Politique de confidentialité

Le responsable du traitement est la société CORE.AI (SAS, RCS Nanterre 988 662 334), éditrice de LUMEA ESG, dont le siège social est situé au 14 rue de la Bourgogne, 92190 Meudon, France.

Pour toute question relative à cette politique ou pour exercer vos droits : [À compléter — adresse email dédiée (ex. privacy@…)]. [À compléter — indiquer si un DPO est désigné, et ses coordonnées le cas échéant]

Nous ne collectons que les données nécessaires à chaque finalité. Aucune donnée n'est vendue, louée, ni utilisée à des fins publicitaires.

[À compléter — valider chaque durée de conservation avec votre conseil]

La plateforme analyse des documents publiés par les entreprises (rapports annuels, rapports de durabilité, documents d'enregistrement universels). Ces documents portent sur des personnes morales et ne constituent pas, en règle générale, des données personnelles.

Ils peuvent toutefois contenir incidemment des données relatives à des personnes physiques — noms de dirigeants, composition des organes de gouvernance, rémunérations individuelles publiées. Ces informations sont traitées uniquement dans la mesure où elles figurent déjà dans un document rendu public par l'entreprise concernée, au titre de l'intérêt légitime à analyser l'information financière et extra-financière publique (art. 6.1.f).

Vos données ne sont accessibles qu'aux personnes habilitées de LUMEA ESG et aux sous-traitants techniques listés ci-dessous, chacun sur un périmètre strictement délimité. La liste complète et à jour figure sur la page Confiance & Sécurité.

• Hetzner (Allemagne · Finlande (UE)) — Hébergement de l'application, de la base de données, du calcul, des fichiers et des sauvegardes chiffrées
• Vercel (États-Unis / mondial) — Tâches planifiées résiduelles et environnement de secours (retrait en cours)
• Resend (États-Unis) — Envoi des emails transactionnels. [À compléter — ajouter « et gestion de la liste de diffusion » ici le jour où le formulaire d'abonnement est mis en ligne]
• Qonto (France (UE)) — Émission des factures et des liens de paiement (facturation client)
• Yousign (France (UE)) — Signature électronique des contrats client (nom et e-mail des signataires)
• Stripe (États-Unis / UE) — Traitement des paiements (PCI-DSS niveau 1)
• Anthropic (Claude) (États-Unis) — Analyse par IA des documents ESG ; assistant conversationnel (modèle au choix)
• Google (Gemini) (États-Unis) — Analyse par IA des documents ESG ; assistant conversationnel (modèle au choix)
• OpenRouter (États-Unis, puis hôte amont variable selon le modèle) — Acheminement des appels d'IA vers l'hôte qui sert le modèle retenu — le contenu soumis parvient à cet hôte amont

Vos données de compte et vos données ESG sont stockées dans l'Union européenne. Certains sous-traitants mentionnés ci-dessus sont établis hors de l'Union — aux États-Unis, et en Chine pour deux fournisseurs de modèles d'intelligence artificielle (DeepSeek et Z.AI) — et réalisent des traitements ponctuels impliquant un transfert hors de l'UE.

Pour les sous-traitants établis aux États-Unis, ces transferts ont vocation à être encadrés par les garanties appropriées prévues au chapitre V du RGPD — clauses contractuelles types de la Commission européenne et, le cas échéant, certification au EU-U.S. Data Privacy Framework. Pour les deux fournisseurs établis en Chine, aucune décision d'adéquation de la Commission européenne n'existe et la garantie applicable n'est, à ce jour, pas documentée.

[À compléter — confirmer et archiver, pour chaque sous-traitant hors UE, le DPA signé et la garantie applicable (CCT ou DPF) avant publication — et trancher, avec conseil, la base de transfert des deux fournisseurs établis en Chine]

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées : chiffrement des communications en transit (TLS), authentification multifacteur disponible sur tous les comptes, non imposée par défaut, cloisonnement strict des données entre organisations clientes, sauvegardes automatisées et journalisation des accès.

Nous ne revendiquons à ce jour aucune certification de sécurité (SOC 2, ISO 27001). Nous préférons décrire précisément ce qui est en place plutôt que d'afficher des garanties que nous n'avons pas encore fait auditer. L'état exact de nos mesures est détaillé sur la page Confiance & Sécurité.

Ce site n'utilise aucun cookie publicitaire, aucun traceur de mesure d'audience tiers et aucun pixel de suivi — y compris dans nos emails, où le suivi d'ouverture et de clic est désactivé.

Seuls sont déposés les cookies strictement nécessaires au fonctionnement du service (authentification, maintien de session, préférences d'affichage). Conformément à l'article 82 de la loi Informatique et Libertés, ces cookies ne requièrent pas votre consentement préalable et aucune bannière ne vous est donc imposée.

Vous disposez, dans les conditions prévues par le RGPD, des droits suivants sur vos données personnelles :

• Accès — obtenir une copie des données vous concernant (art. 15)
• Rectification — corriger des données inexactes ou incomplètes (art. 16)
• Effacement — demander la suppression de vos données (art. 17)
• Limitation — geler temporairement un traitement (art. 18)
• Portabilité — récupérer vos données dans un format structuré et lisible par machine (art. 20)
• Opposition — vous opposer à un traitement fondé sur l'intérêt légitime, et à tout moment à la prospection (art. 21)
• Retrait du consentement — à tout moment, sans affecter la licéité du traitement déjà effectué. Chaque email de la lettre d'information comporte un lien de désabonnement direct
• Directives post-mortem — définir le sort de vos données après votre décès (art. 85 de la loi Informatique et Libertés)

Deux de ces droits s'exercent directement depuis votre compte, sans nous écrire et sans délai : depuis Réglages → Compte, « Exporter mes données » télécharge une copie des données personnelles que nous détenons sur vous (droit d'accès et de portabilité, art. 15 et 20) et « Supprimer mon compte » déclenche l'effacement (art. 17). Chaque demande ainsi traitée est inscrite à notre registre de conformité.

Pour les autres droits, ou si vous préférez nous écrire, écrivez à [À compléter — adresse email dédiée]. Nous répondons dans un délai d'un mois, pouvant être prolongé de deux mois en cas de demande complexe. Une preuve d'identité peut vous être demandée en cas de doute raisonnable.

Les scores ESG produits par la plateforme portent sur des entreprises, jamais sur des personnes physiques, et ne produisent aucun effet juridique à votre égard. Aucune décision fondée exclusivement sur un traitement automatisé au sens de l'article 22 du RGPD n'est prise à propos de nos utilisateurs.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr.

Cette politique peut être mise à jour pour refléter une évolution du service ou de la réglementation. La date de dernière mise à jour figure en haut de cette page. En cas de modification substantielle affectant un traitement fondé sur votre consentement, nous vous en informerons directement.