Politique de confidentialité

Introduction

NANEO édite Nanilex. Cette politique explique quelles données personnelles nous traitons, pourquoi, avec qui et combien de temps, et comment exercer vos droits. Elle s'applique à app.nanilex.fr, aux applications mobiles Nanilex et à nanilex.fr.

Deux rôles distincts.

• Pour votre compte, votre abonnement, votre facturation, la sécurité et nos communications, NANEO est responsable de traitement. C'est l'objet de cette politique.
• Pour le contenu de vos dossiers (clients, parties adverses, pièces, notes, échanges avec l'assistant), vous ou votre cabinet êtes responsable de traitement, et NANEO est votre sous-traitant. Ce traitement est régi par le contrat de traitement des données (art. 28 RGPD) annexé aux CGU. Ce contrat liste tous nos sous-traitants. Les personnes concernées par vos dossiers exercent leurs droits auprès de vous ; nous vous aidons à y répondre.

1. Qui sommes-nous

2. Données que nous traitons

• Compte : nom, prénom, adresse électronique, mot de passe haché (bcrypt), identifiant du fournisseur si vous vous connectez avec Google, Apple ou Microsoft.
• Profil professionnel : cabinet, SIRET, taux horaire, rôle.
• Facturation : raison sociale, adresse, numéro de TVA, identifiant client Stripe. Vos données bancaires sont saisies chez Stripe ; nous ne les voyons pas.
• Utilisation : dossiers, documents, contacts, agenda, temps et factures, conversations avec l'assistant, historique de recherche. Pour ces contenus, nous agissons comme sous-traitant (voir l'introduction).
• Techniques : adresse IP, navigateur et système, dates de connexion, pages consultées, appareils de confiance (2FA), jeton de notification de votre appareil mobile si vous activez les notifications.
• Sécurité : journal des connexions, secret TOTP chiffré, codes de secours hachés.
• Erreurs : quand une erreur survient, un rapport technique (page, navigateur, pile d'appel) est envoyé à notre outil de supervision. Il ne contient ni votre adresse IP ni votre identifiant.

3. Finalités et bases légales

4. Destinataires

Seules les personnes habilitées de NANEO accèdent à vos données, et seulement pour le besoin du service, du support ou de la sécurité. Les accès d'administration sont journalisés.

4.1 Sous-traitants

4.2 Services interrogés par l'application

Pappers, Infogreffe, INSEE (Sirene), BODACC, Légifrance. Quand vous lancez une recherche, nous leur transmettons ce qu'il faut pour y répondre, par exemple un nom de société ou un numéro SIREN.

4.3 Autres destinataires

• Google, Apple ou Microsoft, si vous choisissez de vous connecter avec leur compte. Ils agissent alors pour leur propre compte.
• Les autorités, sur demande fondée sur la loi.
• Nos conseils (expert-comptable, avocat), tenus au secret.

Nous ne vendons ni ne louons vos données.

5. Intelligence artificielle

5.1 Un seul fournisseur : Mistral AI

Les fonctions d'IA de Nanilex utilisent uniquement les modèles de Mistral AI, société française. Le backend refuse toute requête sortante vers les services d'OpenAI et signale à notre équipe toute tentative d'en émettre une. Si Mistral AI est indisponible, le service affiche l'interruption ; il ne se rabat sur aucun autre fournisseur.

5.2 Ce que Mistral AI reçoit et en fait

• Il reçoit le texte de votre demande. Il reçoit aussi les extraits de vos dossiers et de vos documents utiles pour y répondre, et les documents à lire (OCR).
• Il agit comme notre sous-traitant pour produire la réponse.
• Son contrat l'autorise à conserver ces échanges 30 jours pour détecter les abus. Pour cet usage, il agit comme responsable de traitement. Son personnel habilité, tenu à la confidentialité, peut y accéder dans ce cadre.
• Entraînement des modèles : le contrat de Mistral AI permet de s'y opposer. NANEO s'y est opposée pour le service Nanilex le 15 octobre 2026. Vos données ne servent donc pas à entraîner ses modèles.

5.3 Masquage avant envoi : ce qu'il retire, ce qu'il ne retire pas

• Avant l'envoi de votre texte et des documents joints, un dispositif sans IA retire et remplace par une étiquette les IBAN, numéros de carte bancaire, numéros de sécurité sociale, numéros de téléphone, adresses électroniques et plaques d'immatriculation. Il vérifie la clé de contrôle quand il y en a une. La table de correspondance reste chiffrée chez nous.
• Il ne retire pas les noms, adresses, dates et montants : l'analyse juridique en a besoin.
• Il ne s'applique pas aux informations que l'assistant va chercher lui-même dans vos dossiers pour vous répondre, comme une fiche contact ou une échéance. Celles-ci partent en clair.
• Il ne s'applique pas encore non plus à la rédaction d'actes, aux formulaires, à la comparaison de documents, à l'éditeur de documents et à la génération de tâches (CGU, art. 7.3).
• Il ne s'agit donc pas d'une anonymisation. Vos données restent protégées par le contrat avec Mistral AI, le chiffrement des échanges (TLS) et le cloisonnement par cabinet.

5.4 Cloisonnement

Les conversations et les index de recherche documentaire sont séparés par utilisateur et par cabinet. Les index sont hébergés sur notre infrastructure en France.

5.5 Contrôle humain

Les réponses de l'assistant sont produites par IA et doivent être vérifiées avant usage. Aucune décision produisant des effets juridiques à votre égard n'est prise automatiquement.

6. Cookies et traceurs

6.1 Site nanilex.fr

Matomo, auto-hébergé chez OVH en France, sans cookie, avec adresse IP tronquée et « Ne pas suivre » respecté, pour des statistiques anonymes de fréquentation. Aucune donnée n'est partagée. Cette mesure est dispensée de consentement selon les recommandations de la CNIL.

6.2 Application

La mesure d'audience produit des statistiques anonymes de fréquentation, sans cookie, sans identifiant de compte et sans le texte de vos recherches. Avec votre accord seulement, elle y ajoute un identifiant de compte haché et des informations de profil, pour améliorer le service. Vous pouvez refuser ou retirer votre accord à tout moment dans « Préférences de confidentialité » ; si vous refusez, la mesure d'audience de l'application s'arrête entièrement.

6.3 Enregistrement de session (Sentry Replay)

• Il n'est actif qu'après votre accord à la mesure d'audience dans l'application.
• Il enregistre une partie des sessions, et celles où survient une erreur. Le texte affiché et les champs saisis y sont masqués par défaut.
• Il s'arrête dès que vous retirez votre accord.

6.4 Stockage local

Votre navigateur garde votre jeton de connexion, vos choix de confidentialité et l'identifiant de votre cabinet. Ces données sont nécessaires au service et ne sont pas lues par des tiers.

6.5 Stripe

Stripe dépose les cookies nécessaires à la sécurité du paiement, sur ses pages de paiement.

7. Durées de conservation

8. Sécurité

• Les fichiers déposés depuis le 17 octobre 2026 sont chiffrés au repos par OVHcloud, avec des clés gérées par OVHcloud. Les échanges avec le service sont chiffrés en transit (TLS).
• Mots de passe hachés (bcrypt) ; secrets de double authentification chiffrés (AES-256-GCM) ; double authentification (TOTP) disponible.
• Jetons de session à durée courte.
• Données hébergées en France ; accès d'administration limités et journalisés.
• Supervision des erreurs et alertes de sécurité.
• Procédure de gestion des incidents. En cas de violation de données, nous notifions la CNIL dans les 72 heures quand la loi l'exige, et nous vous informons quand le risque est élevé (art. 33 et 34 RGPD). Si la violation touche vos dossiers, nous vous prévenons sans retard, pour que vous puissiez remplir vos propres obligations.

9. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, notamment à la prospection, à tout moment et sans motif. Vous pouvez aussi retirer votre consentement à tout moment, et donner des directives sur le sort de vos données après votre décès.

• Rectification : directement dans les paramètres de votre compte.
• Effacement : la demande se fait depuis les paramètres de votre compte. Vous disposez de 30 jours pour l'annuler ; passé ce délai, l'effacement est automatique. Le §7 indique ce qui est effacé et ce qui est conservé, par exemple les factures que vous avez émises.
• Portabilité : export de vos données depuis les paramètres, ou sur demande.
• Désinscription : un lien figure dans chaque courriel commercial.
• Comment exercer vos droits : écrivez à notre référent pour la protection des données, à contact@nanilex.fr, ou par courrier à NANEO – Données personnelles, 930 route des Dolines, 06560 Valbonne. Nous répondons dans un délai d'un mois, prolongeable de deux mois si la demande est complexe ; nous vous prévenons alors.
• Réclamation : vous pouvez saisir la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

10. Transferts hors de l'Espace économique européen

Vos données sont hébergées en France. Des transferts ou des accès depuis les États-Unis restent possibles dans trois cas :

• Sentry : accès pour le support. Ils sont encadrés par le cadre UE–États-Unis de protection des données, et les clauses contractuelles types en secours.
• Stripe : au sein de son groupe.
• Apple et Google : acheminement des notifications mobiles, si vous les activez.

Mistral AI traite vos demandes dans l'Espace économique européen. Certains de ses prestataires d'infrastructure relèvent du droit américain.

Aucun fournisseur d'IA établi hors de l'Union européenne n'est utilisé.

11. Mineurs

Le service est réservé aux professionnels du droit. Il n'est pas destiné aux personnes de moins de 18 ans.

12. Modifications

Nous vous informons de toute modification importante par courriel ou dans l'application, avant son entrée en vigueur. Les versions précédentes sont disponibles sur demande.

13. Contact

Référent pour la protection des données (NANEO n'a pas désigné de délégué à la protection des données, la désignation n'étant pas obligatoire) : Ludovic Lasselin, président de NANEO, contact@nanilex.fr.

Courrier : NANEO – Données personnelles, 930 route des Dolines, 06560 Valbonne.