Politique de confidentialité

Dernière mise à jour : 26 octobre 2026

1. Responsable du traitement

Le responsable du traitement des données décrites dans la présente politique est 42MERGE, société par actions simplifiée immatriculée au RCS de Paris sous le numéro 913 592 986, dont le siège social est situé 229 rue Saint-Honoré, 75001 Paris, France (« ERHA », « nous »).

Pour toute question relative aux données personnelles : contact@erha.ai.

2. Données traitées

Nous traitons les catégories de données suivantes :

  • Données de compte et de contact : nom, prénom, email professionnel, société, fonction ;
  • Fichiers soumis au service et résultats produits : ils peuvent contenir des données personnelles dont le client demeure responsable de traitement (voir l'article 9) ;
  • Index de recherche : le texte des tickets, des emails préparés, de la page Contexte, des fichiers et des conversations avec les agents, découpé en passages, et une synthèse de chaque conversation, pour que les agents retrouvent une information de l'espace. Le détail figure sur la page « Vos données » de la console ;
  • Données d'usage et journaux techniques : traitements déclenchés, horodatages, adresses IP, données de connexion ;
  • Données de facturation : historique de consommation, factures. Les données de carte bancaire sont collectées directement par notre prestataire Stripe et ne transitent pas par nos systèmes ;
  • Échanges : messages via le chat du site, emails, rendez-vous pris en ligne ;
  • Données issues d'un compte Google que vous connectez au service : voir l'article 11.

3. Finalités et bases légales

  • Fournir le service (exécution des traitements, espace client, support) — exécution du contrat ;
  • Facturer et gérer la relation commerciale — exécution du contrat et obligations légales (comptabilité, fiscalité) ;
  • Assurer la sécurité du service et prévenir la fraude — intérêt légitime ;
  • Améliorer le service et ses fonctionnalités — intérêt légitime ;
  • Répondre aux demandes et prospecter des professionnels — intérêt légitime, avec droit d'opposition à tout moment.

4. Hébergement

Le site www.erha.ai est hébergé par Vercel Inc. (États-Unis), dans le cadre d'un accord de traitement des données incluant les clauses contractuelles types de la Commission européenne.

Les données de production du service — comptes, fichiers soumis, résultats — sont hébergées chez Upsun (Platform.sh SAS, 22 rue de Palestro, 75002 Paris), dans un centre de données situé en France.

5. Destinataires et sous-traitants

Les données sont accessibles aux seules équipes d'ERHA qui en ont besoin, et à nos sous-traitants :

  • Vercel (hébergement du site) ;
  • Upsun / Platform.sh (hébergement des données de production, en France) ;
  • Stripe (paiement et facturation) ;
  • Google Calendar (prise de rendez-vous, page de réservation intégrée) ;
  • Mistral AI (Paris, France) : calcul des embeddings de l'index de recherche, hébergé dans l'Union européenne par défaut. Mistral AI peut conserver les textes reçus jusqu'à 30 jours pour détecter les abus, en tant que responsable de ce traitement ; ils ne servent pas à entraîner ses modèles ;
  • Fournisseurs de modèles d'intelligence artificielle mobilisés pour exécuter les traitements (notamment OpenAI, Anthropic, Google, Mistral AI) : seules les données nécessaires à l'exécution du traitement demandé leur sont transmises. Anthropic, qui fournit par défaut les modèles des agents et des synthèses de conversation, stocke ces données aux États-Unis et les supprime sous 30 jours, sauf contenu signalé pour une violation de ses règles d'usage (jusqu'à 2 ans).

Chaque sous-traitant est lié par un accord de traitement des données (DPA). Lorsque des données sont transférées hors de l'Union européenne, ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne ou un mécanisme équivalent. Vos fichiers ne sont pas utilisés par ERHA pour entraîner des modèles d'intelligence artificielle.

Aucune donnée n'est vendue ni louée à des tiers.

6. Durées de conservation

  • Fichiers soumis et résultats : conservés dans votre espace pendant la durée du contrat, puis supprimés dans un délai de 90 jours après la résiliation ;
  • Index de recherche : chaque passage est conservé tant que sa source existe dans l'espace, puis supprimé au plus tard 24 heures après la suppression de sa source ;
  • Données de compte : durée du contrat, puis archivage limité à la preuve (5 ans) ;
  • Journaux techniques : 12 mois ;
  • Factures et pièces comptables : 10 ans (obligation légale) ;
  • Échanges avec les prospects : 3 ans après le dernier contact.

7. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données personnelles.

Vous pouvez les exercer en écrivant à contact@erha.ai. Une réponse vous est apportée dans un délai d'un mois. Vous pouvez également adresser une réclamation à la CNIL (cnil.fr).

8. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées : espace dédié par client et données isolées, chiffrement des données en transit, contrôle d'accès strict, journalisation, sauvegardes.

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous notifierons la CNIL et, le cas échéant, les personnes concernées, dans les conditions prévues par le RGPD.

9. Fichiers clients : ERHA sous-traitant

Lorsque les fichiers soumis au service contiennent des données personnelles, le client agit en qualité de responsable du traitement et ERHA en qualité de sous-traitant au sens de l'article 28 du RGPD : nous ne traitons ces données que sur instruction du client, pour exécuter les traitements demandés.

Un accord de traitement des données (DPA) détaillant ces engagements est disponible sur demande à contact@erha.ai.

10. Cookies et traceurs

Le site utilise des cookies strictement nécessaires à son fonctionnement, ainsi que les traceurs déposés par l'outil tiers suivant lorsque vous interagissez avec lui : Google Calendar (prise de rendez-vous, page de réservation intégrée). Le chat du site est celui d'ERHA : il garde dans votre navigateur un identifiant de conversation, sans cookie, pour retrouver l'échange d'une page à l'autre.

Le site n'utilise pas de cookies publicitaires. Si un outil de mesure d'audience soumis à consentement venait à être ajouté, un bandeau de recueil du consentement serait mis en place.

11. Données des comptes Google

Cet article s'applique quand vous connectez un compte Google à ERHA : connexion avec Google, Gmail, Google Agenda, Google Docs ou annuaire Google Workspace. Google vous montre les accès demandés avant que vous les acceptiez, et vous pouvez les retirer à tout moment.

Données auxquelles ERHA accède, et pour quoi faire :

  • Connexion avec Google (openid, email, profile) : votre adresse email, votre nom et votre identifiant Google, pour créer votre compte et vous connecter ;
  • Envoi d'emails (gmail.send) : ERHA envoie depuis votre adresse Gmail, à votre nom, les emails rédigés dans ERHA que vous envoyez, ou que vous avez autorisé un agent à envoyer sans relecture. Cet accès permet seulement d'envoyer : ERHA ne lit pas le contenu de votre boîte Gmail ;
  • Lecture de l'agenda (calendar.events.readonly) : ERHA lit vos rendez-vous, de 90 jours en arrière à 60 jours en avant, sans pouvoir les modifier. Ils s'affichent dans votre agenda ERHA, que vous seul voyez. Un rendez-vous dont un invité est un contact d'un client de votre espace s'affiche aussi sur la fiche de ce client, que voient les membres de l'espace. Les rendez-vous privés, refusés ou sans invité ne sont jamais ajoutés à une fiche client ;
  • Lecture de documents (documents.readonly) : ERHA lit uniquement le document de notes généré par Gemini et joint à un rendez-vous avec un client, pour l'ajouter à la fiche de ce client. ERHA ne parcourt pas vos autres documents ;
  • Annuaire Google Workspace (admin.directory.user.readonly, admin.directory.domain.readonly), seulement si un administrateur de votre entreprise le connecte : la liste des utilisateurs et des domaines de l'entreprise, pour retirer l'accès à l'espace aux personnes qui ne font plus partie de l'entreprise.

L'utilisation et le transfert à toute autre application des informations reçues des API Google par ERHA respectent les règles relatives aux données utilisateur des services d'API Google (Google API Services User Data Policy), y compris les exigences d'utilisation limitée (Limited Use) : https://developers.google.com/terms/api-services-user-data-policy. En pratique :

  • Ces données servent uniquement aux fonctions décrites ci-dessus, visibles dans la console ERHA ;
  • Elles ne sont ni vendues, ni utilisées pour de la publicité, ni utilisées pour évaluer une solvabilité ou accorder un crédit ;
  • Elles ne sont jamais utilisées pour développer, améliorer ou entraîner des modèles d'intelligence artificielle ou d'apprentissage automatique généraux, ni par ERHA, ni par ses sous-traitants ;
  • ERHA ne transfère pas ces données, brutes, agrégées, anonymisées ou dérivées, à un service d'intelligence artificielle tiers qui s'en sert pour développer, améliorer ou entraîner ses modèles. Les fournisseurs d'IA qui les traitent pour ERHA le font seulement pour rendre le résultat demandé, dans des conditions qui ne leur permettent pas de s'en servir pour l'entraînement ;
  • Quand vous demandez à un agent de travailler sur un client, les informations nécessaires (par exemple la date et les notes d'une réunion) sont transmises au fournisseur de modèle qui exécute la demande (voir l'article 5), seulement pour produire la réponse. Les rendez-vous et les notes ajoutés à une fiche client sont aussi indexés pour la recherche de votre espace (voir l'article 2) ;
  • Aucune personne d'ERHA ne lit ces données, sauf avec votre accord explicite (par exemple pour une demande d'assistance), pour la sécurité du service (enquête sur un abus) ou pour respecter la loi.

L'utilisation des données brutes ou dérivées reçues des API Google Workspace (Gmail, Google Agenda, Google Docs) respecte la Google User Data Policy, y compris les exigences d'utilisation limitée (Limited Use) : https://developers.google.com/workspace/workspace-api-user-data-developer-policy.

Conservation et suppression :

  • Les jetons d'accès Google sont conservés chiffrés ;
  • Vous pouvez déconnecter un compte Google à tout moment dans la console, depuis Profil puis Comptes connectés. ERHA retire alors aussi l'accès chez Google. Vous pouvez également le retirer depuis votre compte Google : https://myaccount.google.com/permissions ;
  • Arrêter la lecture de l'agenda efface votre agenda ERHA. Les rendez-vous déjà ajoutés à une fiche client y restent comme historique de la relation, jusqu'à la suppression de la fiche ou la fin du contrat (voir l'article 6) ;
  • Pour faire supprimer toutes les données issues de votre compte Google, écrivez à contact@erha.ai.

12. Mise à jour de la politique

La présente politique peut être mise à jour, notamment pour refléter l'évolution du service ou de la réglementation. La date de dernière mise à jour figure en tête de page ; les modifications substantielles sont notifiées aux titulaires d'un compte.

La version française fait foi ; la traduction anglaise est fournie à titre informatif.