Politique de confidentialité

Le responsable du traitement des données au sens du règlement général sur la protection des données (RGPD) est :

Aucun délégué à la protection des données n'a été désigné : nous n'atteignons pas les seuils du § 38 BDSG. Les questions relatives à la protection des données sont traitées par la direction à l'adresse indiquée à la section 11.

Nous traitons les données à caractère personnel exclusivement conformément au RGPD et à la Bundesdatenschutzgesetz (BDSG). Un traitement n'a lieu que dans la mesure où il est nécessaire à la fourniture de nos services, où une base légale existe ou lorsque tu as donné ton consentement.

ComLayer s'adresse exclusivement aux entrepreneurs au sens du § 14 BGB ; les détails de la relation contractuelle sont réglés par nos Conditions générales de vente.

Lors de la visite de notre site web, le navigateur transmet automatiquement des informations techniques (entre autres l'adresse IP, la date et l'heure de l'accès, la page consultée, le navigateur utilisé). Ces données sont générées chez notre prestataire d'hébergement et servent à un fonctionnement sûr et stable. La base juridique est notre intérêt légitime conformément à l'article 6, paragraphe 1, point f), du RGPD.

Nous n'utilisons sur ce site web ni comptage de visiteurs propre, ni mesure d'audience, ni suivi publicitaire. Nous n'intégrons pas non plus de services tiers à cette fin.

L'utilisation de la plateforme ComLayer nécessite un compte. Nous traitons à cette occasion les données que tu indiques (p. ex. nom, adresse e-mail, données de l'entreprise et identifiants) ainsi que les données de contenu et d'assistance qui naissent au cours de l'utilisation. Le traitement sert à l'exécution du contrat d'utilisation conformément à l'article 6, paragraphe 1, point b), du RGPD.

Si tu utilises ComLayer pour offrir de l'assistance à tes propres clients finaux, nous traitons les données qui en résultent pour ton compte en tant que sous-traitant conformément à l'article 28 du RGPD. Nous convenons des règles correspondantes avec toi dans le contrat de sous-traitance ; on y trouve également les catégories de personnes concernées, les types de données traitées et les mesures techniques.

ComLayer génère des brouillons de réponse à l'aide de modèles de langage, sur la base des connaissances que tu fournis. Pour assurer cette fonction, le contenu de la demande et les extraits correspondants de ta base de connaissances sont transmis aux prestataires de services indiqués à la section 6. Nous ne traitons pas ces contenus à nos propres fins ; en particulier, nous ne les analysons pas pour entraîner nos propres modèles.

Il en va de même pour les fournisseurs de modèles et d'embeddings utilisés : Les deux fournisseurs se sont engagés par contrat à la même exclusion : le fournisseur du modèle par les conditions de traitement des données de Google Cloud, le fournisseur des embeddings par les conditions d'utilisation de Voyage AI.

Si la recherche sémantique est configurée, tes contenus de connaissances sont en outre convertis en embeddings et enregistrés sous cette forme dans notre base de données. Si elle n'est pas configurée, la recherche fonctionne uniquement sur le texte.

Pour fournir ComLayer, nous faisons appel aux prestataires de services suivants. C'est la même liste que celle que le DPA mentionne comme sous-traitants ultérieurs — elle est tenue à un seul endroit et affichée sur les deux pages. Des contrats conformes à l'article 28 du RGPD existent avec chacun d'eux.

Si le client intègre sa propre réservation de rendez-vous via Cal.com, Cal.com est son prestataire de services et non un sous-traitant ultérieur du sous-traitant ; le sous-traitant se borne à recevoir la notification des rendez-vous réservés.

L'aperçu suivant nomme chaque entrée que ComLayer dépose ou fait déposer dans ton navigateur — complet et dérivé du code source. Nous ne posons aucun cookie propre ; les cookies indiqués proviennent tous de notre service de connexion. Tout le reste n'est pas une technique de cookies, mais du stockage local dans le navigateur : des valeurs isolées dans localStorage, ainsi que deux bases de données dans IndexedDB que la mise à jour en direct crée.

Contrairement à un cookie, le stockage local n'est pas envoyé de lui-même à chaque requête. Deux entrées agissent malgré tout sur le serveur, et cela a sa place ici : le widget d'assistance envoie son identifiant de visiteur à chaque requête — sans lui, un visiteur qui revient ne retrouverait pas son historique —, et la base de données de connexion de la mise à jour en direct contient le jeton de courte durée avec lequel ton navigateur se connecte à la Realtime Database. Toutes les autres entrées restent dans le navigateur.

Clerk ajoute au nom du cookie un identifiant selon l'instance ; le navigateur peut donc afficher « __session_a1b2c3 » là où figure ici « __session ».

Pour les cookies de connexion et le stockage local dans l'application, nous invoquons le § 25 Abs. 2 Nr. 2 TDDDG : sans eux, le service que tu demandes ne peut pas être fourni. Ces entrées ne peuvent donc pas être désactivées. Nous faisons une exception pour une entrée, au lieu de l'affirmer avec les autres : le compteur journalier « firebase-heartbeat-database » sert à la statistique de versions de la bibliothèque et non au service. Il ne peut pas être désactivé — la bibliothèque le crée toujours. Nous le fondons donc sur notre intérêt légitime à exploiter la fonction temps réel conformément à l'article 6, paragraphe 1, point f), du RGPD et le nommons ici, au lieu de le faire passer pour nécessaire. Il ne contient aucune caractéristique de ton compte, seulement la date et l'indication de version de la bibliothèque. Tu peux modifier à tout moment ta décision sur tout le reste — ici ou via l'entrée du même nom dans le pied de chaque page : Paramètres des cookies

Les contenus restent dans l'UE. Les conversations, la base de connaissances et les comptes se trouvent dans la région de base de données europe-west3 (Francfort), les pièces jointes et les logos dans le stockage de fichiers de la même région, la mise à jour en direct des conversations ouvertes s'exécute en europe-west1, et l'agent IA répond depuis la multirégion Vertex eu ; les modèles auxiliaires pour les lignes d'objet et l'analyse des documents s'exécutent en europe-west1. La région du stockage de fichiers a été mesurée le 7 août 2026 sur les buckets utilisés ; toutes les autres figurent dans la configuration du déploiement.

Quatre services traitent des données en dehors de l'UE, à savoir aux États-Unis : Clerk pour la connexion, les comptes et les sessions, Stripe pour le traitement des paiements, Resend pour l'envoi des notifications à l'équipe — celles-ci contiennent des extraits littéraux de conversations — et Voyage AI pour les embeddings de la recherche sémantique, qui reçoit à cette fin les contenus de connaissances. Ces transferts reposent sur les clauses contractuelles types de la Commission européenne ; quelle version et quelle analyse d'impact s'applique à chaque fournisseur est fixé par le contrat de sous-traitance. L'exploitation de l'application elle-même relève de Vercel, un groupe américain ; la région de diffusion de ce déploiement n'est pas mesurée et y est également signalée comme point ouvert.

Nous fondons les transferts vers les États-Unis sur les clauses contractuelles types de la Commission européenne conformément à l'article 46, paragraphe 2, point c), du RGPD, dans la version de la décision d'exécution (UE) 2021/914 du 4 juin 2021, module 2 (transfert d'un responsable du traitement à un sous-traitant). Les fournisseurs utilisés mettent chacun à disposition leurs propres analyses d'impact des transferts, sur lesquelles nous prenons appui ; nous ne procédons pas à une évaluation propre supplémentaire au cas par cas. La région de traitement de chaque prestataire de services figure à la section 6 ; là où elle n'est pas documentée, elle y est signalée comme point ouvert.

Nous ne conservons les données à caractère personnel que le temps nécessaire aux finalités indiquées ou tant que des obligations légales de conservation existent. Ensuite, les données sont supprimées ou anonymisées. Pour les entrées dans le navigateur, l'aperçu de la section 7 s'applique ; pour les données d'un espace de travail, la suppression selon la section 10 s'applique.

En vertu du RGPD, tu disposes des droits suivants :

• Accès aux données traitées (article 15 du RGPD)
• Rectification de données inexactes (article 16 du RGPD)
• Effacement (article 17 du RGPD)
• Limitation du traitement (article 18 du RGPD)
• Portabilité des données (article 20 du RGPD)
• Opposition au traitement (article 21 du RGPD)

Les clients disposant d'un compte ComLayer peuvent exercer eux-mêmes le droit à la portabilité des données : sous Einstellungen → Allgemein → « Daten exportieren » les administrateurs génèrent à tout moment un export complet et lisible par machine de leur espace de travail au format JSON. Le fichier est créé au clic et téléchargé directement ; il comprend les conversations, les messages, les visiteurs, les contenus de connaissances, le Centre d'aide, le feedback, l'équipe et les paramètres de ce seul espace de travail. Ne sont pas inclus les résultats intermédiaires machine sans valeur informative (vecteurs d'embeddings, index de recherche) ; les pièces jointes sont répertoriées avec leur adresse, le fichier lui-même reste dans le stockage des pièces jointes et est délivré via l'application.

De même pour le droit à l'effacement : sous Einstellungen → Allgemein → « Workspace löschen » les administrateurs peuvent demander eux-mêmes la suppression de leur espace de travail. Elle est mise en attente pendant un délai de grâce de 30 jours et révocable jusqu'au dernier jour ; ensuite, les conversations, les données de visiteurs, les sources de connaissances, le Centre d'aide, la page d'état et tous les fichiers téléversés sont supprimés définitivement et un abonnement en cours prend fin. Les données de facturation sont soumises à des obligations de conservation commerciales et fiscales (§ 147 AO, § 257 HGB) ; conformément à l'article 17, paragraphe 3, point b), du RGPD, elles ne sont pas supprimées, mais leur traitement est limité pendant la durée de conservation (article 18, paragraphe 1, point b), du RGPD) et elles sont retirées de l'exploitation courante.

Les deux voies sont ouvertes indépendamment du forfait souscrit — ce sont un droit légal et non une caractéristique du produit. Les clients finaux dont les données sont traitées via le widget d'assistance de l'un de nos clients s'adressent à ce client en tant que responsable du traitement ; nous l'assistons pour cela conformément au DPA.

Tu as en outre le droit d'introduire une réclamation auprès d'une autorité de contrôle de la protection des données.

Pour toute question sur la protection des données ou sur l'exercice de tes droits, tu peux nous joindre à info@comlayer.app.