Emerit Science respecte votre vie privée et s'engage à protéger vos données personnelles conformément au Règlement Général sur la Protection des Données (RGPD). Cette politique explique comment nous collectons, utilisons, partageons et protégeons vos données dans le cadre de l'utilisation de Charlie, notre assistant de recherche scientifique propulsé par intelligence artificielle, ainsi que de notre activité de prospection commerciale.

1. Qui sommes-nous

Charlie est édité par Emerit Science SAS, société immatriculée au RCS du Havre sous le numéro 984 135 473, dont le siège social est situé 85 boulevard de Strasbourg, 76600 Le Havre, France. Pour toute question relative à vos données personnelles, contactez-nous à contact@emeritscience.com. Un référent protection des données est désigné au sein d’Emerit Science : vous pouvez le joindre à cette même adresse (objet « Données personnelles ») ou par courrier au siège.

2. Quelles données nous collectons

Selon votre usage de Charlie, nous traitons les catégories de données suivantes :

• Données de compte : adresse email, nom, prénom, langue, mot de passe. Votre mot de passe est stocké sous forme hachée par notre service d'authentification — nous n'y avons jamais accès en clair.
• Données d'usage : historique de conversation, documents importés dans vos bibliothèques, notes et mémoire personnalisée, historique de veille.
• Contenu soumis à l'IA : vos messages et documents sont transmis au fournisseur de modèle de langage que vous choisissez (voir section 4).
• Données de facturation : gérées directement par Stripe, notre prestataire de paiement. Nous ne stockons jamais vos coordonnées bancaires.
• Données techniques : adresse IP, type de navigateur, journaux techniques nécessaires à la sécurité et au fonctionnement du service.
• Coordonnées professionnelles issues de publications scientifiques : si vous n'êtes pas encore client, votre email professionnel associé à une publication publique — voir section 6.

Les données marquées comme obligatoires dans nos formulaires (adresse email, mot de passe, prénom et nom à l’inscription) sont nécessaires à la création et au fonctionnement de votre compte : sans elles, l’inscription n’est pas possible. Les autres données (documents importés, notes, préférences, photo de profil transmise par votre fournisseur d’identité) sont facultatives et dépendent de votre usage. Si vous êtes invité(e) à rejoindre une équipe, son administrateur nous transmet votre adresse email professionnelle dans le seul but de vous envoyer l’invitation ; si vous ne l’acceptez pas, aucun compte n’est créé et cette adresse est supprimée sur simple demande.

3. Pourquoi nous traitons vos données

• Fournir le service Charlie (compte, conversations, bibliothèques, veille) : exécution du contrat.
• Traiter vos abonnements et paiements : exécution du contrat.
• Sécuriser le service, prévenir la fraude : intérêt légitime.
• Mesure d'audience (Google Analytics) : consentement, recueilli via notre bandeau cookies.
• Prospection commerciale B2B : intérêt légitime, avec opposition possible à tout moment.
• Obligations comptables et fiscales : obligation légale.

4. Vos données et l'intelligence artificielle

Charlie s'appuie sur des modèles de langage pour générer ses réponses. Ces modèles sont exécutés exclusivement au sein de l'Union européenne. Vous choisissez vous-même, dans les paramètres de l'application, le fournisseur utilisé pour vos conversations ; son nom et le pays d'exécution y sont indiqués. Vos messages et les documents que vous soumettez sont transmis à ce fournisseur pour générer la réponse.

Vos échanges ne sont pas utilisés pour entraîner des modèles tiers : nos contrats avec les fournisseurs de modèles excluent l'utilisation de vos données à des fins d'entraînement. Une configuration reposant uniquement sur des modèles ouverts hébergés en France est disponible pour les organisations qui le demandent.

Les réponses générées par l'IA peuvent contenir des erreurs. Charlie ne prend aucune décision automatisée au sens de l'article 22 du RGPD et n'effectue aucun profilage à des fins commerciales ou de notation. Il ne remplace pas un avis professionnel qualifié — voir nos conditions générales d'utilisation.

5. Avec qui nous partageons vos données (sous-traitants)

Nous ne vendons jamais vos données. Nous faisons appel à des sous-traitants, chacun lié par un contrat conforme à l'article 28 du RGPD, qui interviennent dans les catégories suivantes :

Notre objectif est un service souverain : l'application, vos données (comptes, conversations, documents, notes) et l'authentification sont hébergées en France, chez un hébergeur français certifié ISO 27001, et nous réduisons au fil du temps les dépendances hors Union européenne (polices, drapeaux et autres ressources sont désormais servis par nos propres serveurs). Nous n'y sommes pas encore complètement : quelques prestataires situés hors de l'Union européenne interviennent pour des fonctions précises, avec le rôle et les garanties indiqués ci-dessous.

• Hébergement et infrastructure (France, Union européenne — hébergeur certifié ISO 27001) — hébergement de l'application et de vos données (comptes, conversations, documents téléversés, notes), authentification, journaux techniques, analyse automatique de vos documents, et exécution des modèles ouverts si vous choisissez cette option.
• Cookiebot (Cybot A/S, Danemark, Union européenne) — recueil et archivage de votre consentement aux cookies.
• Google LLC (États-Unis, Data Privacy Framework) — mesure d'audience de ce site et vidéos YouTube, sous réserve de votre consentement ; connexion avec un compte Google, si vous choisissez ce mode de connexion (voir ci-dessous).
• Fournisseurs de modèles de langage (Union européenne) — génération des réponses de Charlie, selon le fournisseur que vous sélectionnez dans l'application.
• Messagerie professionnelle et agenda (Union européenne) — envoi de nos emails de service (codes de vérification, réinitialisation de mot de passe, invitations d'équipe, rapports de veille, réponses à vos retours) et prise de rendez-vous pour une démonstration.
• Stripe Payments Europe Ltd (Irlande, Union européenne, PCI DSS niveau 1) — paiements et abonnements.
• Plateforme d'emailing marketing (États-Unis, Data Privacy Framework) — envoi de nos emails de prospection commerciale (voir section 6).
• Hébergement de ce site vitrine et de sa zone DNS (entité contractante dans l'Union européenne ; infrastructure aux États-Unis et points de présence européens, Data Privacy Framework) — journaux techniques de consultation uniquement ; l'application Charlie et vos données n'y sont pas hébergées.

Sources scientifiques et recherche web : pour répondre à vos questions, Charlie interroge des bases bibliographiques publiques et des moteurs de recherche web avec des requêtes anonymes reformulées par l'IA — jamais votre identité, ni le texte brut de vos conversations. Dans le module Biodata, l'enrichissement fonctionnel par un service externe n'est utilisé que si vous l'activez explicitement à chaque analyse : seule la liste de gènes est transmise. La liste de ces services et leur pays d'établissement sont disponibles sur demande.

Connexion via Google, Microsoft ou ProConnect : si vous choisissez l'un de ces modes de connexion, votre fournisseur d'identité nous transmet votre identifiant, votre adresse email et votre nom, et sait que vous utilisez Charlie. Il agit comme responsable de traitement distinct, selon sa propre politique de confidentialité. La connexion par email et mot de passe reste toujours disponible.

Dictée vocale : si vous utilisez le micro pour dicter une question, la transcription est réalisée par votre navigateur (Google pour Chrome, Microsoft pour Edge, Apple pour Safari) ; l'audio ne transite pas par nos serveurs. Vous pouvez toujours saisir votre question au clavier.

La liste nominative, complète et à jour, de nos sous-traitants — leur rôle, leur pays d'établissement et les garanties applicables — est fournie sur demande à contact@emeritscience.com. Les organisations clientes la reçoivent avec notre accord de traitement des données.

6. Prospection commerciale auprès de professionnels de la recherche

Si vous n’êtes pas (ou pas encore) utilisateur de Charlie, il est possible que nous ayons collecté votre adresse email professionnelle telle qu’associée à une publication scientifique disponible publiquement (par exemple via PubMed), dans le seul but de vous présenter nos services. Nos messages sont regroupés par discipline scientifique, sans profilage individuel. Cette adresse n’est jamais utilisée à d’autres fins ni communiquée à un tiers, hormis notre prestataire d’envoi d’emails (voir section 5), et vous pouvez vous y opposer à tout moment via le lien de désabonnement ou en nous écrivant.

Chaque email envoyé contient un lien de désabonnement immédiat. Vous pouvez aussi vous opposer à ce traitement ou demander l'effacement de votre adresse à tout moment à contact@emeritscience.com.

7. Combien de temps nous conservons vos données

• Compte inactif (pas de connexion depuis 1 an), quel que soit votre abonnement : email d'avertissement 7 jours avant, puis suppression complète et automatique à 365 jours.
• Suppression à votre demande : à tout moment depuis votre profil — conversations, documents, notes et veilles sont alors effacés.
• Données de facturation : conservées 10 ans par Stripe, obligation légale comptable, indépendamment de votre compte Charlie.
• Journaux techniques : conservés 30 jours à des fins de sécurité et de diagnostic.
• État d'exécution technique de vos échanges avec l'IA (points de reprise internes) : conservé 7 jours, pour permettre la reprise d'une réponse interrompue.
• Coordonnées de prospection (section 6) : conservées jusqu'à votre désabonnement ou opposition.

8. Vos Droits

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie des données que nous détenons sur vous.
• Droit de rectification : corriger des données inexactes ou incomplètes.
• Droit à l'effacement : supprimer votre compte et vos données à tout moment.
• Droit à la portabilité : recevoir vos données dans un format structuré et réutilisable.
• Droit d'opposition et de limitation : vous opposer à un traitement, notamment la prospection commerciale.
• Droit au retrait du consentement : à tout moment, sans effet rétroactif sur les traitements déjà effectués.
• Directives post-mortem : définir des directives sur le sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).

Pour exercer ces droits (hors suppression de compte, disponible directement dans l’application), contactez-nous à contact@emeritscience.com. Nous répondons sous un mois maximum, délai prolongeable de deux mois pour les demandes complexes ; l’exercice de vos droits est gratuit et nous pouvons vous demander de justifier de votre identité en cas de doute raisonnable. Vous disposez aussi du droit d’introduire une réclamation auprès de la CNIL.

9. Cookies et traceurs

Lors de votre première visite, une bannière vous permet d’accepter, de refuser ou de personnaliser les cookies non essentiels, répartis en trois catégories : préférences, statistiques (mesure d’audience Google Analytics) et marketing (vidéos YouTube intégrées, qui ne se chargent qu’après votre consentement). Le détail de chaque cookie (nom, finalité, émetteur, durée de vie) est consultable dans l’onglet « Détails » de la bannière. Votre choix est conservé 12 mois, puis vous est redemandé ; vous pouvez le modifier à tout moment via l’icône de préférences cookies présente en permanence sur le site.

10. Transferts de données hors Union européenne

Nos prestataires principaux (hébergement de l'application, de vos données et de l'authentification, modèles de langage, messagerie de service, paiement) sont situés dans l'Union européenne. Quelques prestataires cités en section 5 sont situés aux États-Unis (mesure d'audience et connexion avec un compte Google, emailing marketing, hébergement de ce site vitrine, enrichissement fonctionnel du module Biodata si vous l'activez) : ces transferts sont encadrés par le Data Privacy Framework UE–États-Unis et/ou par les clauses contractuelles types approuvées par la Commission européenne. Une copie de ces garanties vous est communiquée sur demande à contact@emeritscience.com. Les bases bibliographiques et moteurs de recherche publics ne reçoivent que des requêtes anonymes.

11. Sécurité

Chiffrement des communications et des données au repos, authentification sécurisée (mots de passe hachés, connexion unique Google, Microsoft et ProConnect), cloisonnement des accès selon le principe du moindre privilège, environnements de test et de production séparés, sauvegardes régulières et revues de sécurité régulières. Le détail de notre architecture et de nos mesures de sécurité figure dans notre dossier d'architecture et de sécurité, remis aux organisations sur demande, sous accord de confidentialité.

12. Modifications de cette politique

Toute modification substantielle vous sera notifiée par email ou par une bannière dans l'application avant son entrée en vigueur. La date de dernière mise à jour figure en haut de cette page.

13. Contact

Pour toute question relative à cette politique ou à vos données personnelles :