Politique de confidentialité
Version 1.1, 24 octobre 2026
Qui est responsable
Miroirs est une société par actions simplifiée en cours de formation. Jusqu'à son immatriculation, le service est exploité par Guillaume Belin et Eva Mompied, ses fondateurs, qui sont responsables des traitements décrits ici. Miroirs n'a pas désigné de délégué à la protection des données. Pour toute question sur vos données : privacy@miroirs.ai.
Deux rôles différents
Miroirs décide seule des traitements liés aux comptes, à la sécurité, aux journaux et à la facturation : elle en est responsable. Pour les contenus qu'un client dépose ou produit sur la plateforme (études, interviews, sessions Reflet, base de connaissances, publics), Miroirs agit pour le compte de ce client, qui en est responsable.
Si vous êtes cité dans un contenu déposé par un client de Miroirs (un document, un message, un compte rendu), c'est ce client qui est responsable du traitement de vos données et qui doit vous informer : adressez-vous d'abord à lui. Miroirs l'aide à répondre à votre demande, et vous pouvez aussi nous écrire à privacy@miroirs.ai.
Ce que nous traitons, pourquoi et sur quelle base
| Traitement | Finalité et données | Base légale | Durée cible |
|---|---|---|---|
| Comptes et connexion | Donner accès à la plateforme : adresse électronique, nom, prénom, rôle, espace client, empreinte du mot de passe. | Exécution du contrat (art. 6.1.b) | Durée du contrat, puis 12 mois |
| Journal d'audit | Sécurité et traçabilité des actions : adresse IP, navigateur, date, action effectuée. | Intérêt légitime : sécuriser la plateforme (art. 6.1.f) | 12 mois |
| Journal des appels au modèle et suivi de la consommation | Sécurité, suivi des coûts et de l'usage : empreinte du texte envoyé (pas le texte lui-même), volume, coût, modèle, pages ouvertes. | Intérêt légitime : piloter le service et sa sécurité (art. 6.1.f) | 24 mois |
| Journaux techniques | Diagnostic des erreurs ; ils peuvent contenir des fragments de réponses en erreur. | Intérêt légitime : faire fonctionner le service (art. 6.1.f) | Rotation par taille (trois fichiers de 100 Mo) |
| Sauvegardes | Rétablir le service après un incident : copie de la base de données. | Intérêt légitime : continuité du service (art. 6.1.f) | 7 jours |
| Recette des nouvelles versions | Tester les nouvelles versions sur une copie de la base de production, où les adresses électroniques et les mots de passe sont neutralisés. Son remplacement par des données fictives est prévu. | Intérêt légitime : livrer des versions fiables (art. 6.1.f) | Jusqu'à la copie suivante |
| Courriels de service | Réinitialisation de mot de passe, alertes de sécurité et de consommation. | Exécution du contrat (art. 6.1.b) ; intérêt légitime pour les alertes (art. 6.1.f) | Selon les conditions du prestataire d'envoi |
| Demandes de contact | Répondre aux demandes envoyées depuis le formulaire du site : nom, entreprise, adresse électronique, téléphone facultatif, message. La demande est transmise par courriel à l'équipe ; elle n'est pas enregistrée dans la base de la plateforme. | Intérêt légitime : répondre aux demandes (art. 6.1.f) | 3 ans après le dernier contact |
| Facturation | Facturer le client : adresse électronique du contact de facturation, identifiant de l'organisation. | Obligation légale (art. 6.1.c) | 10 ans (pièces comptables) |
| Contenus des clients | Fournir le service : messages testés, briefs, pièces jointes, réponses générées, synthèses, interviews, sessions Reflet, base de connaissances. | Contrat avec le client, qui fixe la base légale de ses propres traitements | Durée du contrat, puis suppression sous 30 jours |
Le site n'utilise aucun outil de mesure d'audience ni cookie publicitaire ; les seuls cookies posés servent à votre connexion et à votre espace de travail.
Données personnelles retirées avant l'envoi au modèle
Pour produire chaque réponse, Miroirs transmet au modèle d'IA le texte nécessaire à la tâche : votre demande, vos pièces jointes et le contexte de votre espace. Avant chaque envoi, sur tous les parcours, un filtre automatique remplace par des marqueurs les adresses électroniques, les numéros de téléphone, les IBAN, les numéros de sécurité sociale et de carte bancaire, les adresses postales, les noms des utilisateurs et des contacts de votre espace et les noms de personnes qu'il repère. Les valeurs sont remises en place dans la réponse, sur notre serveur : le modèle ne les reçoit pas. Votre nom et votre adresse de connexion ne lui sont jamais transmis. Limites : le filtre ne lit pas le texte contenu dans les images, et il repère les noms à partir des civilités et d'une liste de prénoms courants ; un nom inhabituel peut lui échapper.
Le modèle est fourni par Anthropic, qui traite ce texte aux États-Unis, ne l'utilise pas pour entraîner ses modèles et l'efface de ses serveurs sous 30 jours, selon ses conditions.
Destinataires et sous-traitants
Vos données sont accessibles aux fondateurs de Miroirs, pour faire fonctionner le service, et aux sous-traitants suivants, chacun pour sa tâche :
| Sous-traitant | Rôle | Ce qu'il reçoit | Pays et garanties |
|---|---|---|---|
| Infomaniak Network SA | Hébergement du serveur | Toutes les données conservées par la plateforme | Suisse, pays reconnu adéquat par la Commission européenne (décision 2000/518/CE) |
| Anthropic PBC | Fournisseur du modèle d'IA | Le texte nécessaire à chaque tâche, données personnelles remplacées par des marqueurs (voir ci-dessus) | États-Unis, clauses contractuelles types de la Commission européenne (décision 2021/914) incorporées à son accord de traitement des données |
| Resend | Envoi des courriels de service | Votre adresse électronique et le contenu du courriel (courriels de service, demandes envoyées depuis le formulaire de contact) | États-Unis ; garanties de transfert en cours de vérification |
| Stripe | Facturation | L'adresse électronique du contact de facturation et l'identifiant de l'organisation | États-Unis et Irlande ; garanties de transfert en cours de vérification |
Les polices de caractères du site sont servies par notre propre serveur : votre navigation n'est pas transmise à Google.
Transferts hors de l'Union européenne
Le serveur de Miroirs est loué à Infomaniak Network SA, hébergeur établi en Suisse, pays qui bénéficie d'une décision d'adéquation (2000/518/CE). Le texte de vos requêtes, données personnelles remplacées par des marqueurs, est en revanche traité aux États-Unis par Anthropic, sous les clauses contractuelles types de la Commission européenne (décision 2021/914) incorporées à son accord de traitement des données. Resend et Stripe reçoivent des adresses électroniques ; leurs garanties de transfert sont en cours de vérification.
Durées de conservation
Les durées indiquées dans le tableau sont nos durées cibles. La suppression automatique des données à l'échéance de ces durées est en cours de mise en place : en attendant, les données sont supprimées à la fin du contrat ou sur demande, et certaines peuvent être conservées plus longtemps que la durée indiquée.
Sécurité
Les échanges avec la plateforme sont chiffrés en transit (TLS). Les mots de passe sont stockés sous forme d'empreinte. Chaque espace client est cloisonné et les connexions, validations et exports sont tracés dans un journal d'audit, sans leur contenu. Les extraits de la base de connaissances d'un client sont chiffrés avec une clé propre à son espace. Les textes soumis, documents déposés, résultats d'études, conversations et sessions Reflet sont chiffrés en base (AES-256-GCM), avec une clé conservée hors de la base. Chaque rapport d'étude exporté indique s'il a été relu et validé par une personne, laquelle et quand.
Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation du traitement, d'opposition au traitement fondé sur l'intérêt légitime, et de portabilité de vos données. Pour les exercer, écrivez à privacy@miroirs.ai. Nous répondons dans un délai d'un mois.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.