La présente Politique de Confidentialité décrit la manière dont Meridiem SRL collecte, utilise et protège les données personnelles dans le cadre du service Speyy, en conformité avec le Règlement (UE) 2016/679 (« GDPR ») et la Loi belge du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel.
1. Responsable du traitement
MERIDIEM SRL
Rue du Baloir 20, bte 401, 4300 Waremme, Belgique
BCE BE 1003.910.507
Représentant : Maxime Schifflers, CEO
Contact : maxime@meridiem.be — +32 472 07 81 37
Pour toute question relative au traitement de vos données ou à l'exercice de vos droits, vous pouvez contacter directement Maxime Schifflers à l'adresse ci-dessus.
2. Quelles données sont collectées
2.1 Données fournies par l'Utilisateur
- Compte / authentification (via Supabase) : nom, prénom, adresse email, numéro de téléphone, rôle professionnel.
- Configuration : identifiants techniques de l'environnement d'exécution dédié, paramètres d'usage, langue préférée, fuseau horaire.
- Contenus Utilisateur introduits dans Speyy : instructions, conversations, fichiers uploadés, mémoire personnalisée, documents générés, contacts manipulés.
2.2 Données provenant des outils connectés
Lorsque l'Utilisateur connecte un outil tiers (Microsoft Outlook, Gmail, Google Calendar, HubSpot, etc.) via Composio, Speyy accède aux données du compte tiers selon les autorisations OAuth explicitement données par l'Utilisateur. Ces données sont traitées uniquement pour exécuter les tâches demandées.
2.3 Données techniques
- Logs d'utilisation : journaux de fonctionnement de l'environnement d'exécution dédié, dates et nature des actions effectuées par l'agent, noms des fichiers manipulés.
- Logs d'authentification : connexions à l'interface, IP, navigateur.
3. Finalités du traitement
Les données sont traitées pour :
- (a) fournir, maintenir et améliorer le Service Speyy ;
- (b) authentifier les Utilisateurs et sécuriser leur compte ;
- (c) permettre à l'agent IA d'exécuter les tâches demandées (envoi d'emails après confirmation, gestion d'agenda, recherche d'information, etc.) ;
- (d) assurer la traçabilité et l'auditabilité des actions de l'agent ;
- (e) respecter les obligations légales applicables ;
- (f) communiquer avec l'Utilisateur (support, incident, évolutions du Service).
4. Bases légales
Conformément à l'article 6 du GDPR, les traitements reposent sur :
- l'exécution du Service demandé par l'Utilisateur (article 6.1.b) — pour l'usage opérationnel de Speyy ;
- l'intérêt légitime de Meridiem (article 6.1.f) — pour la sécurité, l'amélioration du Service et la prévention de la fraude ;
- le consentement explicite de l'Utilisateur (article 6.1.a) — pour la connexion à des outils tiers via OAuth ;
- les obligations légales (article 6.1.c) — lorsque la conservation ou la communication des données est imposée par la loi.
5. Sous-traitants et destinataires
Speyy s'appuie sur les sous-traitants suivants. Aucune donnée n'est vendue, louée ou cédée à des tiers à des fins commerciales.
| Sous-traitant | Rôle | Localisation | Garanties |
|---|---|---|---|
| Microsoft Azure | Infrastructure : hébergement de l'environnement d'exécution dédié et du stockage | Union européenne — France (France Central) | ISO 27001, SOC 2, GDPR. Clauses Contractuelles Types pour tout accès depuis un pays tiers. |
| Microsoft Azure OpenAI | Modèles d'IA (rédaction et raisonnement) — seul fournisseur de modèles utilisé | Ressource déployée dans l'Union européenne. Le type de déploiement actuel permet toutefois que les requêtes soient traitées dans une autre géographie ; les données au repos restent dans l'UE. | Garantie contractuelle Microsoft d'absence d'entraînement des modèles sur les données clients et d'absence de communication à OpenAI. Surveillance des usages abusifs avec revue humaine limitée au personnel de l'EEE, désactivable sur demande. |
| Supabase | Authentification de l'interface. Aucun document, aucune conversation. | Union européenne | Conforme GDPR. |
| Composio | Connectivité OAuth aux outils tiers — uniquement si l'Utilisateur active cette fonction | Union européenne | SOC 2, ISO 27001:2022. Coffre-fort chiffré pour les tokens. |
| Brave Search | Recherche web — reçoit la requête de recherche, uniquement lorsqu'une recherche est demandée | États-Unis | Clauses Contractuelles Types. |
| ElevenLabs | Synthèse vocale et dictée — reçoit le texte lu ou l'enregistrement vocal, uniquement si les fonctions vocales sont utilisées | États-Unis | Clauses Contractuelles Types. |
L'interface charge par ailleurs les polices de caractères depuis Google Fonts et trois bibliothèques d'affichage de documents depuis le réseau de diffusion cdnjs. Ces services reçoivent de ce fait l'adresse IP et le navigateur de l'Utilisateur ; aucun contenu ni document ne leur est transmis.
Le détail des garanties est précisé dans le Speyy Security & Guardrails Overview, disponible sur demande à maxime@meridiem.be.
Les outils tiers connectés par l'Utilisateur (Microsoft 365, Google Workspace, HubSpot, etc.) opèrent sous leurs propres politiques de confidentialité. L'Utilisateur reste responsable de l'usage de ces outils et de leur conformité avec ses propres obligations.
6. Stockage et localisation des données
- L'intégralité des Contenus Utilisateur, des conversations et de la mémoire est stockée dans un répertoire dédié à l'Utilisateur, monté exclusivement dans son environnement d'exécution dédié, hébergé chez Microsoft Azure en France (région France Central).
- Aucune donnée métier ou conversationnelle n'est stockée chez Supabase, Composio, ou un autre sous-traitant. Supabase ne stocke que les données strictement nécessaires à l'authentification de l'interface (nom, email, téléphone, rôle, identifiants techniques).
- Les données sont chiffrées au repos par la plateforme de stockage Azure (AES-256) et les échanges entre le navigateur et le Service sont chiffrés en HTTPS. Le flux interne entre l'environnement d'exécution et son stockage n'est pas chiffré — contrainte du protocole de fichiers réseau utilisé — mais il ne quitte jamais un réseau privé sans accès depuis Internet.
7. Durée de conservation
- Contenus Utilisateur : conservés tant que le Service est utilisé. À la résiliation, l'environnement d'exécution dédié et le répertoire de données de l'Utilisateur sont supprimés à sa demande, ou par défaut au plus tard 60 jours après la résiliation. La suppression est confirmée par écrit sur demande.
- Données de compte (Supabase) : conservées tant que le compte est actif, puis supprimées dans un délai maximal de 6 mois après la résiliation.
- Logs techniques : conservés 30 jours par la plateforme d'hébergement, à des fins de sécurité et de diagnostic.
8. Sécurité
Meridiem SRL met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque :
- Cloisonnement : un environnement d'exécution dédié par client et un répertoire de données dédié — aucune base de données ni mémoire partagée entre clients. Ce cloisonnement est logique : le stockage sous-jacent est commun à la flotte et n'est administrable que par Meridiem.
- Aucune exposition sur Internet de l'environnement d'exécution : il n'est accessible qu'à travers le service d'aiguillage de Meridiem, en HTTPS. Le stockage refuse tout accès public et n'est joignable que par un point de terminaison privé.
- Authentification obligatoire sur toutes les routes servant une donnée, vérifiée en continu par un test automatisé de non-régression portant sur l'ensemble des routes de l'application.
- Chiffrement des données au repos (AES-256) et des échanges avec le navigateur (HTTPS).
- Coffre-fort chiffré Composio pour les tokens OAuth (jamais en clair chez Meridiem).
- Auditabilité des actions de l'agent via sa mémoire interne, les journaux techniques et les logs OAuth des outils connectés.
- Accès opérationnel restreint à un seul compte administrateur, exclusivement détenu par Maxime Schifflers (CEO), tracé au journal d'activité de la plateforme et limité aux finalités d'exploitation, de maintenance et de support.
Le détail de ces mesures, y compris leurs limites connues, figure dans le Speyy Security & Guardrails Overview, remis sur demande.
9. Vos droits
Conformément aux articles 15 à 22 du GDPR, l'Utilisateur dispose à tout moment des droits suivants :
- Droit d'accès : obtenir confirmation que ses données sont traitées et en recevoir une copie.
- Droit de rectification : demander la correction de données inexactes ou incomplètes.
- Droit à l'effacement (« droit à l'oubli ») : demander la suppression des données dans les cas prévus par la loi.
- Droit à la limitation du traitement.
- Droit à la portabilité : recevoir ses données dans un format structuré, lisible par machine, et les transmettre à un autre responsable de traitement.
- Droit d'opposition au traitement fondé sur l'intérêt légitime.
- Droit de retirer son consentement à tout moment, sans remettre en cause la licéité du traitement antérieur.
- Droit de ne pas faire l'objet d'une décision automatisée produisant des effets juridiques le concernant. Speyy se présente comme un assistant à la productivité fondé sur la confirmation humaine pour les actions sensibles, et non comme un système de prise de décision automatisée au sens de l'article 22 du GDPR.
L'exercice de ces droits se fait par simple email à maxime@meridiem.be. Une réponse vous parviendra dans un délai maximal d'un mois.
En cas de désaccord persistant, vous avez le droit d'introduire une réclamation auprès de l'Autorité de protection des données belge :
Autorité de protection des données
Rue de la Presse 35, 1000 Bruxelles
contact@apd-gba.be — +32 2 274 48 00
www.autoriteprotectiondonnees.be
10. Transferts hors de l'Espace économique européen
L'ensemble des Contenus Utilisateur est stocké dans l'Union européenne (France). Aucun transfert systématique de ces contenus vers un pays hors EEE n'est effectué.
Deux réserves, énoncées explicitement. D'une part, le type de déploiement actuellement utilisé pour les modèles d'IA permet que les requêtes soient traitées dans une autre géographie que l'Union européenne, les données au repos restant quant à elles dans l'UE ; la bascule vers un déploiement en zone de données UE est engagée. D'autre part, les fonctions annexes de recherche web et de synthèse vocale font appel à des prestataires établis aux États-Unis, dans les limites décrites à l'article 5 ; ces transferts sont encadrés par les Clauses Contractuelles Types et ces fonctions peuvent être désactivées à la demande.
Si Microsoft (en tant que société américaine) accède de manière exceptionnelle à des données hébergées en Europe, ce traitement est encadré par les Clauses Contractuelles Types de la Commission européenne et par la certification Microsoft au cadre de protection des données UE–US (« EU–US Data Privacy Framework »).
11. Cookies
Le site institutionnel de Speyy utilise des cookies strictement nécessaires à son fonctionnement (session, sécurité, préférences linguistiques). Les cookies de mesure d'audience ou de traçage marketing, lorsqu'ils existent, sont soumis au consentement préalable de l'Utilisateur via une bannière dédiée.
12. Modifications
La présente Politique de Confidentialité peut être modifiée pour refléter les évolutions du Service, de la législation, ou des sous-traitants. La version applicable est celle en vigueur à la date d'utilisation du Service. L'Utilisateur sera informé des modifications substantielles par email ou via l'interface.
13. Contact
Pour toute question relative à la présente Politique de Confidentialité ou à l'exercice de vos droits :
Maxime Schifflers — CEO, Meridiem SRL
maxime@meridiem.be — +32 472 07 81 37
Rue du Baloir 20, bte 401, 4300 Waremme, Belgique