Mentions Légales

Hébergement du site et de l'application (VPS principal)

France (UE)

Inférence IA sans état active pour les interactions Helio, Recherche et Product Council explicitement déclenchées et autorisées en production.

Le code de l'application limite les requêtes à https://api.eu.mistral.ai. L'inférence régionale ne prouve pas à elle seule la conservation zéro des données ni que toute activité de contrôle, d'assistance ou de sous-traitance reste dans l'UE. Voir la section 6.

Envoi d'e-mails transactionnels et marketing

États-Unis (clauses contractuelles types de l'UE en place)

Traitement des paiements d'abonnement de la Marketplace. ACTUELLEMENT INACTIF : aucun identifiant Stripe n'est configuré dans l'environnement depuis lequel la présente politique est publiée ; aucun paiement Marketplace n'est donc encaissé et rien ne parvient à Stripe par notre intermédiaire. L'intégration est conservée et cette entrée décrit le traitement si elle est réactivée. Par ailleurs, et sans lien avec ce qui précède, Stripe est chargé par le module de réservation Calendly si vous choisissez de le charger — voir la section 9.4.

Irlande (UE) avec transferts vers les États-Unis encadrés par des CCT

Moyen de paiement alternatif pour la Marketplace. ACTUELLEMENT INACTIF : aucun identifiant PayPal n'est configuré dans l'environnement depuis lequel la présente politique est publiée. L'intégration est conservée et cette entrée décrit le traitement si elle est réactivée.

Luxembourg (UE)

Diagnostic des erreurs applicatives avec filtrage du contenu des messages, des données de requête et des détails privés des URL. La télémétrie facultative des performances du navigateur nécessite le consentement analytique ; l’échantillonnage des performances serveur et le rejeu de session sont désactivés dans cette version. La configuration en production a été observée le 31 octobre 2026 ; cela ne prouve pas la réception effective des événements.

Fournisseur établi aux États-Unis ; la région de traitement et de stockage sélectionnée, les garanties de transfert applicables et les preuves contractuelles restent à vérifier. Lien vers le DPA du fournisseur ci-dessous.

Mesure d'audience anonymisée avec Consent Mode v2. La balise côté client ne s'active qu'après consentement explicite. L'API GA4 Data est également utilisée côté serveur par le tableau de bord d'administration pour la production de rapports agrégés.

Traitement des données dans l'UE, sous-transferts vers les États-Unis encadrés par des CCT

Analyse de performance et de trafic en temps réel (RUM — Real User Monitoring). Sans cookie et respectueux de la vie privée : aucun cookie persistant, aucun suivi intersites, aucune empreinte numérique. Collecte uniquement des métriques agrégées de pages vues et de Core Web Vitals.

États-Unis (clauses contractuelles types de l'UE en place)

Planification de réunions

États-Unis (CCT en place)

Compteurs gérés distincts pour la limitation de débit. L’état principal de l’application utilise Redis auto-hébergé lorsqu’il est configuré.

L’état principal de l’application est auto-hébergé ; le circuit distinct de limitation de débit Upstash reste actif. Aucune région de traitement européenne n’est affirmée pour le service géré. Voir section 6.

Stockage d'objets pour les ressources de livraison de produits et les sauvegardes hors site

Union européenne (compartiment à juridiction UE) ; Cloudflare est une société américaine — transferts encadrés par des clauses contractuelles types de l'UE

Fiches de relation client pour les demandes, prospects et évaluations. Auto-hébergé sur notre infrastructure OVHcloud en France — l’éditeur n’y a pas accès.

France (UE) — notre propre infrastructure

Alertes opérationnelles internes destinées au fondateur. Les alertes de visite contiennent la page, le référent, l'agent utilisateur, l'adresse IP tronquée, le pays, l'appareil et le navigateur. Les alertes relatives à une demande de contact, à une évaluation ou à une réservation contiennent en outre des données d'identité et de qualification : votre nom, votre adresse e-mail, votre société, le score du prospect et les signaux qui le motivent, l'action suivante suggérée et, le cas échéant, le résultat de votre évaluation ou les détails de votre réservation. Le texte libre de votre demande n'est délibérément PAS transmis à ce canal : il reste dans le CRM et dans la boîte aux lettres de l'exploitant.

États-Unis (CCT / DPF)

Alertes opérationnelles internes vers l'appareil personnel du fondateur. Reçoit les mêmes données d'identité et de qualification que Slack — nom, adresse e-mail, société, source, score et signaux — ainsi que, pour un petit nombre d'avis générés par le système, une ligne de résumé. Le texte libre de votre demande n'est délibérément PAS transmis à ce canal.

Hors EEE — voir la section 6

Diffuse et protège chaque requête vers ce site. Traite nécessairement les métadonnées de connexion, dont votre adresse IP. Il s’agit d’infrastructure, pas d’analytique.

Réseau edge mondial (CCT / DPF)

Automatisation de flux de travail exécutée sur notre propre infrastructure. Lorsque ses webhooks de prospect et de cadrage sont activés, il reçoit l'adresse e-mail et la source d'une demande de ressource protégée, ainsi que le contenu intégral d'un formulaire de cadrage stratégique. Ces deux webhooks NE SONT PAS activés dans l'environnement depuis lequel la présente politique est publiée ; la connexion d'administration qui lit l'historique d'exécution des flux — laquelle ne transporte aucune donnée personnelle — l'est.

France (UE) — notre propre infrastructure, à l'adresse n8n.hyperion-consulting.io. L'éditeur du logiciel n'y a aucun accès.

Récupération de résultats de moteur de recherche pour la prospection sortante et la veille concurrentielle. Les requêtes nomment des organisations et peuvent nommer des personnes au sein des organisations que nous étudions en vue d'une prise de contact sortante. Ce service N'INTERVIENT sur aucun parcours de visiteur ni de demande de contact : rien de ce que vous soumettez sur ce site n'est envoyé à SerpAPI.

États-Unis

Deux usages distincts. (1) Recherche d'entreprise lors de la qualification d'un prospect : lorsque vous demandez une ressource protégée, nous prenons le premier segment du domaine professionnel de votre adresse e-mail — « exemple » dans « exemple.com » — et interrogeons à son sujet l'annuaire des organisations de LinkedIn. Votre adresse e-mail, votre nom et votre message ne sont jamais transmis, et les fournisseurs de messagerie grand public sont entièrement écartés. (2) Publication et mesure de nos propres publications depuis notre propre page LinkedIn, ce qui ne met en jeu aucune donnée de visiteur. L'usage (1) N'EST PAS activé dans l'environnement depuis lequel la présente politique est publiée.

États-Unis / Irlande

Recherche de sources publiques, rédaction et revue éditoriale automatisée dans un circuit distinct autorisé par le propriétaire. Les demandes du site, documents clients et conversations des visiteurs en sont exclus.

Service externe Anthropic. Le lieu de traitement, la conservation et les garanties dépendent des conditions applicables du fournisseur ; ce circuit éditorial public ne revendique pas un traitement exclusivement européen.