Politique de confidentialité

Date de révision : 8 octobre 2026

Cette traduction est fournie pour information ; en cas de divergence, la version anglaise fait foi.

1. Préambule et champ d’application

EQOLUX s’engage à protéger la confidentialité des données que lui confient les utilisateurs de la plateforme EQOLUX (la « Plateforme »). Société établie en France, EQOLUX applique les principes du Règlement général sur la protection des données (« RGPD ») et de la législation française en matière de protection des données.

La Plateforme est un service entre professionnels : ses clients sont des entreprises et autres organisations inscrites sur la Plateforme (les « Membres »), et elle n’est pas proposée aux personnes agissant à titre privé ou en tant que consommateurs. Son utilisation implique néanmoins des données personnelles, c’est-à-dire des informations relatives à des personnes identifiables agissant dans un cadre professionnel. La présente politique de confidentialité décrit ces données, les raisons de leur traitement, leurs destinataires, leur durée de conservation et les droits des personnes concernées. EQOLUX traite notamment :

• les données de compte des utilisateurs des Membres : nom, adresse e-mail professionnelle, identifiants de connexion, organisations et établissements auxquels l’utilisateur a accès, ses permissions et ses préférences d’interface ;
• les coordonnées professionnelles du personnel des fournisseurs : noms et coordonnées professionnelles (adresse e-mail, numéro de téléphone) des contacts fournisseurs enregistrés par les Membres, et celles figurant dans les documents d’achat (factures, bons de livraison, avoirs) que les Membres importent dans la Plateforme ;
• les journaux techniques : traces des requêtes adressées à la Plateforme et à son connecteur d’assistant IA (voir section 8), conservées pour la sécurité, le support et le diagnostic ;
• les données du site : informations envoyées par les formulaires de contact et d’inscription à la newsletter du site eqolux.com, et statistiques d’audience du site.

Rôles d’EQOLUX. Selon le traitement, EQOLUX agit :

• en tant que sous-traitant, pour le compte de chaque Membre, pour les données que le Membre et ses utilisateurs versent dans la Plateforme ou y consultent — documents d’achat, données fournisseurs et données personnelles qu’ils contiennent —, y compris au travers du connecteur d’assistant IA. Le Membre est responsable du traitement de ces données. Le Data Processing Agreement (« DPA ») fixe les conditions de ce traitement ;
• en tant que responsable du traitement, pour les données nécessaires à sa propre activité : la gestion des comptes utilisateurs et de la relation avec les Membres, la sécurité de ses services et les données collectées par son site.

EQOLUX SAS est une société par actions simplifiée (SAS) au capital de 5 425 €, immatriculée au RCS de Saint-Malo sous le numéro 883 206 146, dont le siège social est situé 37 rue de l’ancienne gare, 22240 Plévenon, France.

2. Données collectées

EQOLUX collecte des données relatives à l’identité professionnelle des Membres et des personnes qui agissent pour eux ou sont en relation avec eux, notamment :

• Informations de compte : adresse e-mail professionnelle et identifiants de connexion (les mots de passe sont stockés sous forme hachée, jamais en clair) ;
• Données de profil de l’entreprise : raison sociale, forme juridique, numéro d’immatriculation, numéro de TVA, adresse du siège et coordonnées professionnelles générales ;
• Données des représentants et contacts : noms et coordonnées professionnelles (e-mail, téléphone) des personnes habilitées ou des représentants légaux agissant pour le compte de l’entreprise ;
• Données liées aux commandes : produits achetés, numéros de transaction, adresses de livraison ;
• Données d’achat importées par les Membres : bons de livraison, factures, avoirs, produits, prix et informations fournisseurs, y compris les noms et coordonnées professionnelles du personnel des fournisseurs qu’ils peuvent contenir.

Des données d’usage peuvent également être collectées lors de l’utilisation de la Plateforme, notamment :

• les échanges entre Membres ;
• les retours ou avis déposés sur la Plateforme ;
• le suivi des e-mails de notification administrative ou liés aux commandes ;
• les journaux techniques des requêtes adressées à la Plateforme et au connecteur d’assistant IA (voir section 8).

Sur le site eqolux.com, EQOLUX collecte les données envoyées par les formulaires de contact et de newsletter (nom, adresse e-mail, entreprise, message) et des statistiques d’audience au moyen de Google Analytics, configuré avec anonymisation de l’adresse IP.

EQOLUX ne propose pas ses services aux personnes agissant à titre privé ou en tant que consommateurs. La Plateforme ne traite ni données bancaires des utilisateurs, ni données de santé, ni catégories particulières de données au sens de l’article 9 du RGPD.

3. Finalités et bases légales

EQOLUX collecte ces données uniquement pour :

• donner accès à la Plateforme et à ses fonctionnalités, y compris le connecteur d’assistant IA ;
• faciliter le traitement des commandes, la communication et les paiements entre Membres ;
• assurer la sécurité de la Plateforme et du connecteur d’assistant IA, et fournir le support ;
• remplir ses obligations légales et contractuelles ;
• améliorer le service ;
• répondre aux demandes envoyées par le site et adresser la newsletter aux personnes qui s’y sont inscrites.

En tant que responsable du traitement, EQOLUX traite les données sur le fondement de l’exécution de son contrat avec le Membre (fourniture de la Plateforme et gestion des comptes utilisateurs), de ses obligations légales, de ses intérêts légitimes (sécurité de ses services, support, amélioration de la Plateforme, réponse aux demandes professionnelles) et, pour la newsletter, du consentement des personnes qui s’y inscrivent.

Les données traitées pour le compte d’un Membre le sont uniquement sur ses instructions documentées, dans les conditions du DPA. Le Membre, responsable du traitement, en détermine les finalités et la base légale.

4. Destinataires des données

Les données collectées peuvent être communiquées :

• au personnel habilité d’EQOLUX, soumis à une obligation de confidentialité ;
• à d’autres Membres, lorsque cela est nécessaire à la réalisation d’une transaction (par exemple l’adresse de livraison de l’acheteur au vendeur) ;
• à des sous-traitants (par exemple prestataires de paiement, hébergeurs, plateformes d’envoi d’e-mails), uniquement pour des prestations techniques ou de support ;
• à des professionnels externes (juridiques, comptables) tenus à la confidentialité ;
• aux autorités, en cas d’obligation légale ou réglementaire ;
• à d’éventuels acquéreurs, en cas de restructuration de la société.

Tous ces tiers sont contractuellement tenus de traiter les données de façon sécurisée et uniquement pour les finalités prévues. Les sous-traitants qui traitent des données pour le compte des Membres, leur rôle et le lieu du traitement sont listés à l’annexe 3 du DPA.

Les assistants IA qu’un Membre choisit de connecter à la Plateforme reçoivent les résultats des requêtes qu’ils effectuent, dans le cadre du propre contrat du Membre avec leur fournisseur (voir section 8).

5. Durée de conservation

Les données professionnelles ne sont conservées que le temps nécessaire aux besoins opérationnels et contractuels et au respect de la réglementation. Au-delà, elles peuvent être archivées avec un accès restreint ou supprimées de façon sécurisée, conformément à notre politique de conservation. En particulier :

• les données traitées pour le compte d’un Membre sont conservées pendant la durée du contrat du Membre, puis supprimées ou restituées comme prévu au DPA : les données actives sont supprimées dans les 30 jours suivant la fin du contrat et les sauvegardes expirent au plus tard 60 jours après celle-ci ;
• les données de compte utilisateur sont conservées tant que le compte est actif, puis supprimées selon le même calendrier ;
• les journaux du connecteur d’assistant IA sont conservés 30 jours (voir section 8) ;
• les données de contact et de newsletter du site sont conservées le temps de traiter la demande, ou jusqu’à la désinscription de la newsletter.

6. Vos droits

Dans les conditions et limites prévues par le RGPD, toute personne dont les données personnelles sont traitées dispose d’un droit d’accès, de rectification et d’effacement, d’un droit à la limitation du traitement et d’opposition, et d’un droit à la portabilité de ses données. En application de la loi française, elle peut également définir des directives relatives au sort de ses données après son décès. Les abonnés à la newsletter peuvent se désinscrire à tout moment.

• Données traitées pour le compte d’un Membre (par exemple les coordonnées du personnel d’un fournisseur ou les données personnelles contenues dans les documents d’achat) : le Membre est responsable du traitement et les demandes doivent de préférence lui être adressées. Si EQOLUX reçoit une telle demande, elle la transmet au Membre concerné et l’aide à y répondre, comme prévu au DPA.
• Données dont EQOLUX est responsable (comptes utilisateurs, données du site) : les demandes peuvent être adressées directement à EQOLUX. Les représentants d’une entreprise peuvent aussi demander à tout moment la mise à jour ou la correction de son profil.

Pour exercer ces droits, contactez-nous :

• par courrier : EQOLUX SAS, 37 rue de l’ancienne gare, 22240 Plévenon, France ;
• par e-mail : support@eqolux.com.

EQOLUX répond dans un délai d’un mois à compter de la réception de la demande ; ce délai peut être prolongé dans les cas prévus par le RGPD. Un justificatif d’identité peut être demandé en cas de doute raisonnable sur l’identité du demandeur.

Toute personne qui estime que le traitement de ses données personnelles n’est pas conforme à la réglementation peut introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL, www.cnil.fr) ou de l’autorité de contrôle du pays de l’Union européenne où elle réside ou travaille.

7. Hébergement et transferts des données

EQOLUX héberge les données sur des infrastructures sécurisées situées dans et hors de l’Union européenne. Dans tous les cas, les données sont stockées et traitées sur des plateformes cloud de premier plan certifiées ISO/IEC 27001 et SOC 2 Type II, garantissant un haut niveau de protection des données, d’intégrité opérationnelle et de contrôles de sécurité.

Lorsque des données sont hébergées hors de l’Union européenne, EQOLUX veille à ce que ces transferts respectent pleinement la réglementation applicable, dont le RGPD, notamment par des garanties appropriées telles que les clauses contractuelles types (CCT) lorsqu’elles sont requises. Le lieu de traitement de chaque sous-traitant figure à l’annexe 3 du DPA.

8. Connecteur d’assistant IA (Claude, ChatGPT, Microsoft 365 Copilot)

Les Membres peuvent connecter leur propre assistant IA — Claude d’Anthropic, ChatGPT d’OpenAI ou Microsoft 365 Copilot de Microsoft (au moyen de l’agent Eqolux) — à la Plateforme grâce au connecteur Eqolux (le « Connecteur »), et poser des questions sur leurs données d’achat au fil d’une conversation. Le Connecteur est présenté sur la page Eqolux pour Claude, ChatGPT et Microsoft 365 Copilot. EQOLUX traite les données qui transitent par le Connecteur en tant que sous-traitant, pour le compte du Membre (voir section 1).

• Activé par le Membre. Le Connecteur n’est utilisé que lorsqu’un utilisateur l’installe dans son assistant IA et se connecte avec son compte Eqolux. La connexion passe par notre fournisseur d’identité (WorkOS), qui communique à EQOLUX l’identifiant, le nom et l’adresse e-mail de l’utilisateur.
• En lecture seule, avec les droits de l’utilisateur. Le Connecteur peut seulement lire des données. Chaque requête est limitée aux organisations, établissements, fournisseurs, documents et catégories de produits auxquels l’utilisateur connecté a accès sur la Plateforme.
• Données transmises à l’assistant IA. Pour répondre à une question, l’assistant IA envoie des requêtes au Connecteur et EQOLUX lui renvoie leurs résultats : données d’achat (produits, prix, quantités, fournisseurs, documents, établissements) et, lorsque la question le demande, les coordonnées professionnelles enregistrées sur les fiches fournisseurs (noms, adresses e-mail et numéros de téléphone du personnel des fournisseurs). EQOLUX ne reçoit pas la conversation elle-même, seulement les requêtes de l’assistant ; ces requêtes peuvent contenir des mots ou des valeurs tirés de la question, comme un nom de fournisseur ou de produit.
• Le fournisseur de l’assistant IA. L’assistant IA est choisi et souscrit par le Membre : Anthropic pour Claude, OpenAI pour ChatGPT, Microsoft pour Microsoft 365 Copilot. Son fournisseur traite les données qu’il reçoit, y compris les résultats renvoyés par le Connecteur et les jetons de connexion émis pour lui, dans le cadre du contrat et des réglages propres au Membre auprès de ce fournisseur, notamment en matière de conservation et d’entraînement des modèles. Il n’est pas un sous-traitant d’EQOLUX.
• Journaux. Pour la sécurité, le support et le diagnostic, EQOLUX journalise chaque requête passée par le Connecteur : identifiant de l’utilisateur, identifiant de l’organisation, texte de la requête (une requête de base de données, qui peut contenir des valeurs tirées de la question), période demandée, nombre de lignes renvoyées et durée. Les résultats des requêtes ne sont jamais journalisés. La plateforme d’hébergement conserve aussi les journaux techniques standard de chaque appel au Connecteur (heure, adresse IP, agent utilisateur, statut de la réponse) et les messages d’erreur. Ces journaux sont conservés 30 jours, puis supprimés automatiquement.
• Contrôle des droits. Pour appliquer les droits de l’utilisateur, le Connecteur interroge le backend de la Plateforme, exploité par notre sous-traitant Xano dans le cadre du DPA, qui peut conserver un historique technique de ces appels, comprenant l’identifiant de l’utilisateur et son périmètre d’accès, pendant 24 heures au plus.
• Hébergement. Le serveur du Connecteur fonctionne sur Google Cloud (Cloud Run) dans l’Union européenne, en Belgique (région europe-west1). Ses journaux sont stockés dans Google Cloud Logging, dans l’emplacement mondial (« global ») de Google, qui n’est pas limité à l’Union européenne. Les données d’achat que lit le Connecteur sont celles de la Plateforme, hébergées comme décrit à la section 7 et dans le DPA. Google Cloud et Xano sont des sous-traitants listés à l’annexe 3 du DPA ; les transferts hors de l’Union européenne sont encadrés par les garanties décrites à la section 7.
• Déconnexion. Un utilisateur peut déconnecter le Connecteur à tout moment depuis les réglages de son assistant IA, ou en retirant le plugin ou l’agent Eqolux. Un Membre peut mettre fin à l’accès d’un utilisateur en le retirant de ses organisations sur la Plateforme.

9. Modifications de la présente politique

La présente politique de confidentialité peut être mise à jour à tout moment. La dernière version est toujours disponible sur la Plateforme et indique sa date de dernière révision.