Politique de confidentialité d'AIR-Core

Version 2026-11. En vigueur depuis le [DATE D'ENTRÉE EN VIGUEUR].

La présente politique explique comment nous traitons les données personnelles des personnes qui utilisent AIR-Core (https://app.air-core.io, son API et son serveur MCP) et qui visitent https://air-core.io. Elle ne couvre pas les données que nos clients téléversent sur la plateforme (leurs jeux de données, modèles, etc.). Pour ces données, nous agissons en tant que sous-traitant pour le compte du client, qui est le responsable du traitement et auquel vous devez vous adresser si vos données se trouvent dans un compte AIR-Core (voir la section 9).

1. Responsable du traitement et délégué à la protection des données

• Responsable du traitement : INSTITUTO INTERNACIONAL DE INVESTIGACIÓN EN INTELIGENCIA ARTIFICIAL Y CIENCIAS DE LA COMPUTACIÓN (« AIR Institute »), NIF G37571627, Av. Santiago Madrigal, 39, 37003 Salamanque (Espagne).
• Contact confidentialité : info@air-institute.com (ouvre votre messagerie).
• Délégué à la protection des données (DPD) : contacto@delegado-lopd.es (ouvre votre messagerie) [CONFIRMER que le DPD de l'AIR Institute couvre AIR-Core].

2. Quelles données nous traitons

Nous ne demandons aucune catégorie particulière de données pour le compte. AIR-Core ne s'adresse pas aux personnes de moins de 18 ans.

3. À quelles fins et sur quelle base juridique

Nous avons mis en balance les intérêts légitimes indiqués et vos droits. Vous pouvez demander le détail de cette mise en balance et vous y opposer (section 7).

4. Intelligence artificielle

• Assistant et « Faites-le avec l'IA » avec l'IA d'AIR-Core.
  • Votre instruction et le contexte nécessaire (schémas, noms de colonnes, statistiques et, si besoin, échantillons limités) sont traités par des modèles d'Anthropic (Claude) via Amazon Bedrock, avec un profil d'inférence de l'Union européenne : les données sont traitées dans des régions AWS de l'UE.
  • AWS ne conserve pas les requêtes et ne les utilise pas pour entraîner des modèles.
  • Nous n'utilisons pas vos données pour entraîner des modèles.
  • Les conversations et le journal d'activité IA sont conservés 365 jours.
• Modèles propres. [VÉRIFIER s'ils sont utilisés en production : certains modèles sont servis sur l'infrastructure de l'AIR Institute à [emplacement UE] ; l'interface l'indique.]
• BYOK (votre propre clé).
  • Si vous configurez une clé d'OpenAI, Anthropic, Groq, Google Gemini ou d'un autre fournisseur compatible, nous enverrons à ce fournisseur, sur votre instruction, la requête et le contexte.
  • Ce fournisseur traite les données selon son contrat et sa politique de confidentialité avec vous, et peut se trouver hors de l'EEE (par exemple aux États-Unis).
  • Ce n'est pas notre fournisseur : nous vous recommandons de lire ses conditions avant de l'utiliser.
  • Nous conservons votre clé chiffrée et vous pouvez la supprimer quand vous le souhaitez.
• Applications d'IA connectées via MCP (par exemple Claude ou ChatGPT).
  • Lorsque vous autorisez une application, celle-ci reçoit les données de votre compte qu'elle demande, dans les limites des autorisations que vous accordez.
  • Ces données sont traitées par le fournisseur de l'application selon sa relation avec vous.
  • Vous pouvez révoquer l'autorisation dans « Compte → Applications ».
• Explicabilité. Elle calcule de façon statistique (SHAP) quelles variables influencent un modèle. Elle s'exécute sur notre infrastructure et n'utilise pas d'IA générative.
• Transparence. Nous indiquons toujours quand vous interagissez avec un système d'IA et nous signalons les contenus générés.

5. À qui nous communiquons les données

Nous ne vendons pas de données personnelles. Nous les communiquons aux prestataires suivants, qui agissent en tant que sous-traitants sauf indication contraire :

En outre, au sein de votre organisation, les administrateurs voient les données des membres (nom, e-mail, rôle, activité et IA utilisée).

Accès des autorités de pays tiers.

• Vos données et celles de votre compte sont hébergées dans l'UE.
• Nous ne répondrons aux demandes d'autorités extérieures à l'UE que si elles reposent sur un accord international ou, à défaut, si le droit de l'Union le permet.
• Nous contesterons les demandes disproportionnées et vous en informerons, sauf interdiction légale (règlement (UE) 2023/2854, art. 28 et 32).

6. Combien de temps nous les conservons

Lorsque la loi nous oblige à conserver des données, nous les conservons bloquées (LOPDGDD, art. 32) : elles ne sont mises qu'à la disposition des juges, tribunaux et autorités pendant le délai de prescription.

7. Vos droits

Vous pouvez exercer les droits suivants :

• accès;
• rectification;
• effacement;
• limitation;
• portabilité;
• retrait du consentement à tout moment, sans effet sur les traitements antérieurs ;
• ne pas faire l'objet de décisions automatisées.

Droit d'opposition. Vous pouvez vous opposer à tout moment aux traitements fondés sur l'intérêt légitime et, sans avoir à vous justifier, aux communications commerciales.

Comment les exercer :

• Où : nombre d'entre eux directement dans l'application (profil, export, suppression du compte, préférences de notification et de cookies), ou en écrivant à info@air-institute.com (ouvre votre messagerie) ou au DPD.
• Identification : si vous écrivez depuis l'e-mail de votre compte, il ne nous en faut pas plus. Sinon, nous pouvons demander le minimum nécessaire pour vous identifier.
• Délai : nous répondons sous un mois, prolongeable de deux mois dans les cas complexes, avec information préalable.

Si vous n'êtes pas satisfait, vous pouvez saisir l'Agence espagnole de protection des données (AEPD) (C/ Jorge Juan 6, 28001 Madrid, www.aepd.es) ou auprès de l'autorité de votre pays de résidence.

Personnes décédées. Les héritiers ou les personnes désignées peuvent demander l'accès, la rectification ou l'effacement des données et contenus d'une personne décédée (LOPDGDD, art. 3 et 96), sauf si celle-ci l'a interdit.

8. Décisions automatisées

AIR Institute ne prend pas de décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou vous affectant de manière significative (art. 22 RGPD).

Certaines mesures contractuelles s'appliquent automatiquement :

• plafonds de dépenses d'IA ;
• limites de la formule ;
• désactivation pour inactivité, toujours après avis ;
• vérification reCAPTCHA.

Vous pouvez demander qu'une personne réexamine l'une d'elles à info@air-institute.com (ouvre votre messagerie).

Stripe peut refuser un paiement au moyen de ses systèmes antifraude, en tant que responsable de traitement indépendant.

Les modèles que vous créez dans AIR-Core et les décisions que vous prenez avec eux relèvent de la responsabilité de votre organisation.

9. Si vos données se trouvent dans le compte d'un client

Si une entreprise ou une organisation a téléversé vos données dans AIR-Core (par exemple dans un jeu de données ou en tant que destinataire d'alertes), cette entité est le responsable du traitement et doit traiter vos demandes. Si vous nous écrivez, nous vous orienterons vers elle ou lui transmettrons votre demande.

10. Sécurité

Nous appliquons des mesures techniques et organisationnelles adaptées au risque :

• hébergement dans l'UE ;
• chiffrement en transit (TLS) ;
• chiffrement des identifiants et des clés avec une clé maîtresse ;
• contrôle d'accès par rôles ;
• vérification en deux étapes ;
• journalisation de l'activité ;
• sauvegardes.

Elles sont décrites à l'annexe II de l'Accord de sous-traitance des données. En cas de violation présentant un risque élevé pour vous, nous vous en informerons sans délai.

11. Communications commerciales

Nous ne vous enverrons d'informations commerciales sur AIR-Core que si vous l'avez accepté ou si vous êtes client et qu'il s'agit de produits similaires. Vous pourrez toujours vous désinscrire grâce au lien présent dans chaque e-mail ou dans les paramètres de votre compte.

12. Cookies

Consultez la Politique relative aux cookies (https://air-core.io/cookies).

13. Modifications

Si nous modifions cette politique de manière significative, nous vous en informerons par e-mail ou dans l'application avant son entrée en vigueur. Les versions précédentes sont disponibles sur [URL].