Politique de confidentialité
En vigueur au 1er août 2026
Responsable du traitement
FORGEDIS — SIRET 106 013 899 00013
Email : contact@forgedis.fr
1. Données collectées et bases légales
Conformément au RGPD (Règlement UE 2016/679), chaque traitement repose sur une base légale. Le tableau suivant détaille les données collectées, leur finalité et la base juridique applicable.
| Données | Finalité | Base légale | Conservation |
|---|---|---|---|
| Adresse email | Création de compte, envoi de notifications et factures | Exécution du contrat | Durée de l'abonnement + 3 ans |
| Adresse IP | Sécurité, détection d'abus, logs techniques | Intérêt légitime | 30 jours |
| Référence de paiement Stripe | Gestion de l'abonnement et de la facturation | Exécution du contrat | 10 ans (obligation comptable) |
| Statut d'abonnement (actif/inactif) | Contrôle d'accès au service | Exécution du contrat | Durée de l'abonnement + 1 an |
| Token d'authentification | Identification sécurisée de l'appareil | Exécution du contrat | Durée de l'abonnement |
| Logs d'usage agrégés (nombre de requêtes, coût IA) | Facturation interne, prévention d'abus, plafonnement | Intérêt légitime | 12 mois |
2. Ce que nous ne collectons pas
- Le contenu de vos conversations avec Aria — vos demandes sont transmises en temps réel et ne sont pas stockées sur nos serveurs.
- Les captures d'écran ou enregistrements vidéo de votre ordinateur (Aria Facility).
- Vos fichiers, documents ou données personnelles traités localement.
- Les profils enfants et données de progression (Aria Kids) — stockés uniquement sur votre appareil par défaut.
3. Sous-traitants et partenaires
FORGEDIS fait appel aux prestataires suivants pour assurer le fonctionnement du service. Chacun est lié par un accord de traitement des données conforme au RGPD.
| Prestataire | Rôle | Localisation |
|---|---|---|
| Stripe | Traitement des paiements et gestion des abonnements. Les données bancaires ne transitent jamais par les serveurs de FORGEDIS. | États-Unis / UE (PCI-DSS) |
| Supabase | Base de données hébergeant les comptes, statuts d'abonnement et tokens. Données chiffrées au repos. | Union européenne (eu-west-3) |
| Render | Hébergement du serveur relay (traitement des requêtes IA en temps réel, sans journalisation du contenu). | États-Unis |
| Anthropic | Modèle d'IA (Claude) utilisé pour générer les réponses d'Aria. Les requêtes sont transmises sans identifiant personnel lié à l'utilisateur final. | États-Unis |
| Google OAuth | Authentification optionnelle pour l'accès à l'interface d'administration FORGEDIS uniquement. Non utilisé pour les comptes clients finaux. | États-Unis / UE |
| Google Fonts | Chargement des polices d'affichage sur le site forgedis.fr. | États-Unis / UE |
4. Transferts hors Union européenne
Certains de nos prestataires (Stripe, Render, Anthropic, Google) sont établis aux États-Unis. Ces transferts reposent sur les mécanismes juridiques suivants :
- Clauses contractuelles types (CCT) adoptées par la Commission européenne, intégrées dans nos contrats avec ces prestataires.
- Décision d'adéquation EU-US Data Privacy Framework pour les prestataires américains certifiés.
Les données transmises à Anthropic (contenu des requêtes IA) ne contiennent pas d'identifiant personnel — elles sont pseudonymisées côté serveur relay avant transmission.
5. Cookies et traceurs
FORGEDIS n'utilise aucun cookie de tracking, publicité ou analyse comportementale.
- aria_langue — mémorisation de la préférence de langue (localStorage, persistant).
- aria_token — token d'authentification au service (localStorage, durée de l'abonnement).
- Cookies de session Stripe lors du processus de paiement (tiers, supprimés à la fermeture du navigateur).
Ces données sont stockées localement sur votre appareil (localStorage) et ne sont pas transmises à des fins publicitaires.
6. Sécurité
- Chiffrement des communications par TLS (HTTPS) sur l'ensemble des échanges.
- Tokens d'authentification générés de manière cryptographiquement sécurisée (secrets.token_hex).
- Données au repos chiffrées sur Supabase (AES-256).
- Clé API Anthropic stockée uniquement côté serveur relay — jamais transmise aux clients.
- Accès aux données d'administration restreint aux comptes FORGEDIS identifiés.
7. Spécificités par produit
ARIA Facility
L'Agent Aria installé sur le PC de l'utilisateur agit localement. Les captures d'écran prises à des fins de vision IA sont transmises en temps réel au serveur relay puis à Anthropic, et ne sont pas conservées après traitement. Aucune capture n'est stockée sur les serveurs de FORGEDIS.
Les commandes vocales sont transcrites sur l'appareil de l'utilisateur (STT natif) — la transcription textuelle est ensuite transmise au serveur relay pour traitement.
ARIA Kids — Données des enfants
Les profils enfants (prénom, classe, niveau, progression, historique des leçons) sont stockés exclusivement sur l'appareil du parent par défaut (localStorage). Ces données ne sont pas transmises aux serveurs de FORGEDIS.
Option de synchronisation cloud (forfait Famille)
Sur demande explicite du parent, une synchronisation cloud optionnelle peut être activée. Dans ce cas, les données de progression sont chiffrées côté client avant transmission à Supabase. FORGEDIS n'a pas accès au contenu des données chiffrées.
Consentement parental
L'abonnement est souscrit par un adulte responsable. Le traitement des données liées aux enfants repose sur le consentement du titulaire du compte. Ce consentement peut être retiré à tout moment en supprimant les données locales depuis l'application.
Requêtes pédagogiques
Les questions posées par les enfants à Aria sont transmises en temps réel à Anthropic (pseudonymisées — sans nom ni identifiant de l'enfant) et ne sont pas conservées après génération de la réponse.
ARIA Industrial — Rôle de FORGEDIS
Dans le cadre d'Aria Industrial, FORGEDIS agit en qualité de sous-traitant au sens de l'article 28 du RGPD. L'entreprise cliente est responsable du traitement des données de ses salariés. Un accord de traitement des données (ATD) est disponible sur demande à contact@forgedis.fr.
Données traitées
Les données professionnelles (identité des salariés, fiches RH, factures, stocks, interventions) sont traitées localement sur les appareils de l'entreprise cliente. Elles ne transitent pas par les serveurs de FORGEDIS sauf si l'option cloud est activée.
Option cloud
Avec l'option cloud, les données sont chiffrées côté client avant transmission à Supabase (région eu-west-3, UE). FORGEDIS n'a pas accès aux données chiffrées des clients. Les clés de chiffrement ne sont pas transmises à FORGEDIS.
Obligations de l'entreprise cliente
L'entreprise cliente s'engage à informer ses salariés de l'utilisation d'Aria Industrial conformément au RGPD et aux obligations légales applicables (information CSE, affichage obligatoire).
8. Vos droits
- Droit d'accès — obtenir une copie de vos données.
- Droit de rectification — corriger des données inexactes.
- Droit à l'effacement — demander la suppression de vos données (sous réserve des obligations légales de conservation).
- Droit à la portabilité — recevoir vos données dans un format structuré.
- Droit d'opposition — s'opposer à un traitement fondé sur l'intérêt légitime.
- Droit à la limitation — demander la suspension temporaire d'un traitement.
Comment exercer vos droits : envoyez votre demande par email à contact@forgedis.fr en précisant votre identité et le droit que vous souhaitez exercer. FORGEDIS s'engage à répondre dans un délai maximum de 30 jours.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez déposer une réclamation auprès de la CNIL : cnil.fr — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
9. Modifications de cette politique
FORGEDIS se réserve le droit de modifier la présente politique à tout moment. En cas de modification substantielle, les utilisateurs seront informés par email avec un préavis de 30 jours. La version en vigueur est toujours accessible sur forgedis.fr/confidentialite.html.
Mise à jour : août 2026