Politique de confidentialité

La présente politique décrit comment Itineo traite les données à caractère personnel, conformément au Règlement général sur la protection des données (RGPD, UE 2016/679) et à la loi belge du 30 juillet 2018.

1. Qui est responsable du traitement ?

Itineo est une plateforme permettant à ses clients (organisations) d'automatiser l'accueil et le suivi de leurs propres clients via des parcours multi-canal, d'en collecter les retours et d'animer des présentations en direct (quiz, sondages et questions du public). Selon les données concernées, deux situations coexistent :

• Itineo est responsable de traitement pour les données de ses utilisateurs (comptes, facturation, sécurité).
• Itineo agit comme sous-traitant (art. 28 RGPD) pour les données des répondants collectées via les questionnaires : c'est l<strong>organisation cliente</strong> qui en est responsable de traitement et qui définit les finalités.

Éditeur et responsable du traitement (pour les données des utilisateurs) : Try Again SRL, société à responsabilité limitée de droit belge, exploitant le Service sous la marque Itineo, Rue Georges Jouret 20, 7880 Flobecq, Belgique, numéro d'entreprise (BCE) 1042.835.320, représentée par son administrateur François Jacques. Contact (y compris pour la vie privée et l'exercice des droits) : francois@try-again.be. Aucun délégué à la protection des données (DPO) n'a été désigné, l'entreprise n'y étant pas tenue : les demandes relatives aux données sont traitées par le responsable du traitement à l'adresse ci-dessus.

2. Quelles données sont traitées ?

• Compte utilisateur : email, nom, mot de passe (haché), organisation, rôle.
• Comptes de messagerie connectés : identifiant technique, numéro ou identifiant public du compte (WhatsApp, LinkedIn, email, agenda). Lorsque l'organisation utilise le numéro WhatsApp officiel d'Itineo, les messages sont envoyés et reçus via ce numéro, pour le compte de l'organisation. Sur un compte personnel connecté, Itineo ne lit et ne conserve que les réponses à ses propres messages : pendant une enquête en cours, quand une étape attend une réponse, ou dans les 48 heures qui suivent un message envoyé par Itineo. Les autres conversations ne sont ni lues, ni conservées.
• Répondants : numéro de téléphone ou identifiant/@handle, prénom/nom éventuel, canal utilisé, statut de consentement.
• Réponses : contenu des réponses (texte, choix, notes), éventuels médias et transcription de messages vocaux, ainsi que des indicateurs déduits par IA (thèmes, intention, et le cas échéant tonalité).
• Journaux techniques : messages échangés (audit), événements d'usage, données de sécurité.
• Clients finaux (CRM) : nom, société, coordonnées, notes internes, statut et preuve de consentement, historique de parcours.
• Documents à signer : identité du signataire, document, piste d'audit ; conservés sur notre infrastructure UE.
• Participants aux présentations en direct : numéro de téléphone, nom affiché, réponses aux questions, questions posées et données de présence (arrivée, activité).

3. Finalités et bases légales

• Fourniture du Service et gestion du compte, exécution du contrat.
• Facturation, obligation légale / contrat.
• Sécurité, prévention des abus, journaux, intérêt légitime.
• Collecte et traitement des réponses des répondants et des participants aux présentations en direct, finalité et base légale définies par l<strong>organisation cliente</strong> (le plus souvent le <strong>consentement</strong> de la personne, obligatoire en cas de données sensibles).

4. Intelligence artificielle

Le Service utilise des modèles d'IA pour aider à comprendre les réponses (classification, extraction de thèmes), pour générer des questionnaires et des parcours et pour transcrire les messages vocaux. Ces traitements sont confiés à Mistral AI (France) et se déroulent dans l'Union européenne ; les contenus transmis ne servent pas à entraîner ses modèles. Seule la génération d'images, fonction optionnelle, fait appel à un fournisseur établi aux États-Unis. Les répondants sont informés qu'ils interagissent avec un assistant automatisé (transparence, art. 50 du Règlement UE 2024/1689 sur l'IA). Aucune décision produisant des effets juridiques n'est prise de manière entièrement automatisée ; un contrôle humain reste assuré côté organisation cliente.

5. Destinataires et sous-traitants

Les données sont accessibles aux membres autorisés de l'organisation cliente et aux sous-traitants techniques d'Itineo, listés sur la page sous-traitants (hébergement, base de données, connexion aux messageries, services d'IA). Selon le mode d'envoi choisi par l'organisation, les messages transitent soit par le numéro WhatsApp officiel d'Itineo (WhatsApp Business Platform, exploitée pour l'Union européenne par Meta Platforms Ireland Limited, en Irlande), soit par le compte de messagerie que l'organisation a elle-même connecté, via notre fournisseur d'agrégation établi dans l'Union européenne. Aucune donnée n'est vendue à des tiers.

6. Transferts hors Union européenne

La base de données, l'exécution applicative et les traitements d'IA (texte et transcription des messages vocaux) ont lieu dans l'Union européenne. Certains sous-traitants restent établis aux États-Unis (paiement, emails transactionnels, suivi des erreurs, génération d'images optionnelle) ou appartiennent à un groupe américain (hébergement applicatif, WhatsApp Business Platform). Ces transferts sont encadrés par des garanties appropriées (Clauses Contractuelles Types de la Commission européenne et, le cas échéant, Data Privacy Framework). Le détail figure sur la page des sous-traitants.

7. Durées de conservation

• Données de compte : durée de la relation contractuelle, puis archivage légal.
• Réponses, sessions et journaux de messages : 24 mois à compter de la collecte, puis suppression automatique (durée pouvant être raccourcie à la demande de l'organisation cliente responsable du traitement).
• Événements techniques de réception (webhooks traités) : 90 jours.
• Journal des accès aux fiches clients : 365 jours.
• Parcours terminés (inscriptions et étapes) : 24 mois. Une fiche client qui atteint sa date de conservation est anonymisée plutôt que supprimée, afin que les statistiques restent justes.
• Présentations en direct : les données personnelles des participants (numéro, nom affiché, réponses) sont effacées 7 jours après la fin de la session, la session elle-même est supprimée après 180 jours, et les répétitions après 7 jours.
• Demandes envoyées via le formulaire de contact : 365 jours.

Ces suppressions sont exécutées par une purge automatique qui s'exécute chaque nuit.

8. Vos droits

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de retirer votre consentement à tout moment. Un répondant peut mettre fin à un échange en envoyant « STOP ».

• Pour les répondants : adressez votre demande à l'organisation qui vous a sollicité (responsable de traitement), ou à francois@try-again.be qui la relaiera.
• Pour les utilisateurs : francois@try-again.be.

Vous pouvez introduire une réclamation auprès de l'Autorité de protection des données (APD/GBA, Belgique, www.autoriteprotectiondonnees.be) ou de l'autorité de votre pays de résidence.

9. Sécurité

Itineo met en œuvre des mesures techniques et organisationnelles : cloisonnement strict des données entre organisations, chiffrement en transit, contrôle d'accès par rôle, en-têtes de sécurité et minimisation des données.

10. Modifications

La présente politique peut évoluer. La date de dernière mise à jour figure en tête de page.