Aller au contenu

Politique de confidentialité

Dernière mise à jour : 6 novembre 2026

Qui est responsable de vos données

tangram.cx est édité par Jean-Baptiste Fiancette, responsable du traitement des données personnelles décrites ici. Pour toute question : dpo@tangram.cx.

Ce que fait tangram.cx

tangram.cx analyse les commentaires libres d'enquêtes de satisfaction, déposés par ses clients, pour en faire ressortir les thèmes abordés, leur tonalité et les émotions exprimées.

Les données que nous traitons

  • À la connexion avec Google ou Microsoft : nous recevons votre adresse email et votre nom, et nous ne conservons que votre adresse email et l'identifiant technique de votre compte (une suite de chiffres et de lettres attribuée par Google ou Microsoft, qui permet de refuser un autre compte portant la même adresse). Nous n'avons accès ni à vos emails, ni à vos contacts, ni à vos fichiers, ni à aucune autre donnée de votre compte.
  • La liste des adresses autorisées : adresse email, rôle, date d'autorisation et l'utilisateur qui l'a accordée ; si l'équipe tangram.cx a fermé toutes vos sessions (« Déconnecter partout »), la date de cette déconnexion et l'utilisateur qui l'a demandée.
  • Les écrans d'accueil déjà vus : pour votre adresse email, les étapes de la visite guidée (fenêtre de bienvenue, explications de la première ouverture d'un projet) déjà vues, avec leur date, pour ne pas vous les remontrer.
  • Le journal de sécurité : connexions, accès refusés, droits et réglages modifiés, exports et suppressions, avec l'adresse email de l'utilisateur, son rôle, son entreprise, la date et l'adresse IP de connexion. Il sert à détecter et à examiner un usage anormal du service. Il ne contient aucun commentaire. Chaque Gestionnaire peut consulter les événements de son entreprise.
  • Les fichiers de commentaires déposés par nos clients et les résultats de leur analyse. Ces fichiers peuvent contenir des données personnelles des personnes interrogées ; le client peut les anonymiser avant l'analyse (adresses email, numéros de téléphone, noms, adresses postales), et seule la version anonymisée est alors conservée. Pour ces données, nous agissons pour le compte de notre client.
  • L'IA de chaque client : sa formule, son fournisseur et, s'il utilise sa propre clé, cette clé, gardée chiffrée et jamais réaffichée. Nous comptons aussi la consommation d'IA de chaque projet (nombre d'appels, volume traité, coût) et le nombre de commentaires classés chaque jour, pour suivre le volume de l'abonnement du client et l'en informer.
  • L'import automatique, si le client l'active : l'adresse de son serveur SFTP, l'identifiant et le mot de passe de connexion (gardé chiffré et jamais réaffiché), le dossier relevé, et la liste des fichiers déjà importés (nom, taille, date). Les commentaires de ces fichiers sont ensuite traités comme ceux d'un fichier déposé à la main.
  • Vos alertes, si vous en créez : votre adresse e-mail, les réglages de chaque alerte (indicateur, seuil, période, critères) et leur dernier état (chiffres, dates et numéros des commentaires concernés, jamais leur texte). Elles ne sont visibles que par vous.
  • Dans votre navigateur : un cookie de session de 7 jours, prolongé tant que vous utilisez le site, qui maintient votre connexion, et un cookie de 10 minutes le temps de la connexion (et, si l'adresse utilisée n'a pas accès, un cookie de 5 minutes qui la garde pour l'afficher sur la page de connexion). Vos préférences d'affichage restent dans la mémoire de votre navigateur. Aucun cookie publicitaire ni de mesure d'audience.

Pourquoi

Uniquement pour vous donner accès au service, en réserver l'accès aux utilisateurs autorisés et réaliser les analyses demandées. Vos données ne sont ni vendues, ni utilisées à des fins publicitaires, ni utilisées pour entraîner des modèles d'IA par tangram.cx.

Où sont vos données

  • Le serveur (Render) et la base de données (Neon) sont hébergés en Europe, à Francfort (Allemagne).
  • L'interface du site est servie par Vercel (société américaine), qui relaie les échanges entre votre navigateur et le serveur depuis son point d'accès le plus proche de vous ; ses traitements côté serveur, dont la connexion, s'exécutent à Francfort.
  • Pour l'analyse, les commentaires sont envoyés au fournisseur d'IA choisi pour le client : Mistral AI (France), OpenAI ou Anthropic (États-Unis). Pour ces deux derniers, le transfert hors de l'Union européenne s'appuie sur les garanties prévues par le RGPD et proposées par ces prestataires.
  • Google et Microsoft interviennent seulement pour vérifier votre identité à la connexion.
  • Brevo (France) envoie à l'équipe tangram.cx les alertes techniques du serveur (analyse en erreur, panne, consommation d'IA inhabituelle). Ces e-mails mentionnent le nom du projet et du client concernés, jamais le contenu des commentaires. Si vous créez des alertes, Brevo vous envoie aussi, à votre adresse, au plus un e-mail par jour quand l'une d'elles se déclenche : nom du projet et du thème, chiffres et dates, jamais le contenu des commentaires.
  • Better Stack, prestataire de surveillance qui stocke ses données dans l'Union européenne, vérifie que le service répond et transmet aussi les alertes les plus importantes sur le téléphone de l'équipe tangram.cx. Ces alertes contiennent les mêmes informations que les e-mails, parfois l'adresse e-mail d'une personne concernée, jamais le contenu des commentaires.
  • GitHub (États-Unis) et Scaleway (France, stockage à Paris) conservent chaque nuit une copie de secours de la base de données, chiffrée avant son envoi : elle est illisible sans la clé de chiffrement gardée par l'équipe tangram.cx.

Combien de temps

  • Les projets et leurs analyses : jusqu'à leur suppression par le client.
  • Une adresse autorisée, l'identifiant du compte associé et les écrans d'accueil déjà vus : jusqu'à son retrait de la liste.
  • La clé d'IA d'un client : jusqu'à son retrait, son remplacement ou la suppression du client.
  • Vos alertes : jusqu'à leur suppression par vous ou la suppression du projet.
  • Les réglages de l'import automatique et la liste des fichiers importés : jusqu'à l'arrêt de l'import ou la suppression du projet.
  • La consommation d'IA et le nombre de commentaires classés : conservés pour le suivi de l'abonnement, même après la suppression d'un projet.
  • Les copies de secours de la base : 30 jours. Une donnée supprimée disparaît donc des copies au plus tard 30 jours après sa suppression.
  • Le journal de sécurité : 12 mois.
  • Le cookie de session : 7 jours après la dernière utilisation, ou jusqu'à la déconnexion.

Vos droits

Vous pouvez demander l'accès à vos données, leur rectification, leur effacement, leur portabilité, la limitation de leur traitement, ou vous y opposer, en écrivant à dpo@tangram.cx. Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL (www.cnil.fr).

Données reçues de Google

L'utilisation des informations reçues des API Google respecte les Règles relatives aux données utilisateur des services d'API Google, y compris les exigences d'utilisation limitée.

Retour à la connexion