Politique de confidentialité

La présente Politique distingue deux situations selon la nature des données, conformément au RGPD.

• Identification : NORMX AI SAS, 71 rue Daire, 80000 Amiens, France, RCS Amiens n° 103 831 921.
• Point de contact « données personnelles » : POATY-KAMBISSI Christelle Elodie épouse MABIKA, dpo@normx-ai.com.

YONSO applique le principe de minimisation : seules les données nécessaires au service sont collectées.

• Données de compte (utilisateurs) : nom, adresse électronique, mot de passe conservé sous forme d'empreinte, numéro d'identification fiscale de l'organisation, date et version des conditions acceptées.
• Données de l'espace de formation (apprenants) : nom, adresse électronique, mot de passe conservé sous forme d'empreinte, profil (étudiant, comptable salarié, cabinet comptable, PME ou entrepreneur, autre), pays, entreprise et numéro WhatsApp si l'apprenant les renseigne, date de son accord aux messages, première source de sa visite (par exemple la vidéo d'où il vient), résultats d'examen et attestations délivrées.
• Données de paie (salariés, pour le compte de l'employeur) : identité et coordonnées, contrats, éléments de rémunération, cotisations, coordonnées bancaires pour les virements.
• Données comptables (pour le compte du client) : écritures, tiers, pièces déposées telles que factures et relevés, et ce qu'en relève la lecture automatique (tiers, numéro, date, montants).
• Données de paiement de l'abonnement : moyen de paiement utilisé et références du paiement (numéro de téléphone pour un paiement par Mobile Money).
• Données techniques : journaux de connexion et de sécurité (adresse IP, date, événement).

Les données servent à établir la paie et les déclarations sociales et fiscales, à tenir la comptabilité, à fournir et sécuriser le service et à respecter les obligations légales applicables.

Conformément à l'article 6 du RGPD, chaque traitement repose sur une base légale : exécution du contrat, obligation légale, intérêt légitime ou consentement.

Les messages envoyés aux apprenants par courriel ou par WhatsApp (nouvelles vidéos, conseils, présentation de YONSO) reposent sur leur consentement : la case est facultative, décochée d'office, et sa date est conservée. L'apprenant s'y oppose à tout moment en écrivant à contact@normx-ai.com ; le profil et le pays servent alors seulement à adapter ces messages.

Les données sont hébergées par OVH SAS, sur des infrastructures situées en France (Union européenne). Les sauvegardes sont chiffrées avant de quitter le serveur.

Un sous-traitant traite des données hors de l'Union européenne, aux États-Unis (voir l'article 5) : le fournisseur des modèles d'intelligence artificielle qui lisent les pièces et font fonctionner les assistants. Ce transfert repose sur la décision d'adéquation du 10 juillet 2023 relative au cadre de protection des données UE–États-Unis (Data Privacy Framework), auquel il est certifié, et sur les clauses contractuelles types de la Commission européenne (décision 2021/914) incorporées à son contrat de sous-traitance. NORMX AI SAS a documenté son analyse de ce transfert. La connexion avec Google ou Microsoft, au choix de l'utilisateur, passe aussi par ces sociétés, certifiées au même cadre.

Lorsque les données concernent des personnes situées hors UE, ce stockage en France constitue, pour le client responsable de traitement, une localisation hors de la zone d'origine qu'il lui appartient de prendre en compte.

NORMX AI SAS recourt à des sous-traitants ultérieurs présentant des garanties suffisantes (article 28.2 RGPD) :

• OVH SAS (France) : hébergement, infrastructure, stockage des sauvegardes, et envoi des courriels du service par sa messagerie (confirmation d'adresse, invitations, bulletins et documents envoyés à la demande de l'utilisateur). Données traitées en France (UE).
• Anthropic PBC (États-Unis) : modèles d'intelligence artificielle qui lisent les pièces déposées et font fonctionner les assistants. Données traitées aux États-Unis ; certifié au Data Privacy Framework, clauses contractuelles types 2021/914 ; les données transmises ne servent pas à entraîner ses modèles.
• Google LLC et Microsoft Corporation (États-Unis) : seulement pour l'utilisateur qui choisit de se connecter avec son compte Google ou Microsoft ; certifiés au Data Privacy Framework.

Les données sont conservées tant que le Compte de l'Organisation est ouvert. À sa fermeture, l'archive complète de chaque dossier est remise à l'Organisation, qui la télécharge pendant trois (3) mois ; les données sont ensuite effacées, et l'Organisation conserve seule ses livres et ses pièces pendant les durées légales. NORMX AI SAS ne garde que la trace de la remise (nom de l'Organisation, dates, empreintes des archives). Les journaux de connexion sont conservés un an, comme les entrées du carnet des réponses de l'assistante à améliorer ; une conversation avec l'assistante que personne ne reprend est effacée au bout de trois (3) mois.

Compte ouvert, certaines données sont retirées passé leur durée : les pièces justificatives dix (10) ans après la clôture de l'exercice qu'elles justifient, les déclarations sociales nominatives six (6) ans, le journal d'audit cinq (5) ans (dix ans pour la comptabilité), le journal des appels au modèle d'IA, les notifications, les demandes des salariés une fois décidées et les demandes d'assistance une fois résolues (captures d'écran comprises) un (1) an, les messages du formulaire de contact trois (3) ans.

Les sauvegardes hors du serveur sont effacées au bout de trente-cinq (35) jours : une donnée effacée de la base n'y survit pas au-delà.

Le nom et l'adresse de l'auteur d'une action restent, après la suppression de son compte, dans le journal d'audit et sur les écritures qu'il a passées ou validées, pendant leur durée de conservation : ils servent de preuve et aux obligations comptables (article 17.3.b RGPD).

NORMX AI SAS met en œuvre des mesures techniques et organisationnelles appropriées (article 32 RGPD) : chiffrement des échanges et des sauvegardes, contrôle d'accès par rôle, cloisonnement entre organisations, journalisation des accès et des modifications. En cas de violation présentant un risque élevé, les personnes concernées sont informées et la CNIL notifiée dans les 72 heures (article 33 RGPD).

Conformément au RGPD, vous disposez des droits d'accès (art. 15), de rectification (art. 16), à l'effacement (art. 17), à la limitation (art. 18), à la portabilité (art. 20), d'opposition (art. 21), de retrait du consentement (art. 7.3) et de définition de directives post-mortem.

Vous pouvez introduire une réclamation auprès de la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 (www.cnil.fr).

La Plateforme ne dépose que des cookies strictement nécessaires, exemptés de consentement selon les recommandations de la CNIL : le cookie de session, qui authentifie l'utilisateur connecté, celui de l'espace de formation, qui authentifie l'apprenant, et, le temps d'une connexion avec Google ou Microsoft, un cookie qui la protège contre la falsification. Le navigateur garde aussi, sur le poste, les onglets de travail ouverts, effacés à la déconnexion, l'avancement dans les modules de formation et, le temps de l'onglet, la source du lien qui vous a amené sur le site (la vidéo dont vous venez, par exemple), transmise avec votre inscription ou votre demande ; une saisie en cours peut être gardée dans l'onglet, d'où elle disparaît à sa fermeture. Aucun cookie de mesure d'audience ou publicitaire n'est déposé.

Pour les données des dossiers, traitées pour le compte de l'Organisation cliente, les CGU et la présente Politique forment le contrat écrit qui lie NORMX AI SAS, sous-traitant, à l'Organisation, responsable de traitement (article 28.3 RGPD ; loi congolaise n° 29-2019, article 11). Objet : la tenue de la paie, de la comptabilité et des déclarations des dossiers, pour la durée de l'abonnement ; données et personnes concernées : celles de l'article 2. NORMX AI SAS :

• ne traite les données que sur instruction documentée de l'Organisation, c'est-à-dire par l'usage qu'elle fait de la Plateforme et ses réglages, y compris pour un transfert hors de l'Union européenne, sauf obligation légale dont il l'informe ;
• veille à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité ;
• prend les mesures de sécurité de l'article 6 (article 32 RGPD) ;
• ne recourt à un autre sous-traitant que dans les conditions de l'article 5 (information préalable, droit d'opposition) et lui impose les mêmes obligations ;
• aide l'Organisation à répondre aux demandes des personnes : depuis la fiche d'un salarié, elle télécharge elle-même ses données en un fichier lisible et réutilisable (fiche, contrat, bulletins, absences, demandes, accès à son espace) ; les autres exports de la Plateforme complètent ;
• l'aide à garantir la sécurité, à notifier une violation (il l'en informe dans les meilleurs délais après en avoir eu connaissance), à mener une analyse d'impact et, s'il le faut, à consulter l'autorité de contrôle au préalable (articles 32 à 36 RGPD) ;
• au terme du contrat, lui remet ses données (archive complète de chaque dossier, téléchargeable trois mois) puis les efface, sauvegardes comprises au terme de leur durée de garde (article 6), sauf conservation exigée par la loi ;
• met à sa disposition les informations nécessaires pour démontrer le respect de ces obligations, et permet des audits, y compris des inspections, par elle ou un auditeur qu'elle mandate, sur demande motivée et avec un préavis raisonnable ;
• l'informe immédiatement si, selon lui, une instruction constitue une violation du RGPD ou d'une autre disposition du droit de l'Union ou d'un État membre relative à la protection des données.

Une Organisation établie en République du Congo qui utilise la Plateforme est responsable des traitements des données de ses dossiers au sens de la loi n° 29-2019 du 10 octobre 2019 portant protection des données à caractère personnel (Journal officiel n° 45-2019).

Ces données sont hébergées en France (article 4), et une partie est traitée aux États-Unis par le fournisseur des modèles d'IA (article 5). Le transfert vers un pays tiers n'a lieu que si ce pays assure un niveau de protection suffisant, et le responsable du traitement en informe préalablement la commission (article 23) ; à défaut, il peut être autorisé par la commission au vu de garanties suffisantes (article 25). Les traitements font l'objet d'une déclaration auprès de la commission, sauf dispense (article 33). Cette commission est la commission nationale pour la protection des données à caractère personnel (CNPD), créée par la loi n° 5-2025 du 29 mars 2025 (Journal officiel n° 15-2025), dont le siège est à Brazzaville.

Pour ces formalités, NORMX AI SAS remet à l'Organisation qui le demande à dpo@normx-ai.com la description des traitements, des lieux d'hébergement, des sous-traitants et des garanties ci-dessus (décision d'adéquation et clauses contractuelles types pour les États-Unis, chiffrement, cloisonnement).