English version

Protection des données — MyAiCompany

Version 1.3, en vigueur depuis le 10 octobre 2026 (1.2 : 8 octobre 2026 ; 1.1 : 30 septembre 2026 ; 1.0 : 25 septembre 2026). MyAiCompany est un service de NINABOT Sàrl, Genève.

La version anglaise suit le texte français ; en cas de divergence, le texte français fait foi.

1. Qui traite vos données

NINABOT Sàrl, Chemin de Riantbosson 19, 1217 Meyrin (Genève), Suisse — IDE CHE-287.575.522. Pour toute question ou demande : [email protected]. Nous répondons sous 30 jours.

La plateforme est opérée et hébergée en Suisse, et vos données y sont stockées. Les modèles d'IA qu'elle utilise sont servis en Suisse ou dans l'Union européenne (§ 4), jamais ailleurs.

Pour les données de votre compte et de notre vitrine, NINABOT est responsable du traitement. Pour les données que votre compagnie confie à la plateforme (vos clients, prospects, commandes, factures, courrier, fichiers), c'est vous le responsable : NINABOT les traite pour vous, comme sous-traitant, selon l'accord de sous-traitance.

2. Ce que nous traitons, et pourquoi

• Votre compte : nom, adresse, date de naissance, adresse e-mail, téléphone, numéro IDE si vous en avez un. Nécessaire pour ouvrir votre compagnie, déposer un domaine à votre nom et établir vos factures.
• Le contenu de votre compagnie : vos clients, produits, commandes, factures, documents, textes de site. Ces données sont les vôtres ; nous les traitons pour vous, sur votre instruction.
• Vos paiements : gérés par notre prestataire de paiement. **Nous ne voyons ni ne stockons votre numéro de carte** — seulement le fait qu'un paiement a réussi, son montant et sa date.
• Le courrier envoyé et reçu par votre compagnie via la plateforme, pour l'acheminer et vous permettre de le relire.
• Les conversations avec l'assistant : la question, la réponse, et une empreinte de l'adresse IP (jamais l'adresse elle-même) pour borner les abus.
• Le trafic de votre site : nous comptons des pages vues, pas des personnes. Ni adresse IP, ni agent, ni référent, ni cookie, ni traceur. Vous ne saurez donc pas *qui* vous visite — et nous non plus.
• Des journaux techniques (erreurs, temps de réponse), gardés au plus 30 jours.
• La fréquentation de notre vitrine, avec une mesure d'audience sans cookie qui ne suit personne d'un site à l'autre.
• La liste d'attente et les invitations : votre adresse e-mail et l'idée que vous décrivez, pour vous inviter.

Sur quelle base (RGPD et LPD)

• Exécution du contrat : votre compte, le contenu de votre compagnie, les paiements, le courrier, les agents.
• Obligation légale : la conservation des factures et pièces comptables.
• Intérêt légitime : la sécurité et la lutte contre les abus (journaux techniques, empreinte d'IP des conversations, relecture des contenus), la mesure d'audience sans cookie.
• Consentement : la liste d'attente ; vous pouvez le retirer à tout moment.

3. Ce que nous ne faisons pas

• Nous ne vendons aucune donnée, et n'en louons aucune.
• Nous n'utilisons pas vos données pour entraîner des modèles d'IA, ni les nôtres ni ceux de tiers.
• Nous ne posons aucun traceur publicitaire.
• Nous ne lisons pas le contenu de votre compagnie, sauf si vous nous le demandez pour une aide, ou si la loi nous y oblige.

4. L'intelligence artificielle

Quand un agent travaille pour vous, le texte nécessaire à la tâche (par exemple votre catalogue pour un devis) est transmis au modèle qui rédige. Ces envois sont bornés à ce que la tâche exige, traités en Suisse (nos propres serveurs à Genève, Infomaniak) ou dans l'Union européenne (OVHcloud, France) le temps de produire la réponse, et ne servent pas à entraîner de modèle. Ils passent par notre routeur d'inférence (SOKKAN Router, exploité par NINABOT), qui refuse tout fournisseur situé hors de Suisse et de l'UE. Rien n'est envoyé, publié ni acheté sans votre validation explicite.

Décisions automatisées : avant chaque publication, une relecture automatique vérifie le contenu ; un contenu douteux est relu par une personne, et vous pouvez contester tout refus auprès du Support (CGU § 8). Aucune autre décision produisant des effets juridiques à votre égard n'est prise de façon entièrement automatisée.

5. Sous-traitants

Nous faisons appel à des prestataires, chacun pour une fonction précise. Le fait de les nommer est délibéré : une politique qui les cache ne vous apprend rien.

• Hébergement et sauvegardes : Exoscale (Akenes SA), centre de données et stockage objet de Genève, Suisse ; les sauvegardes sont chiffrées.
• Inférence (modèles d'IA) : infrastructure propre de NINABOT, Genève, Suisse ; Infomaniak Network SA, Suisse ; OVH SAS (OVHcloud), France — Union européenne.
• Paiements : Stripe (Irlande / États-Unis).
• Courrier transactionnel : Resend (États-Unis).
• Réseau et protection : Cloudflare (États-Unis) — pour servir les pages et filtrer les abus.
• Noms de domaine : Gandi SAS (France) ou Infomaniak, selon l'extension, lorsque vous déposez un domaine.

Service tiers que VOUS activez — Réseaux sociaux (Postiz). Si vous activez « Réseaux » dans le deck (Marché → Réseaux) et y connectez vos comptes, vos publications, leurs images et l'accès à ces comptes transitent par Postiz (Gitroom, service de planification de publications) et y sont stockés, puis par les réseaux concernés (Instagram, Facebook, LinkedIn…). Postiz n'est pas un sous-traitant choisi par nous pour le fonctionnement de la plateforme : rien ne lui est transmis tant que vous ne l'avez pas activé, après avoir accepté un avertissement explicite. Nous ne contrôlons pas où Postiz héberge ces données ni comment il les traite : elles sortent de nos engagements d'hébergement en Suisse ou dans l'Union européenne. Vous pouvez couper à tout moment ; le compte connecté est alors supprimé chez Postiz, publications programmées comprises.

Les données de votre compagnie (clients, produits, factures, documents) sont stockées en Suisse. Le texte qu'une tâche d'IA exige peut être traité dans l'Union européenne (OVHcloud), dont le niveau de protection est reconnu adéquat par le Conseil fédéral ; il n'y est pas conservé par nous. Les transferts vers les prestataires situés hors de Suisse se limitent à ce que leur fonction exige — une adresse e-mail pour acheminer un message, un montant pour encaisser un paiement — et sont encadrés par des clauses contractuelles types ou, lorsque le prestataire y est certifié, par le Data Privacy Framework UE–États-Unis. La Suisse bénéficie d'une décision d'adéquation de la Commission européenne : pour un utilisateur de l'Union européenne, l'hébergement en Suisse n'est pas un transfert vers un pays tiers non adéquat.

6. Durées de conservation

• Données de compte et de compagnie : tant que le compte existe.
• Après fermeture : 30 jours, le temps d'un retour en arrière, puis suppression définitive.
• Factures et pièces comptables : 10 ans, parce que la loi suisse l'exige.
• Conversations avec l'assistant : 12 mois.
• Journaux techniques : 30 jours.
• Sauvegardes (chiffrées, à Genève) : 90 jours.
• Liste d'attente : jusqu'à votre inscription ou votre demande de suppression.

7. Vos droits

Vous pouvez à tout moment demander l'accès à vos données, leur rectification, leur effacement, la limitation d'un traitement, une copie dans un format lisible par une machine (portabilité), vous opposer à un traitement fondé sur notre intérêt légitime, ou retirer un consentement. Écrivez à [email protected].

Deux choses que nous rendons possibles sans même avoir à le demander : le domaine est déposé à votre nom et vous partez avec, et le code de votre site vit dans un dépôt git qui est le vôtre, téléchargeable à tout moment. Quitter la plateforme n'est pas une négociation.

Si notre réponse ne vous satisfait pas, vous pouvez saisir le Préposé fédéral à la protection des données et à la transparence (PFPDT), Berne. Si vous résidez dans l'Union européenne ou l'Espace économique européen, vous pouvez aussi saisir l'autorité de protection des données de votre pays de résidence.

8. Cookies

Nous posons un cookie de session quand vous vous connectez à votre deck : il vous garde connecté, rien de plus. Notre mesure d'audience fonctionne sans cookie.

Depuis octobre 2026, notre vitrine charge aussi une balise Google Ads (Google Ireland Ltd) pour savoir si nos campagnes publicitaires amènent des inscriptions. Sans votre accord, cette balise ne pose aucun cookie et ne transmet à Google que des signaux sans identifiant (« Consent Mode »). Si vous acceptez via le bandeau, elle peut poser des cookies publicitaires et transmettre à Google, de façon hachée, l'adresse e-mail saisie à l'inscription, afin de rattacher cette inscription au clic sur l'annonce. Vous pouvez refuser ou changer d'avis à tout moment en effaçant les données du site dans votre navigateur ; le bandeau réapparaît alors. Aucun cookie de suivi inter-sites par ailleurs.

9. Sécurité, et ce qu'on fait si ça tourne mal

Les accès sont chiffrés en transit, les mots de passe ne sont jamais stockés en clair, et l'accès aux données de production est limité aux personnes qui exploitent la plateforme. En cas de violation de données susceptible d'engendrer un risque élevé pour vous, nous vous prévenons et nous annonçons l'incident au PFPDT et, pour les personnes concernées de l'Union européenne, à l'autorité compétente, dans les délais légaux.

10. Mineurs

La plateforme s'adresse aussi à des jeunes. Si vous avez moins de 16 ans, l'accord d'un parent ou d'un représentant légal est nécessaire, et c'est lui qui figure comme titulaire du domaine et du compte.

11. Modifications

Toute modification de ce texte est publiée sur cette page avec une nouvelle date d'entrée en vigueur. Un changement important vous est annoncé par e-mail.