Politique de confidentialité – Site web

1. Responsable du traitement

Le responsable du traitement des données à caractère personnel au sens du Règlement général sur la protection des données (RGPD) et des autres dispositions relatives à la protection des données est :

Aliru GmbH
Julius-Hatry-Straße 1
68163 Mannheim
Allemagne

Gérant : Julian Kissel
Téléphone : +49 621 49088670
E-mail : datenschutz@deepscript.com

Nous exploitons le service de transcription sous la marque DeepScript (ci-après également « le service » ou « la plateforme »). La présente politique de confidentialité s'applique au site webdeepscript.com (y compris tous les sous-domaines) et aux interfaces associées (API REST, serveur MCP).

2. Délégué à la protection des données

Nous ne sommes actuellement pas légalement tenus de désigner un délégué à la protection des données (art. 37 RGPD en liaison avec le § 38 BDSG). Pour toute question relative à la protection des données, veuillez contacter : datenschutz@deepscript.com.

3. Principes généraux

Les données à caractère personnel sont toutes les informations se rapportant à une personne physique identifiée ou identifiable (art. 4 point 1 RGPD). Nous traitons vos données exclusivement sur la base des dispositions légales (RGPD, BDSG, TDDDG). Dans la présente politique, nous vous informons de la nature, de l'étendue et de la finalité du traitement dans le cadre de notre offre.

Les bases juridiques retenues pour le traitement sont notamment :

• Art. 6, paragraphe 1, point a) RGPD – consentement (par exemple, renonciation expresse au droit de rétractation pour l'abonnement Pro).
• Art. 6, paragraphe 1, point b) RGPD – exécution d'un contrat et mesures précontractuelles (création d'un compte, transcription, facturation).
• Art. 6, paragraphe 1, point c) RGPD – obligation légale (notamment les obligations de conservation commerciales et fiscales prévues au § 257 HGB, § 147 AO).
• Art. 6, paragraphe 1, point f) RGPD – intérêt légitime (sécurité, prévention des abus, journaux serveur, journaux d'audit).

4. Traitement lors de l'accès au site web (journaux serveur)

Lors de l'accès à deepscript.com, notre proxy inverse (Caddy) collecte automatiquement les informations suivantes transmises par le navigateur de votre appareil :

• Adresse IP (tronquée ou pseudonymisée)
• Date et heure de l'accès (UTC)
• URL demandée / méthode HTTP / code d'état de la réponse
• URL de référence (si le navigateur en envoie une)
• Identifiant User-Agent (type de navigateur et de système d'exploitation)

Ces données sont conservées pendant 14 jours au maximum à des fins de sécurité et de stabilité (détection et prévention des attaques, analyse des erreurs), puis automatiquement supprimées. Aucun rapprochement avec d'autres sources de données ni aucun profilage n'a lieu.

Base juridique : art. 6, paragraphe 1, point f) RGPD – intérêt légitime à une exploitation sûre et stable.

5. Inscription et compte

Pour utiliser le service (au-delà des trois premières transcriptions gratuites), la création d'un compte est nécessaire. Nous traitons :

• Nom (librement choisi / nom d'affichage)
• Adresse e-mail (vérifiée)
• Mot de passe (stocké exclusivement sous forme de hachage bcrypt, jamais en clair)
• Facultatif : raison sociale, adresse de facturation, numéro de TVA (pour les factures B2B)
• Avec l'authentification à deux facteurs activée : secret TOTP chiffré + codes de secours chiffrés
• Préférence linguistique, apparence préférée (thème), paramètre de conservation des données

Base juridique : art. 6, paragraphe 1, point b) RGPD – exécution d'un contrat. Sans ces informations, nous ne pouvons pas vous donner accès au service.

Durée de conservation : jusqu'à la suppression du compte par vos soins. Vous pouvez supprimer votre compte à tout moment dans les paramètres – toutes les données associées (à l'exception des documents comptables à conserver légalement, mentionnés ci-après) sont alors immédiatement et intégralement supprimées.

6. Connexion via des fournisseurs tiers (OAuth)

En option, vous pouvez vous connecter via les procédures OAuth de Google ou Microsoft. Dans ce cas, seules les informations de profil nécessaires à la création du compte (nom, adresse e-mail, URL de la photo de profil) sont transmises. Nous n'obtenons aucun accès aux autres contenus de votre compte Google ou Microsoft.

Le fournisseur OAuth concerné (Google Ireland Limited ou Microsoft Ireland Operations Limited) est un responsable du traitement distinct au sens du RGPD pour le traitement effectué dans le cadre de la procédure de connexion. Vous trouverez les politiques de confidentialité aux adresses suivantes :

• Google
• Microsoft

Base juridique : art. 6, paragraphe 1, point b) RGPD.

7. Téléversements audio/vidéo et transcriptions

Le cœur de notre service est la conversion de fichiers audio ou vidéo en texte. À cette occasion, nous traitons :

• Le fichier téléversé (audio/vidéo)
• Les métadonnées (nom du fichier, taille, durée, type MIME, modèle choisi, langue choisie)
• Le résultat de la transcription (texte, horodatages des mots, attribution des locuteurs, langue détectée)
• Un vocabulaire personnalisé que vous avez éventuellement enregistré

Le traitement s'exécute entièrement sur notre propre infrastructure serveur chez Hetzner Online GmbH en Allemagne. Le fichier audio/vidéo n'est à aucun moment transmis à des services externes de traitement de la parole (par exemple OpenAI, Google, AWS).

Durée de conservation : Sans abonnement Pro actif, nous supprimons automatiquement les transcriptions et les fichiers audio sous-jacents 30 jours après leur création. Avec un abonnement Pro, nous conservons les données de façon permanente jusqu'à votre résiliation ou suppression expresse. Vous pouvez supprimer manuellement chaque transcription à tout moment.

Aucune utilisation pour l'entraînement de l'IA : Nous n'utilisons jamais vos données audio/vidéo ni les transcriptions pour entraîner ou améliorer nos modèles ou ceux de tiers. Le traitement est effectué exclusivement aux fins de la prestation de transcription convenue contractuellement.

Base juridique : art. 6, paragraphe 1, point b) RGPD. Pour les clients professionnels qui font traiter des données à caractère personnel de tiers (par exemple des enregistrements d'entretiens), nous concluons sur demande un contrat de sous-traitance conformément à l'art. 28 RGPD ; voir Trust Center.

8. Outil gratuit / transcriptions invité

Sous /free-transcription, nous proposons une possibilité de transcription gratuite sans inscription. À cette occasion, un jeton de session anonyme (chaîne de caractères aléatoire) est déposé dans votre navigateur sous forme de cookie HttpOnly afin de vous permettre d'accéder au résultat jusqu'à son achèvement.

Aucune donnée à caractère personnel n'est collectée auprès de vous. Le fichier et le résultat sont automatiquement supprimés après 24 heures, sauf si vous créez entre-temps un compte et attribuez la transcription à votre compte.

Base juridique : art. 6, paragraphe 1, point b) RGPD (mesure précontractuelle).

9. Traitement des paiements (Stripe)

Pour le traitement des recharges de solde (paiement à l'usage) et de l'abonnement Pro, nous utilisons le prestataire Stripe. Lors de l'accès à la page de paiement Stripe ou au portail client, vous êtes redirigé vers une interface propre à Stripe ; vous saisissez les données de paiement (carte, banque, portefeuille) exclusivement directement auprès de Stripe et elles ne nous sont à aucun moment transmises ni conservées chez nous.

Stripe nous renvoie les informations suivantes :

• Identifiant client Stripe (pseudonyme)
• Statut du paiement / de l'abonnement
• Adresse de facturation + le cas échéant numéro de TVA (si indiqué lors du paiement)
• Pour l'abonnement Pro : début du contrat, prochaine échéance de facturation, statut de résiliation

Le prestataire Stripe dans l'UE est Stripe Payments Europe Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irlande. Stripe est un responsable du traitement distinct pour le traitement des paiements ; vous trouverez la politique de confidentialité sur stripe.com/de/privacy. Un transfert de données vers les États-Unis a lieu dans le cadre de certaines opérations de paiement, sur la base de la certification de Stripe au titre de l'EU-US Data Privacy Framework ainsi que sur la base des clauses contractuelles types de l'UE.

Base juridique : art. 6, paragraphe 1, point b) RGPD (exécution d'un contrat) ainsi que art. 6, paragraphe 1, point c) RGPD (conservation des justificatifs de facturation conformément au § 147 AO, 10 ans).

10. Envoi d'e-mails

Pour les e-mails transactionnels (confirmation de l'inscription, réinitialisation du mot de passe, notifications, factures), nous utilisons Microsoft Graph de Microsoft Ireland Operations Limited (One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlande) via un accès à une boîte aux lettres partagée. Les e-mails sont envoyés via l'infrastructure Microsoft 365 dans l'UE.

Base juridique : art. 6, paragraphe 1, point b) RGPD (exécution d'un contrat) ou art. 6, paragraphe 1, point f) RGPD (intérêt légitime à un envoi régulier).

11. Tickets d'assistance

Lorsque vous ouvrez un ticket d'assistance, nous traitons l'objet, la description, la catégorie, la priorité, le cas échéant la référence à une transcription ainsi que l'historique de messages qui s'ensuit. Les données sont utilisées exclusivement pour le traitement de la demande et restent liées au compte jusqu'à ce que vous supprimiez le ticket ou le compte.

Base juridique : art. 6, paragraphe 1, point b) RGPD.

12. Journal de sécurité / d'audit

Nous consignons les événements pertinents pour la sécurité de votre compte (connexion, déconnexion, modification de la configuration de l'A2F, création/révocation de clés API, exports de données, suppression du compte) avec l'adresse IP et le User-Agent. Ces journaux servent exclusivement à assurer la traçabilité des accès au compte et peuvent être consultés par vous à tout moment dans les paramètres.

Base juridique : art. 6, paragraphe 1, point f) RGPD – intérêt légitime à la traçabilité et à la sécurisation des accès au compte.

13. Cookies et technologies comparables

Nous utilisons exclusivement des cookies techniquement nécessaires ou des entrées de stockage local :

Nous ne plaçons aucun cookie de marketing ou de profilage et n'utilisons aucun Meta Pixel, Hotjar, Mixpanel ou similaire. Pour les cookies mentionnés ci-dessus, un consentement au sens du § 25, paragraphe 2, TDDDG n'est pas requis, car ils sont techniquement nécessaires.

Optionnel – Google Tag Manager / Google Analytics 4

Sur deepscript.com (environnement de production), nous utilisons, après votre consentement explicite, le Google Tag Manager (ID de conteneurGTM-WJVPJMDT). Le Tag Manager charge Google Analytics 4 (GA4) afin d'analyser l'utilisation de manière anonymisée (pages vues, parcours de clics, stabilité technique). L'activation a lieu exclusivement après un clic sur « Accepter » dans la bannière de cookies. Auparavant, aucune connexion à Google n'a lieu.

Lors de l'acceptation, les cookies suivants sont placés par Google (exemples ; la liste exacte dépend des balises actives dans le Tag Manager) :

• _ga, _ga_* – identifiant d'appareil pseudonyme, durée de conservation 24 mois
• _gid – identifiant de session pseudonyme, durée de conservation 24 heures
• _gat – limite le débit des requêtes vers les serveurs de Google, durée de conservation 1 minute

Base juridique : art. 6, paragraphe 1, point a) RGPD (consentement) en liaison avec le § 25, paragraphe 1, TDDDG. Destinataire : Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande (partenaire contractuel dans l'UE) ; transfert subsidiaire de données vers Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, États-Unis. Base du transfert vers un pays tiers : clauses contractuelles types conformément à l'art. 46, paragraphe 2, point c) RGPD ainsi que la certification de Google au titre de l'EU-US Data Privacy Framework.

Retrait du consentement : possible à tout moment via le lien « Paramètres des cookies » dans le pied de page. Après le retrait, aucune nouvelle donnée n'est transmise à Google ; les données déjà collectées chez Google au cours de la session de navigation en cours restent soumises aux propres règles de conservation de Google (par défaut : 14 mois). Surdev.deepscript.com, Google Tag Manager est totalement inactif – le conteneur n'est délibérément pas intégré lors du processus de compilation.

14. Attribution marketing et mesure des conversions

Afin de pouvoir mesurer l'efficacité de nos propres canaux marketing payants (en particulier Google Ads), nous collectons, lors de l'accès au site marketing, certains paramètres d'URL que les plateformes publicitaires nous transmettent, ainsi que le référent (referrer). Aucune communication avec Google ou d'autres plateformes publicitaires n'a lieu à cette occasion – nous nous contentons de lire les valeurs transmises et de les stocker dans votre navigateur (stockage local).

Les paramètres suivants sont collectés, s'ils figurent dans l'URL consultée :

• Google Ads : gclid, gad_source, gbraid, wbraid (identifiants de clic)
• Paramètres UTM (identification de campagne) : utm_source, utm_medium, utm_campaign, utm_term, utm_content
• Autres réseaux publicitaires : msclkid (Microsoft Ads), fbclid (Meta), ttclid (TikTok), li_fat_id (LinkedIn)
• Contexte : référent (page précédente), page d'atterrissage, User-Agent (identifiant de navigateur)

Lieu de stockage : dans un premier temps exclusivement dans le stockage local de votre navigateur (clé ds_attribution_v1, durée de conservation 30 jours glissants). Aucun cookie n'est placé. Si vous créez un compte après cette période, le contenu est repris une seule fois dans notre base de données et lié à votre compte (table UserAttribution).

Téléversement manuel des conversions vers Google Ads : Pour mesurer le succès marketing, nous téléversons périodiquement (à un rythme hebdomadaire à mensuel) un fichier CSV dans l'interface Google Ads contenant les champs suivants : nom de la conversion, horodatage de la conversion (UTC), valeur de la conversion en €, identifiant de clic (gclid), hachage SHA-256 de l'adresse e-mail. Le hachage de l'e-mail permet à Google une mise en correspondance anonyme avec le clic associé (« Enhanced Conversions for Leads »). Google ne reçoit pas l'adresse e-mail non chiffrée. Ce téléversement est effectué manuellement par notre équipe marketing et non automatiquement par votre navigateur.

Base juridique : art. 6, paragraphe 1, point f) RGPD – intérêt légitime à la gestion économique de nos propres canaux marketing payants. Les données ne sont pas utilisées à des fins de profilage, de reciblage ou d'affichage publicitaire.

Droit d'opposition : Vous pouvez vous opposer au traitement à tout moment, sans formalité, par e-mail à datenschutz@deepscript.com. Sur demande, nous supprimons les données d'attribution associées à votre compte et vous excluons des futurs téléversements CSV. Vous pouvez supprimer vous-même le stockage local de votre navigateur à tout moment via les paramètres du navigateur → « Effacer les données de ce site web ».

15. Aperçu des sous-traitants

Les prestataires suivants traitent des données à caractère personnel pour notre compte sur la base d'un contrat de sous-traitance (art. 28 RGPD). Une liste toujours à jour est également disponible dans le Trust Center.

16. Transfert de données vers des pays tiers

Vos données sont en principe traitées exclusivement au sein de l'Union européenne. Un transfert vers les États-Unis a lieu dans les deux cas suivants :

• Traitement des paiements via Stripe (toujours, exécution d'un contrat) – base : la certification de Stripe au titre de l' EU-US Data Privacy Framework ainsi que, à titre complémentaire, les clauses contractuelles types de l'UE conformément à l'art. 46, paragraphe 2, point c) RGPD.
• Mesure d'audience via Google Tag Manager / GA4 – uniquement après votre consentement explicite (art. 6, paragraphe 1, point a) RGPD). Base : la certification DPF de Google + les CCT. Sans clic sur « Accepter » dans la bannière de cookies, aucun transfert n'a lieu.

17. Durées de stockage et de conservation

• Données de base du compte : jusqu'à la suppression du compte par vos soins
• Transcriptions + fichiers audio sans abonnement Pro : 30 jours, puis suppression automatique
• Transcriptions + fichiers audio avec abonnement Pro : jusqu'à la suppression manuelle ou la suppression du compte
• Journaux serveur : 14 jours
• Journaux d'audit : 12 mois
• Documents de facturation et comptables : 10 ans (§ 147 AO, § 257 HGB)
• Transcriptions invité (outil gratuit sans compte) : 24 heures

18. Vos droits au titre du RGPD

• Art. 15 – Droit d'accès : quelles données nous traitons à votre sujet.
• Art. 16 – Rectification : correction de données inexactes ou incomplètes.
• Art. 17 – Effacement (« droit à l'oubli »). Vous pouvez supprimer votre compte avec toutes les données associées à tout moment dans les paramètres.
• Art. 18 – Limitation du traitement.
• Art. 20 – Portabilité des données : un export JSON complet de vos données est disponible à tout moment dans les paramètres.
• Art. 21 – Opposition aux traitements fondés sur des intérêts légitimes.
• Art. 7, paragraphe 3 – Retrait des consentements donnés avec effet pour l'avenir.
• Art. 77 – Réclamation auprès d'une autorité de contrôle.

Pour exercer vos droits, un simple e-mail à datenschutz@deepscript.com suffit. Nous répondons dans le délai légal d'un mois (art. 12, paragraphe 3, RGPD).

19. Autorité de contrôle

Vous avez le droit d'introduire une réclamation auprès d'une autorité de contrôle de la protection des données de votre choix. L'autorité territorialement compétente pour Aliru GmbH est :

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20
70173 Stuttgart
Téléphone : +49 711 615541-0
Web : baden-wuerttemberg.datenschutz.de

20. Prise de décision automatisée

Nous n'utilisons aucun procédé automatisé au sens de l'art. 22 RGPD produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire.

21. Modifications de la présente politique de confidentialité

Nous adaptons la présente politique de confidentialité lorsque le cadre technique ou juridique évolue. La version en vigueur est disponible à cette URL. En cas de modifications substantielles, nous informons les utilisateurs actifs par e-mail.

22. Sous-traitance pour les clients professionnels

Les clients professionnels qui transmettent, sous leur propre responsabilité, des données à caractère personnel de tiers (par exemple des collaborateurs, des partenaires d'entretien) à des fins de transcription concluent avec nous un contrat de sous-traitance conformément à l'art. 28 RGPD. Le contrat de sous-traitance peut être signé numériquement dans le Trust Center.