Politique de confidentialité

Dernière mise à jour : 15/07/2026

Cette page décrit comment ATMYS, éditeur de Diagnoz, collecte et traite les données à caractère personnel des personnes qui utilisent le site diagnoz.fr et l'application Diagnoz. Pour les conditions générales de vente, voir les CGV.

Qui est responsable de quoi

ATMYS, SASU au capital de 2 000 €, dont le siège social est situé 45 rue Gilles Roberval, 30900 Nîmes, immatriculée au RCS de Nîmes sous le numéro 844 587 022, est responsable de traitement pour les données du site, des comptes, de la facturation et du support. Voir aussi les mentions légales.

Pour les données traitées dans le cadre des campagnes menées par une organisation cliente (réponses aux questionnaires, comptes rendus d'entretiens, plans d'action, résultats), c'est l'organisation cliente qui est responsable de traitement ; ATMYS agit en qualité de sous-traitant au sens de l'article 28 du RGPD, conformément à l'accord de traitement des données (DPA) fourni sur demande. Si vous êtes salarié d'une organisation cliente, adressez vos demandes d'exercice de droits sur les données de campagne à votre employeur ; ATMYS l'assiste dans leur traitement.

La durée de conservation des réponses de campagne relève du paramétrage de l'organisation cliente : chaque campagne déclare sa finalité, sa base légale et sa durée de conservation, et la purge automatique des réponses brutes n'est effectuée que si le client l'active.

Données collectées

À l'ouverture de compte

Adresse e-mail, nom d'affichage, nom de l'entreprise et numéro SIREN/SIRET. Dans le cadre de l'utilisation du service, les données de campagne sont également traitées : réponses aux questionnaires (recueillies sans identifiant direct, ni compte, ni e-mail, ni adresse IP, et restituées uniquement en agrégats au-dessus du seuil configuré), comptes rendus d'entretiens, plans d'action et résultats d'analyse.

Paiement

Les paiements sont traités par notre prestataire de paiement Stripe ; nous n'enregistrons pas les coordonnées bancaires ou de carte de crédit sur nos serveurs. Nous conservons uniquement les identifiants techniques de client et d'abonnement transmis par Stripe et les données de facturation.

Contact

Les informations transmises via le formulaire de contact (nom, e-mail, message) sont conservées le temps nécessaire au traitement de votre demande.

Mesure d'usage

L'application mesure son utilisation à l'aide d'un outil interne, sans service tiers ni recoupement avec d'autres données : identifiant de session technique et événements d'usage, conservés 24 mois.

Finalités et bases légales

Pour les traitements dont ATMYS est responsable :

• Gestion du compte et fourniture du service — exécution du contrat (article 6.1.b du RGPD) et, pour les comptes des collaborateurs de l'organisation cliente, intérêt légitime (article 6.1.f) ; données de compte ; durée de la relation contractuelle, puis archivage 5 ans.
• Facturation et paiement — exécution du contrat et obligation légale ; identifiants Stripe et données de facturation ; 10 ans.
• Support et widget de conversation — exécution du contrat et intérêt légitime ; messages et coordonnées transmises ; 90 jours (widget) ou 12 mois (formulaire de contact).
• Communications marketing — consentement (article 6.1.a), retirable à tout moment depuis les paramètres du compte.
• Sécurité, prévention de la fraude et de l'abus d'essai, journaux d'audit — intérêt légitime (article 6.1.f) ; 12 mois.
• Mesure d'usage interne et amélioration du service — intérêt légitime (article 6.1.f) ; 24 mois.

Pour les données de campagne, la ou les bases légales sont déterminées par l'organisation cliente, responsable de traitement. Le consentement recueilli dans l'application avant un enregistrement d'entretien (voir ci-dessous) est une garantie produit qui s'ajoute à cette base légale, sans s'y substituer.

Destinataires et sous-traitants

Pour les traitements dont ATMYS est responsable (compte, facturation, support, site), vos données peuvent être transmises aux sous-traitants suivants, dans la stricte mesure nécessaire à l'exécution du service :

• Stripe (paiements en ligne) — États-Unis, avec Clauses Contractuelles Types (CCT) de l'UE
• Mailgun (envoi d'e-mails transactionnels) — point de présence Union européenne
• Scaleway (hébergement et gestion des secrets) — France

Deux services publics français sont par ailleurs interrogés pour identifier votre entreprise (ce ne sont pas des sous-traitants) : INSEE (vérification SIRET) et recherche-entreprises.api.gouv.fr (DINUM). La protection anti-spam (Altcha) est un composant auto-hébergé : aucun transfert de données à un tiers.

Pour les données de campagne, traitées en sous-traitance pour le compte du client :

• Scaleway — hébergement en France et, pour les organisations ayant activé l'assistance IA, inférence de modèles d'IA générative sur des infrastructures situées exclusivement dans l'Union européenne ; données non conservées par ce fournisseur ni utilisées pour l'entraînement de modèles.

La liste complète des sous-traitants est communiquée sur demande, via le formulaire de contact.

Fonctionnalités d'assistance IA

Pour les organisations ayant activé l'assistance IA : les extraits de résultats et d'entretiens envoyés au modèle sont pseudonymisés, et les seuils d'anonymat de la campagne s'appliquent aussi aux entrées IA. L'enregistrement d'un entretien ne démarre qu'après un consentement explicite, horodaté et journalisé ; l'audio n'est jamais stocké. Seules les transcriptions le sont, pour une durée limitée. Chaque contenu généré par IA passe par une relecture humaine avant d'être utilisé.

• Transcriptions d'entretiens : conservées 30 jours.
• Conversations avec l'assistant de création : conservées 90 jours.
• Traces techniques de génération (empreintes cryptographiques, compteurs ; jamais le contenu des échanges) : conservées 12 mois.

Durées de conservation

• Données de compte actif : durée de la relation contractuelle + 5 ans (prescription civile).
• Données analytiques (mesure d'usage interne) : 24 mois.
• Formulaire de contact : 12 mois.
• Messages du widget de conversation : 90 jours.
• Données de facturation : 10 ans (obligation légale comptable, article L123-22 du Code de commerce).
• Journaux d'audit de sécurité (adresse e-mail, adresse IP, agent utilisateur, actions effectuées) : 12 mois, conservés sur la base de l'intérêt légitime (sécurité du service).
• Assistance IA : transcriptions 30 jours, conversations 90 jours, traces techniques 12 mois.

En cas de suppression volontaire du compte, l'ensemble des données du compte et de l'espace client est supprimé en cascade (y compris le client de facturation créé chez Stripe), conformément au droit à l'effacement (article 17 du RGPD), à l'exception : des données de facturation (10 ans, obligation comptable) ; des journaux d'audit de sécurité, conservés sous forme dé-identifiée jusqu'à l'expiration de leur durée de 12 mois ; et d'une empreinte technique pseudonymisée du numéro SIREN (condensat cryptographique), conservée aux seules fins de prévention de l'abus de la période d'essai. La durée de 5 ans ci-dessus ne s'applique qu'aux comptes inactifs non supprimés par l'utilisateur.

Vos droits

Conformément à la réglementation applicable aux données à caractère personnel, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition sur vos données, ainsi que du droit de retirer votre consentement à tout moment. Aucune décision automatisée au sens de l'article 22 du RGPD n'est prise sur la base de vos données personnelles.

Vous pouvez mettre à jour, exporter ou supprimer vos données depuis l'onglet « Paramètres > Compte » de l'application, ou exercer ces droits en écrivant via le formulaire de contact. Nous répondons dans un délai maximum d'un mois. En cas de refus motivé, vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, 75007 Paris) ou saisir une autorité judiciaire.

Statistiques agrégées et anonymisées

ATMYS peut établir, à partir des données traitées dans le cadre du service, des statistiques agrégées et anonymisées, sous un plancher d'agrégation qui lui est propre : jamais de statistique fondée sur un groupe de moins de 5 personnes ni sur les données de moins de 5 entreprises distinctes, et jamais de contenus de réponses libres. Ces statistiques servent à l'amélioration du service, à des indicateurs de comparaison sectorielle et à des communications sous forme d'agrégats uniquement ; aucune personne ni aucune organisation cliente n'est identifiable. En aucun cas les données des clients ne sont utilisées pour entraîner des modèles d'intelligence artificielle.

Le simulateur de coût des RPS

Le simulateur de coût des RPS effectue tous ses calculs dans votre navigateur : aucune donnée saisie n'est transmise ni conservée.

Le widget de conversation

Le widget de conversation stocke un identifiant technique (chat_id) dans le localStorage de votre navigateur pour maintenir le fil de la conversation ; il n'est créé qu'au moment où vous envoyez votre premier message. Ce n'est pas un cookie publicitaire. Les messages que vous envoyez sont conservés sur nos serveurs pendant 90 jours puis supprimés automatiquement ; ils sont également transmis par e-mail à notre équipe support (via Mailgun, point de présence Union européenne) pour vous répondre.

Cookies

Le site et l'application utilisent uniquement des cookies et un stockage local strictement nécessaires à leur fonctionnement (session, authentification, préférences). La mesure d'audience est interne, sans cookie tiers ni recoupement. Ici, pas de cookie publicitaire tiers.