'OS du Mirroir ou sa réouverture quand vous l'avez demandé). Il reçoit l'adresse du destinataire et le contenu du message. Chaque e-mail qui n'est pas indispensable se coupe d'un clic, par le lien qu'il porte ou dans Mon compte, rubrique « E-mails ».
Paiement : un abonnement, une recharge du crédit ou une extraction se paient chez Lemon Squeezy, revendeur du service. Il encaisse, émet la facture et déclare la TVA ; la page de paiement est la sienne, et Victoria ne voit jamais vos coordonnées bancaires. Victoria garde le montant, l'état du paiement et les identifiants de la commande ; le revendeur conserve les pièces comptables dix ans, comme la loi le demande.
Claude, à la demande d'un membre : si une organisation ouvre l'accès de Claude (Anthropic) dans ses réglages et qu'un membre y connecte son compte, les passages que Claude lit — l'OS, les pièces citées, les rapports — partent dans les conversations Claude de ce membre, chez Anthropic, avec un stockage aux États-Unis, selon les conditions de son offre Claude. Rien ne part tant que l'organisation ne l'a pas ouvert ; chaque lecture est inscrite au journal de l'organisation ; le membre retire l'accès dans Mon compte, le propriétaire le ferme dans les réglages.
Sources : les fournisseurs qu'une organisation branche (Microsoft, Google, Notion, Slack) reçoivent les demandes de lecture de Victoria, avec le jeton qu'ils ont eux-mêmes délivré. Le courriel déposé passe par [le routeur du courriel entrant, à choisir].
Horodatage : [l'autorité d'horodatage, à choisir] reçoit une empreinte, jamais un contenu.
Copilot Studio et le plugin Claude, à la demande d'un membre : comme pour Claude, ce que l'agent lit — l'OS de l'organisation, les pièces citées — part chez l'éditeur de l'agent (Microsoft, Anthropic), selon les conditions de son offre. Rien ne part tant qu'un propriétaire n'a pas créé le client ou que le membre n'a pas posé sa clé ; chaque lecture est inscrite au journal d'accès de l'organisation.

La liste des prestataires est disponible sur demande à contact@victoria.app.

6. Cookies

Deux cookies, tous deux nécessaires au service ; aucun cookie de mesure d'audience ni de publicité, aucun traceur tiers.

Les pages publiques sont comptées côté serveur, sans cookie ni script : chaque affichage garde la date, la page, la source d'arrivée (?src=), le domaine du site d'où vous venez, et une empreinte technique — sha256 de votre adresse IP, de votre navigateur et d'un sel régénéré chaque nuit et jamais conservé — qui sépare deux visites du même jour sans permettre de vous identifier ni de vous suivre d'un jour sur l'autre ; aucune adresse IP n'est enregistrée, et ces lignes s'effacent au bout de treize mois.

victoria_session : votre session, après connexion ; valable 24 heures. HttpOnly, SameSite=Lax, Secure en production.
mirroir_jeton : le lien entre votre navigateur et votre dépôt au Mirroir, pour revenir chercher votre OS ; valable 30 jours. HttpOnly, SameSite=Lax.

7. Vos droits

Accès et portabilité : « Exporter mes données » dans Mon compte ; un sujet s'exporte depuis sa page.
Effacement : « Supprimer mon compte » dans Mon compte, immédiat et définitif. Le propriétaire d'une organisation la transmet ou la ferme d'abord, avec nous.
Rectification, opposition, limitation, et retrait du consentement donné au Mirroir : écrivez à contact@victoria.app.
Réclamation auprès de la CNIL : cnil.fr.

8. Sécurité

Mots de passe hachés (bcrypt) ; sessions conservées côté serveur ; TLS ; isolation stricte des données de chaque organisation ; journal d'administration en ajout seul ; secrets tenus hors du code.

9. Contact

Pour toute question relative à vos données personnelles : contact@victoria.app.

Conditions générales · Mentions légales · Transparence