Politique de confidentialité.

1. Qui est responsable de vos données ?

Le responsable de traitement est ACCAMIA, société par actions simplifiée, immatriculée au RCS de Lille Métropole — immatriculation en cours.

Pour toute question sur vos données personnelles : rgpd@whisperial.fr.

Délégué à la protection des données : Cédric VANTOUROUT, directeur de la publication.
Contact :contact@whisperial.fr

Cas particulier des organismes d'accompagnement. Si vous participez à une session organisée par un organisme (incubateur, couveuse, réseau d'aide à la création…), cet organisme est responsable du suivi qu'il exerce sur vous ; ACCAMIA agit alors pour son compte, en sous-traitant (section 6.3).

2. Quelles données collectons-nous ?

Nous ne collectons que les données nécessaires aux finalités de la section 3, le plus souvent directement auprès de vous.

Porteur de projet

• Identité et contact : nom, prénom, e-mail, téléphone, adresse, date de naissance.
• Situation personnelle : situation familiale, situation vis-à-vis de l'emploi, formations, expériences professionnelles, CV (fichier que vous déposez).
• Capacité d'entreprendre : motivations, réseau, parcours, valeur ajoutée.
• « Reste à vivre » : revenus du foyer, endettement, charges fixes.
• Projet : description, étude de marché, stratégie commerciale, statut juridique, capital, dossier financier prévisionnel.
• Associés que vous déclarez ou invitez : nom, prénom, e-mail, rôle, parts, apports. Ces personnes ne nous ont pas transmis ces informations elles-mêmes : informez-les et orientez-les vers cette politique.
• Échanges avec l'IA : vos messages, les réponses, conseils et analyses produits, les notes de l'assistant sur votre projet.
• Mise en relation : vos messages à un expert ou un partenaire, vos avis.
• Crédits : solde, historique d'achats et de consommation, nombre de messages de discussion restant sur le dernier crédit débité.

Participant à une session d'accompagnement — ce que voit l'organisme : section 6.3.

Élève inscrit par son établissement : nom, prénom, classe, identifiant de connexion (adresse e-mail facultative), contenu de son projet et échanges avec l'IA. Aucune date de naissance, aucun téléphone, aucun CV sauf si l'enseignant l'ouvre pour la classe. Ce que voit l'établissement : section 6.3. Les répondants au questionnaire de test de marché d'un élève restent anonymes : aucune information sur eux n'est enregistrée en dehors de leurs réponses.

Organisme d'accompagnement : identité et coordonnées du gestionnaire ; nombre de participants, tarifs, factures ; e-mails des personnes invitées ; tuteurs (nom, e-mail, téléphone, spécialités, présentation) ; tâches, événements et présence ; contacts des entreprises suivies (nom, e-mail, téléphone, ville). L'organisme informe lui-même les tiers qu'il enregistre.

Candidat expert (formulaire public) : nom complet, e-mail, téléphone, expertise, expérience, profil LinkedIn, motivation.

Visiteur sans compte : le formulaire « Créer mon business plan » n'envoie rien à nos serveurs ; vos réponses restent dans votre navigateur jusqu'à la création de votre compte.

Inscrit aux actualités : e-mail, thèmes choisis, page du site depuis laquelle vous vous êtes inscrit, date et texte du consentement, dates de confirmation et de désinscription.

Tous les profils

• Compte : e-mail, mot de passe (uniquement sous forme hachée), date de dernière connexion.
• Paiement : vos données de carte sont saisies chez notre prestataire de paiement et ne nous parviennent jamais ; nous gardons l'identifiant client et l'identifiant d'abonnement qu'il attribue, et l'historique de vos paiements.
• Signalement de bug : la description et les étapes que vous rédigez, l'e-mail de contact si vous n'êtes pas connecté et le donnez, la page consultée (identifiants retirés), le navigateur et sa version, le système, la taille de la fenêtre, le fuseau horaire, la version de l'application et les derniers messages d'erreur tronqués. Jamais une valeur que vous avez saisie dans un formulaire. Le contenu exact envoyé vous est affiché avant validation.

3. Pourquoi et sur quel fondement ?

Jeunes porteurs de projet. Les actualités Whisperial s'adressent à tous ceux qui ont envie d'entreprendre, collégiens et lycéens compris. Si vous avez moins de 15 ans, inscrivez-vous avec l'accord de l'un de vos parents : il peut aussi vous désinscrire à tout moment en nous écrivant à rgpd@whisperial.fr.

4. Intelligence artificielle — transparence

L'IA vous assiste pour la correction orthographique, les conseils sur un champ, la discussion guidée pour développer un champ, l'assistant conversationnel, la proposition de personas, la lecture de votre CV, l'aide à l'import d'un business plan rédigé ailleurs et l'analyse globale de votre business plan. Les principes de cet usage sont détaillés dans notre Charte d'utilisation de l'intelligence artificielle.

Ce que l'IA reçoit : le contenu de votre dossier (projet, étude de marché, stratégie commerciale, formations et expériences, capacité d'entreprendre, investissements, embauches prévues, statut juridique, capital, résultats financiers calculés) et ce que vous écrivez dans un champ libre ou dans la discussion. Vos associés y figurent sous la forme « Associé 1, 2… », avec leur rôle et leurs parts, jamais leur nom.

Ce que l'IA ne reçoit pas : vos e-mail, téléphone, adresse et date de naissance enregistrés dans votre compte ; les montants de votre « reste à vivre » (seule leur présence est signalée) ; votre situation familiale ; votre situation vis-à-vis de l'emploi. Pour un élève, son nom, son prénom, son e-mail et son téléphone sont en outre retirés de tout texte envoyé à l'IA, y compris de ce qu'il a lui-même écrit.

Lecture du CV. Le fichier n'est pas transmis : seul son texte l'est, après retrait automatique de vos nom, prénom, e-mail, téléphone, adresse, date de naissance, âge, numéro de sécurité sociale et liens. Ce retrait repose sur la reconnaissance de formats courants : une coordonnée écrite de façon inhabituelle, ou le nom d'une autre personne citée dans le CV, peut ne pas être reconnue.

Import d'un document existant. Quand vous importez un business plan rédigé ailleurs (Word ou PDF), le fichier lui-même n'est jamais transmis à l'IA et n'est pas conservé. Le document est d'abord lu sur nos serveurs, qui masquent automatiquement votre identité et celle de ceux de vos associés déjà enregistrés dans le projet, les e-mails, téléphones, adresses, dates de naissance, numéros de sécurité sociale, liens, coordonnées bancaires (IBAN, BIC), identifiants d'entreprise (SIRET, SIREN, TVA) et les noms de personnes introduits par une civilité ou un libellé (« Gérant : … »). Vous voyez sur une page dédiée, avant tout envoi, le texte exact qui partirait : vous pouvez y masquer d'autres mots, et remettre en clair une donnée masquée si vous le souhaitez (jamais un numéro de sécurité sociale, un IBAN ou un BIC, qui restent toujours masqués). Rien ne part sans votre clic sur « Envoyer à l'IA ». Ce retrait repose sur la reconnaissance de formats courants : le nom d'un tiers écrit dans une phrase libre peut ne pas être reconnu, d'où cette relecture. L'IA lit alors le texte pour indiquer dans quelle section de votre business plan ranger chaque passage et recopier les chiffres qu'il contient (chiffre d'affaires, charges, investissements, emprunts, subventions) ; elle ne rédige rien, ne calcule rien, et ne remplit ni la section Entrepreneur ni les Associés. C'est le texte de votre document, que vous vérifiez avant toute création, qui est enregistré.

Évitez d'écrire des données sensibles (santé, opinions, informations sur un tiers identifiable) dans un champ libre ou dans la discussion : elles seraient transmises à l'IA avec votre texte.

Aucune décision automatisée. L'IA corrige, questionne et conseille ; vous gardez la décision. Vous n'êtes soumis à aucune décision produisant des effets juridiques ou vous affectant de manière significative fondée exclusivement sur un traitement automatisé (art. 22 RGPD). Le statut de suivi présenté à un organisme (section 6.3) est calculé par des règles simples, sans IA, ne produit aucun effet par lui-même et peut être corrigé par l'organisme.

Prestataire. Les traitements d'IA sont réalisés par Anthropic (sections 6 et 7).

5. Combien de temps conservons-nous vos données ?

Un compte inutilisé pendant 3 ans est supprimé avec toutes ses données, après un e-mail d'avertissement envoyé un mois avant. Vous pouvez aussi supprimer votre compte à tout moment depuis ses paramètres.

Sauvegardes. Une donnée supprimée peut subsister jusqu'à 30 jours dans une sauvegarde chiffrée. Elle n'y est jamais consultée. Si une restauration devient nécessaire après un incident, les suppressions intervenues depuis la date de la sauvegarde sont réappliquées avant toute remise en service.

6. Qui a accès à vos données ?

Vos données sont accessibles aux équipes habilitées d'ACCAMIA, à nos sous-traitants et, uniquement dans les cas décrits en 6.3, à d'autres utilisateurs. Nous ne vendons jamais vos données.

6.1 Nos sous-traitants

Ils agissent sur nos instructions, dans le cadre d'un accord de traitement (art. 28 RGPD).

Pour la lutte contre la fraude et ses propres obligations légales, Stripe agit aussi comme responsable de traitement indépendant.

6.2 Services publics interrogés

• Base Adresse Nationale (État, data.gouv.fr) : quand vous saisissez une adresse, notre serveur lui transmet le texte recherché pour vous proposer des suggestions. Votre adresse IP ne lui est pas communiquée.
• OpenStreetMap : votre navigateur charge directement les fonds de carte (analyse concurrentielle, annuaire des partenaires) ; ce service reçoit donc votre adresse IP.

Google Analytics 4, uniquement si vous acceptez la mesure d'audience : Google reçoit votre adresse IP et des données de navigation, y compris aux États-Unis. Rien n'est chargé avant votre accord. Détail dans la Politique de gestion des cookies.

6.3 Les personnes avec qui vous partagez votre dossier

• Organisme d'accompagnement. Si vous rejoignez une session, le gestionnaire de l'organisme voit, pour le seul projet rattaché à cette session : vos nom, prénom et e-mail, vos dates d'inscription et de dernière connexion, l'avancement du business plan, son contenu en lecture seule, un statut de suivi calculé automatiquement (Nouveau, À risque, Absent, Complet, Lancé). Cet accès cesse si l'organisme n'a plus d'abonnement actif. Il ne voit ni vos autres projets, ni vos échanges avec l'IA, ni vos associés, ni l'historique des modifications, et il ne peut rien modifier. Pour ce suivi, l'organisme est responsable de traitement. Il peut extraire un rapport de session (nom, statut, avancement, tuteur, création de l'entreprise, emplois créés) et le communiquer à ses financeurs, sous sa propre responsabilité.
• Associés. Un associé invité n'accède qu'aux sections que vous autorisez, en lecture comme en écriture, et vous pouvez révoquer cet accès à tout moment.
• Experts et partenaires. Quand vous contactez un expert ou un partenaire, il reçoit votre message et les coordonnées nécessaires pour vous répondre, et devient responsable de traitement indépendant de l'usage qu'il en fait. Aucun message n'est envoyé sans action de votre part.
• Avis. Un avis sur un partenaire est visible des autres utilisateurs, sous votre nom d'affichage.

Établissement d'enseignement. Si votre compte a été créé par votre établissement, vos enseignants voient l'avancement de votre projet, son contenu, votre dernière activité et votre consommation de crédits, et règlent les fonctionnalités ouvertes à la classe. L'établissement est responsable de traitement ; ACCAMIA agit pour son compte. Il ne voit que les élèves qui lui sont rattachés.

6.4 Transferts hors de l'Union européenne

Anthropic, Stripe et Resend traitent des données aux États-Unis, ainsi que Google pour la mesure d'audience si vous l'acceptez. Vous pouvez obtenir une copie des garanties en écrivant à rgpd@whisperial.fr.

7. Cookies et traceurs

Le site utilise des traceurs strictement nécessaires, qui ne requièrent pas votre accord, et, seulement si vous l'acceptez, un traceur de mesure d'audience (Google Analytics 4). Aucun traceur de publicité ou de réseau social n'est actif. Le détail figure dans notre Politique de gestion des cookies.

8. Comment protégeons-nous vos données ?

• Chiffrement de toutes les communications (HTTPS).
• Mots de passe stockés uniquement sous forme hachée ; sessions révoquées à la déconnexion et à chaque changement de mot de passe ; limitation des tentatives de connexion.
• Droits d'accès à chaque dossier, et à chaque section, contrôlés à chaque requête.
• Aucune adresse IP enregistrée en base de données.
• Polices de caractères hébergées sur nos serveurs : votre navigateur ne contacte aucun service tiers pour afficher le site, à l'exception des fonds de carte et, si vous l'acceptez, de la mesure d'audience.
• Sauvegardes quotidiennes chiffrées dès leur création, que le serveur lui-même ne peut pas relire, avec une copie hors serveur dans l'Union européenne.

En cas de violation de données présentant un risque pour vos droits, nous la notifions à la CNIL dans les 72 heures et, si ce risque est élevé, nous vous en informons directement.

9. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition (pour les traitements fondés sur l'intérêt légitime) et de portabilité, ainsi que du droit de définir des directives sur le sort de vos données après votre décès.

• Supprimer votre compte : depuis les paramètres de votre compte, à tout moment. Seules les factures sont conservées, le temps imposé par la loi.
• Corriger vos données : la plupart sont modifiables directement dans votre compte.
• Retirer votre consentement aux actualités : par le lien de désinscription présent dans chaque e-mail, à tout moment et sans justification. Le retrait ne remet pas en cause les envois antérieurs.
• Toute autre demande : rgpd@whisperial.fr. Nous répondons sous un mois, prolongeable de deux mois pour une demande complexe (vous en êtes alors informé). Une preuve d'identité peut être demandée en cas de doute raisonnable. Un élève inscrit par son établissement exerce ses droits auprès de celui-ci, responsable de traitement ; nous l'aidons à y répondre.

Réclamation : vous pouvez saisir la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

10. Modification de la politique

En cas de modification substantielle, nous vous en informons par e-mail avant son entrée en vigueur. La date de dernière mise à jour figure en tête de document.