Conditions générales d'utilisation

Article 1 — Objet

BySince est une plateforme en ligne de cartographie des compétences éditée par [à compléter] (ci-après « Since & Co » ou « l'éditeur »). Elle permet à une organisation de décrire ses activités et ses savoir-faire, de construire des parcours d'apprentissage, de suivre la progression de ses apprenants, de tenir un carnet de compétences et de délivrer des badges numériques.

Les présentes conditions générales d'utilisation (« CGU ») fixent les règles d'accès et d'utilisation de la plateforme BySince et de l'application mobile « Cartographe ». Elles s'appliquent à toute personne qui dispose d'un compte.

Les conditions commerciales (prix, durée, niveaux de service) relèvent du contrat conclu entre Since & Co et l'organisation cliente. En cas de contradiction, ce contrat prévaut sur les CGU pour les relations entre Since & Co et cette organisation.

Article 2 — Définitions

• Plateforme : le service BySince accessible par un navigateur, ses interfaces d'administration et l'application mobile Cartographe.
• Éditeur : [à compléter], identifiée dans les mentions légales.
• Organisation cliente : la personne morale (entreprise, établissement, association, collectivité…) qui a souscrit à la plateforme pour ses besoins, y compris ses filiales ou entités rattachées lorsqu'elle en a créé.
• Utilisateur : toute personne physique titulaire d'un compte, quel que soit son rôle. Dans les CGU, « vous » désigne l'utilisateur.
• Administrateur : l'utilisateur désigné par l'organisation cliente pour gérer son espace : comptes, droits, contenus, paramètres, clés d'API d'IA.
• Cartographe : l'utilisateur qui décrit les activités de l'organisation ; par extension, l'application mobile du même nom, qui sert à recueillir ces informations sur le terrain.
• Tuteur : l'utilisateur qui accompagne un ou plusieurs apprenants, suit leur progression, valide leurs acquis et peut délivrer des badges.
• Apprenant : l'utilisateur inscrit à un parcours d'apprentissage ou dont les compétences sont suivies sur la plateforme.
• Système d'information des compétences (SIC) : l'ensemble structuré des thèmes, fiches d'activité, sous-activités, modes opératoires et contextes qui décrivent le travail d'une organisation.
• Contenu : toute information déposée, saisie, importée ou produite sur la plateforme par une organisation cliente ou un utilisateur : textes, fiches, parcours, évaluations, bilans, documents, images, enregistrements sonores, photographies, vidéos, badges.
• Intelligence artificielle (IA) : toute fonctionnalité qui produit automatiquement un résultat (texte, transcription, image, classement, proposition) à l'aide d'un modèle d'apprentissage automatique, qu'il soit exécuté sur les serveurs de la plateforme ou chez un fournisseur tiers.
• Fournisseur d'IA : le tiers qui exécute un modèle d'IA sur ses propres serveurs (voir l'article 13).
• Clé d'API : le secret délivré par un fournisseur d'IA à son client, qui permet d'utiliser son service et d'en être facturé.
• Contenu généré : tout résultat produit ou modifié par une fonctionnalité d'IA.

Article 3 — Acceptation et opposabilité

L'utilisation de la plateforme suppose l'acceptation des CGU.

1. À votre première connexion, puis à chaque nouvelle version des CGU, la plateforme vous présente un écran d'acceptation. Il indique le document à accepter, sa version et sa date d'entrée en vigueur, avec un lien vers le texte intégral ; les versions antérieures, lorsqu'il en existe, sont consultables depuis ce texte. Vous acceptez en cochant une case puis en validant. Tant que vous n'avez pas accepté, vous ne pouvez pas accéder à l'application web. La déconnexion, les pages légales et les étapes de sécurité du compte restent accessibles. L'application mobile Cartographe ne présente pas cet écran, mais elle ne fonctionne pas tant que vous n'avez pas accepté la version en vigueur sur le site web (voir l'article 9).
2. Votre acceptation est enregistrée : votre compte, le document accepté, sa version, la date et l'heure, et la langue dans laquelle le texte vous a été présenté. Cette preuve (document, version, date et langue) est conservée pendant la durée de votre compte, puis 5 ans après sa suppression, sous une forme pseudonymisée : une empreinte à clé de votre identifiant de connexion, sans nom ni adresse e-mail. L'administrateur de votre organisation peut consulter et exporter l'état d'acceptation des utilisateurs de son organisation.
3. Un administrateur qui se connecte temporairement à la place d'un utilisateur à des fins d'assistance ne peut pas accepter les CGU au nom de cet utilisateur.
4. Les CGU sont disponibles en plusieurs langues. Seule la version française fait foi. Les autres versions sont des traductions de courtoisie.
5. L'acceptation des CGU est distincte du consentement à l'utilisation de l'IA, décrit à l'article 16.

Les mentions légales, la politique de confidentialité, la page relative aux cookies et l'accord de sous-traitance sont consultables librement. Seules les CGU font l'objet d'une acceptation tracée.

Article 4 — Évolution des CGU

Since & Co peut faire évoluer les CGU, notamment pour tenir compte d'une nouvelle fonctionnalité, d'un nouveau fournisseur ou d'une évolution du droit.

1. Chaque version porte un numéro et une date d'entrée en vigueur.
2. Les versions antérieures restent consultables en ligne.
3. La version initiale des CGU vous est présentée dès la mise en service de l'acceptation sur la plateforme, même si sa date d'entrée en vigueur est postérieure. Toute version suivante vous est présentée à compter de sa date d'entrée en vigueur, à la première page que vous ouvrez ensuite. Dans les deux cas, elle doit être acceptée pour continuer à utiliser la plateforme.
4. Si vous refusez une nouvelle version, vous ne pouvez plus utiliser la plateforme. Rapprochez-vous alors de l'administrateur de votre organisation.

Article 5 — Comptes

5.1. Création

La plateforme ne propose pas d'inscription libre. Votre compte est créé par votre organisation (son administrateur) ou, à sa demande, par Since & Co. L'organisation décide qui accède à son espace et avec quels droits.

5.2. Rôles et droits

Vos droits dépendent du ou des rôles que votre organisation vous attribue : utilisateur ou apprenant, consultation, tuteur, gestionnaire, administrateur, ainsi que des droits particuliers, par exemple en matière de ressources humaines. Certains membres du personnel de Since & Co disposent de rôles d'exploitation et de support qui leur permettent d'intervenir sur l'ensemble des organisations, dans les limites prévues à l'article 6.

Les données de chaque organisation sont cloisonnées : un utilisateur n'accède qu'aux données des organisations auxquelles il est rattaché.

5.3. Sécurité du compte

• Mot de passe. Il doit comporter au moins 8 caractères, dont une majuscule, une minuscule, un chiffre et un caractère spécial. Il est conservé sous une forme hachée : ni l'éditeur ni votre organisation ne peuvent le lire.
• Renouvellement. Vous devez changer votre mot de passe à votre première connexion, puis tous les deux mois. À l'échéance, la plateforme vous le demande avant tout autre accès.
• Double authentification. Vous pouvez activer une seconde étape de connexion : un code produit par une application d'authentification, ou un code à six chiffres reçu par e-mail. Nous vous recommandons de l'activer. Vous pouvez déclarer un appareil « de confiance » pour ne plus saisir ce code sur cet appareil pendant 30 jours.
• Historique. La plateforme enregistre la date de vos connexions, l'adresse IP et le navigateur utilisés, à des fins de sécurité.

Vous gardez vos identifiants secrets. Vous informez sans délai l'administrateur de votre organisation de toute perte, de tout vol ou de toute utilisation anormale de votre compte.

5.4. Usage personnel

Votre compte est strictement personnel. Vous ne le partagez pas et vous ne le cédez pas. Toute action réalisée depuis votre compte est réputée réalisée par vous.

L'administrateur de votre organisation peut, à des fins d'assistance, se connecter temporairement « en tant que » un utilisateur de son organisation. Cette faculté relève de la responsabilité de l'organisation, qui en informe ses utilisateurs.

5.5. Suspension et suppression

Votre organisation peut à tout moment désactiver ou supprimer votre compte. Since & Co peut suspendre un compte, sans préavis en cas d'urgence, lorsque ce compte compromet la sécurité de la plateforme, enfreint gravement les CGU ou sert à un usage illicite. Elle en informe l'organisation cliente.

Les effets de la suppression d'un compte sur les données sont décrits dans la politique de confidentialité.

Article 6 — Rôles respectifs de Since & Co et de l'organisation cliente

1. L'organisation cliente est responsable de traitement des données personnelles de ses utilisateurs et des personnes mentionnées ou enregistrées dans ses contenus. Elle décide des finalités et des moyens : qui a un compte, quelles compétences sont suivies, quelles évaluations sont menées, quels badges sont délivrés, quelles fonctionnalités d'IA sont utilisées.
2. Since & Co est éditeur de la plateforme et sous-traitant au sens de l'article 28 du règlement général sur la protection des données (RGPD). Elle traite ces données pour le compte de l'organisation cliente et sur ses instructions, dans les conditions de l'accord de sous-traitance.
3. Since & Co est responsable de traitement pour les seules données qu'elle traite pour son propre compte : gestion de la relation contractuelle, sécurité de la plateforme, preuve de l'acceptation des CGU, journal d'usage de l'IA. Voir la politique de confidentialité.
4. L'organisation cliente informe ses utilisateurs, et plus largement les personnes concernées, des traitements qu'elle met en œuvre sur la plateforme. Elle respecte ses obligations propres, en particulier en droit du travail : information et, le cas échéant, consultation des représentants du personnel ; information préalable des salariés sur les dispositifs d'évaluation.
5. Pour exercer vos droits sur vos données, adressez-vous d'abord à votre organisation. Since & Co l'assiste pour vous répondre.

Article 7 — Usages autorisés et usages interdits

7.1. Usages autorisés

Vous utilisez la plateforme pour les besoins professionnels ou de formation de votre organisation, dans la limite de vos droits et conformément aux CGU et aux lois applicables.

7.2. Usages interdits

Il vous est interdit :

• d'accéder ou de tenter d'accéder à des données ou à des espaces auxquels vous n'avez pas droit, notamment ceux d'une autre organisation ;
• de contourner ou de tester sans autorisation les mesures de sécurité, de perturber le service, d'y introduire un programme malveillant ;
• d'extraire massivement des données, par un robot ou tout autre procédé automatisé, en dehors des fonctions d'export prévues ;
• de décompiler ou de copier la plateforme, ou de l'utiliser pour développer un service concurrent ;
• de déposer un contenu illicite, diffamatoire, injurieux, discriminatoire, portant atteinte à la vie privée, au droit à l'image, au secret des affaires ou aux droits de propriété intellectuelle d'un tiers ;
• d'usurper l'identité d'un tiers ou d'utiliser le compte d'un autre utilisateur ;
• d'utiliser la plateforme pour surveiller des personnes à leur insu, ou pour toute finalité étrangère à la gestion des activités, des compétences et de la formation ;
• de revendre ou de mettre à disposition de tiers votre accès, sans accord écrit de Since & Co.

Les usages interdits propres à l'IA figurent à l'article 24.

Article 8 — Contenus déposés

8.1. Propriété et licence d'utilisation

L'organisation cliente et ses utilisateurs restent titulaires de leurs droits sur leurs contenus. L'organisation cliente concède à Since & Co, pour la durée du contrat et pour le monde entier, une licence non exclusive, gratuite et limitée aux seuls besoins du service : héberger, reproduire, sauvegarder, afficher aux utilisateurs habilités, convertir (formats d'image, PDF, traduction d'interface), et transmettre aux sous-traitants strictement nécessaires, dont les fournisseurs d'IA lorsque ces fonctionnalités sont utilisées.

Since & Co n'utilise pas les contenus d'une organisation pour une autre finalité. En particulier, elle ne les communique pas à une autre organisation et ne les utilise pas pour entraîner des modèles d'IA (voir l'article 20).

8.2. Garanties de l'utilisateur et de l'organisation

Vous garantissez que vous disposez des droits et des autorisations nécessaires sur les contenus que vous déposez : droits d'auteur, droit à l'image et à la voix des personnes, autorisation de votre employeur ou du site visité, respect du secret des affaires. Vous ne déposez que des contenus utiles à la finalité de la plateforme.

8.3. Modération

Since & Co n'exerce pas de contrôle préalable sur les contenus. L'organisation cliente modère les contenus de son espace. Since & Co peut retirer ou rendre inaccessible un contenu manifestement illicite dont elle a connaissance, notamment à la suite d'un signalement. Elle en informe l'organisation cliente.

8.4. Images issues de banques d'images

Lorsque vous importez une image depuis une banque d'images tierce, vous respectez la licence et les conditions de cette banque. La recherche transmet à la banque d'images les mots-clés saisis. Voir les crédits.

8.5. Partages à l'extérieur de l'organisation

Certaines fonctions ouvrent un contenu à des personnes extérieures : relecture d'une fiche par un expert au moyen d'un lien sécurisé, partage d'un parcours avec une filiale, page publique d'un badge. L'organisation cliente décide de ces partages et en répond.

Article 9 — Application mobile Cartographe

9.1. Objet

L'application Cartographe sert à recueillir sur le terrain la matière des fiches d'activité : enregistrements sonores d'entretiens et d'explications, photographies, vidéos. Ces captures sont ensuite synchronisées avec l'espace de l'organisation sur la plateforme. L'accès à l'application est ouvert par l'organisation cliente ; il peut être révoqué à tout moment. Tant que vous n'avez pas accepté la version en vigueur des CGU sur le site web, l'application ne fonctionne pas : la plateforme refuse ses demandes avec un message qui vous renvoie vers le site ; seules la connexion, la déconnexion et la consultation de votre état d'acceptation restent possibles.

9.2. Information et accord des personnes enregistrées

Une capture contient presque toujours des données personnelles : la voix, l'image, les propos de personnes identifiables. Avant toute capture, vous devez :

1. informer clairement chaque personne concernée de l'enregistrement, de sa finalité (décrire une activité pour la cartographie des compétences), des personnes qui y auront accès, de sa durée de conservation et de ses droits ;
2. l'informer, lorsque c'est le cas, que l'enregistrement pourra être transcrit et analysé par une IA, y compris chez un fournisseur tiers (voir l'article 13) ;
3. recueillir son accord selon les règles fixées par votre organisation, et respecter son refus ;
4. ne jamais enregistrer une personne à son insu.

L'organisation cliente, responsable de traitement, définit la base légale de ces captures, les modalités d'information et, le cas échéant, les formulaires d'autorisation.

9.3. Droit à l'image et à la voix

Vous ne photographiez, ne filmez et n'enregistrez une personne qu'avec son autorisation. Vous cadrez les prises de vue sur le geste professionnel et évitez de capter des personnes étrangères à l'activité décrite, des mineurs, des écrans, des documents ou des badges nominatifs.

9.4. Sites, secrets industriels et sécurité

Vous ne réalisez de captures sur un site qu'avec l'autorisation de son exploitant. Vous respectez les zones où les prises de vue sont interdites, les consignes de sécurité, le secret des affaires, les secrets de fabrication et les obligations de confidentialité ou de classification applicables. Vous ne captez pas d'informations sans rapport avec l'activité décrite.

9.5. Chiffrement des captures

Lorsque l'organisation cliente a activé le chiffrement des captures :

• chaque capture est chiffrée sur l'appareil avec une clé aléatoire propre à cette capture (AES-256-GCM) ;
• cette clé est elle-même chiffrée avec la clé publique de l'organisation (RSA-OAEP) ; seule la clé privée correspondante permet de la retrouver ;
• la clé privée de l'organisation n'est jamais transmise à l'application. Elle est conservée sur les serveurs de la plateforme, chiffrée au repos (AES-256-GCM) ;
• les captures restent donc chiffrées sur l'appareil et pendant leur transport. Elles sont déchiffrées par le serveur de la plateforme au moment de la synchronisation, pour pouvoir être écoutées, affichées, transcrites et transformées en fiches.

Ce dispositif protège les captures contre la perte ou le vol de l'appareil et contre une interception pendant le transport. Il ne s'agit pas d'un chiffrement dont l'éditeur ne détiendrait pas les clés : une fois synchronisées, les captures sont lisibles par la plateforme et par les utilisateurs habilités de l'organisation. Lorsque le chiffrement n'est pas activé, les captures sont protégées pendant leur transport par le chiffrement de la connexion (HTTPS).

9.6. Appareil

Vous protégez l'appareil sur lequel l'application est installée (code de verrouillage, mises à jour). En cas de perte ou de vol, vous prévenez sans délai l'administrateur, qui peut révoquer l'accès de l'appareil.

Article 10 — Open Badges

1. Objet. Un tuteur peut délivrer à un apprenant qui a terminé un parcours un badge numérique au standard ouvert Open Badges. Le badge atteste la réussite du parcours au nom de l'organisation émettrice.
2. Caractère public et durable. Chaque badge dispose d'une page et de données de vérification accessibles publiquement sur internet, sans connexion, à une adresse permanente et non devinable. Ces informations sont conçues pour durer : elles restent en ligne après la fin du parcours et après la suppression du compte de l'apprenant, afin que le badge reste vérifiable par un tiers (employeur, organisme de formation).
3. Données publiées. La page publique présente le badge et son visuel, les compétences qu'il atteste, l'organisation émettrice et la date de délivrance. L'adresse e-mail de l'apprenant n'y figure jamais en clair : seule une empreinte salée de cette adresse est publiée. Elle permet à une personne qui connaît déjà l'adresse de vérifier que le badge lui correspond. L'apprenant est libre de partager son badge, et donc de révéler qu'il en est le titulaire.
4. Accord de l'apprenant. Un badge n'est délivré qu'après recueil de l'accord de l'apprenant sur cette publication. Le tuteur atteste de cet accord au moment de la délivrance ; la date en est enregistrée. Le tuteur ne coche pas cette case sans avoir réellement informé l'apprenant et obtenu son accord.
5. Révocation. Le tuteur peut révoquer un badge en indiquant un motif, de sa propre initiative ou à la demande de l'apprenant. Les données de vérification publiques indiquent alors que le badge est révoqué et ne le présentent plus comme valide. Le motif saisi est affiché sur la page publique du badge : le tuteur le rédige de façon neutre, sans donnée personnelle ni appréciation sur l'apprenant. La révocation est le moyen par lequel l'apprenant obtient le retrait de son badge. Elle est sans effet sur les copies que des tiers auraient déjà réalisées.

Article 11 — Cadre de l'utilisation de l'IA : principes

Les articles 11 à 24 forment le cadre de l'utilisation de l'IA sur la plateforme. Ils s'appliquent à toute fonctionnalité d'IA, présente ou future. Quatre principes les résument :

1. Transparence. Vous savez quelles fonctionnalités reposent sur une IA, quel fournisseur est sollicité et quelles données lui sont transmises.
2. Maîtrise. L'IA est facultative. Votre organisation peut la désactiver. Vous donnez ou retirez librement votre consentement. Hors exploitation par l'éditeur, aucun appel à un fournisseur tiers n'est fait sans une clé d'API fournie par vous ou par votre organisation.
3. Supervision humaine. Une sortie d'IA est une proposition. Un humain décide.
4. Minimisation. On ne soumet à l'IA que ce qui est nécessaire, et jamais certaines catégories de données.

L'inventaire ci-dessous est tenu à jour à chaque version des CGU. Toute nouvelle fonctionnalité d'IA ou tout nouveau fournisseur donne lieu à une nouvelle version.

Article 12 — Inventaire des fonctionnalités d'IA

Ce qui ne repose pas sur une IA générative

• Traduction des contenus. La plateforme ne traduit pas automatiquement les contenus des organisations. Les traductions des contenus de démonstration fournis par l'éditeur ont été préparées à l'avance et relues ; aucun contenu d'organisation n'est envoyé à un service de traduction.
• Titres des images importées. Le titre d'une image importée depuis une banque d'images peut être traduit en français par le service de traduction automatique MyMemory. Seul ce titre, qui provient de la banque d'images, est transmis.
• Avatars. Les avatars par défaut sont des motifs graphiques, produits sans IA. Lorsqu'ils sont générés par le service DiceBear, seule une valeur aléatoire hachée lui est transmise : ni nom, ni adresse e-mail.
• Bilans, polyvalence, progression. Ces écrans reposent sur des calculs et des règles déterminés, non sur une IA.

Article 13 — Fournisseurs d'IA et données transmises

Ces fonctionnalités ne transmettent ni votre nom, ni votre adresse e-mail, ni votre identifiant. En revanche, le contenu lui-même peut contenir des données personnelles : propos et voix d'une personne enregistrée, nom d'un collègue cité dans un mode opératoire. C'est pourquoi l'article 19 encadre ce qui peut être soumis.

Localisation et transferts hors de l'Union européenne

Ces fournisseurs sont des sociétés établies hors de l'Union européenne, pour la plupart aux États-Unis, ou susceptibles de traiter les données hors de l'Union. L'utilisation d'une fonctionnalité qui les sollicite peut donc entraîner un transfert de données hors de l'Union européenne.

La localisation du traitement, les garanties de transfert (décision d'adéquation, clauses contractuelles types), les durées de conservation et l'usage éventuel des données dépendent des conditions du fournisseur et de l'offre souscrite par le titulaire de la clé d'API. Since & Co ne les maîtrise pas et ne prend aucun engagement à la place du fournisseur. Consultez ces conditions avant d'utiliser une fonctionnalité. L'organisation cliente, responsable de traitement, vérifie que ces conditions sont compatibles avec ses obligations avant d'enregistrer une clé ou d'autoriser l'IA.

Article 14 — Ce qui est traité localement, ce qui part chez un tiers

14.1. Traitements réalisés sur les serveurs de la plateforme

• la suggestion de compétences, y compris sa partie sémantique : les vecteurs sont calculés par un programme de l'éditeur, avec un modèle ouvert exécuté sur le serveur ;
• l'extraction lexicale de mots-clés ;
• la transcription audio par Whisper ou WhisperX, lorsqu'ils sont installés sur le serveur, y compris la séparation des locuteurs.

Pour ces traitements, aucune donnée ne quitte la plateforme. Les modèles sont seulement téléchargés depuis Hugging Face lors de leur installation.

14.2. Traitements réalisés chez un fournisseur tiers

Toutes les autres fonctionnalités de l'article 12 transmettent des données à un fournisseur tiers. La transcription audio ne part chez OpenAI que si l'outil local est indisponible ou échoue, et si une clé OpenAI est disponible ; sinon, elle est simplement indisponible.

14.3. Outils de l'éditeur exécutés sur le serveur mais reliés à un fournisseur

En exploitation, Since & Co peut utiliser les outils « Claude Code » (Anthropic) et « Codex » (OpenAI). Ces programmes sont installés sur le serveur, mais ils ne traitent rien localement : ils transmettent les données au fournisseur correspondant, sur le compte de Since & Co. Ils constituent donc un traitement chez un tiers. Ils ne sont jamais utilisés avec la clé d'un client : avec une clé de client, l'appel passe toujours par l'interface de programmation du fournisseur.

Tous les traitements d'exploitation lancés par Since & Co avec ses propres moyens (ces outils ou la configuration de la plateforme) sont inscrits au journal d'usage décrit à l'article 22.1, avec la mention « plateforme » comme clé utilisée, sans utilisateur, et avec l'organisation traitée. Ils respectent le réglage « IA pour l'organisation » de l'article 23 : un traitement visant une organisation qui a désactivé l'IA est refusé avant tout envoi. Ils ne relèvent pas du consentement individuel, sauf lorsqu'ils sont réalisés au nom d'un utilisateur, avec ses clés : ils exigent alors son consentement. Limite à connaître : un traitement global portant sur l'ensemble des organisations n'est pas soumis au réglage de chacune d'elles ; il n'est lancé que dans les conditions de l'article 23.

Les contenus produits par ces traitements (glossaire, description et consigne métier de l'organisation, mots-clés) sont enregistrés directement, sans validation préalable, et portent la marque « généré par IA » décrite à l'article 17. L'organisation les relit et les corrige dans l'administration ; la première modification retire la marque.

14.4. L'écran vous indique ce qui va se passer

Le lecteur de session indique, avant tout lancement, si la transcription sera locale ou quelle clé sera utilisée (la vôtre, celle de l'organisation), et s'il n'en existe aucune.

Article 15 — Clés d'API fournies par l'utilisateur ou par son organisation

15.1. Principe

Les fonctionnalités d'IA qui sollicitent un fournisseur tiers fonctionnent avec votre clé d'API ou avec celle de votre organisation. Vous enregistrez vos clés dans « Mes clés IA » (profil) ; l'administrateur enregistre celles de l'organisation dans « Clés IA de l'organisation ». Quatre fournisseurs sont pris en charge : Anthropic, OpenAI, Google Gemini et Stability AI. Une seule clé par fournisseur et par titulaire : en enregistrer une nouvelle remplace la précédente.

15.2. Ordre d'utilisation des clés

1. votre clé personnelle, si elle existe, si elle est active et si l'organisation dans laquelle vous travaillez n'a pas interdit les clés personnelles (article 23) ;
2. à défaut, la clé active de l'organisation dans laquelle vous travaillez ;
3. à défaut, la fonctionnalité est indisponible et aucun appel n'est adressé au fournisseur. La plateforme ne se rabat jamais sur les clés de Since & Co pour un utilisateur ou une organisation cliente.

Une clé désactivée est ignorée, comme si elle n'existait pas. Pour un traitement réalisé sans utilisateur pour le compte d'une organisation, seule la clé de cette organisation est utilisée. Lorsque l'organisation interdit les clés personnelles, votre clé personnelle n'est jamais utilisée dans cette organisation : seule la clé de l'organisation sert et, sans clé d'organisation, la fonctionnalité est indisponible. Vos clés personnelles restent enregistrées et utilisables dans vos autres organisations.

Exception : exploitation par l'éditeur. Les traitements lancés par Since & Co en exploitation, et les actions des membres de son personnel disposant d'un rôle d'exploitation, utilisent les moyens de Since & Co (ses propres clés ou les outils décrits à l'article 14.3), à ses frais. Les clés personnelles de ces personnes ne sont alors pas utilisées. Les fournisseurs concernés agissent dans ce cas comme sous-traitants ultérieurs de Since & Co ; ils figurent à l'annexe de l'accord de sous-traitance.

15.3. Des requêtes exécutées sur le compte du titulaire de la clé

• Les requêtes partent sur le compte que le titulaire de la clé détient chez le fournisseur. Le titulaire en supporte le coût. La plateforme ne suit ni les coûts ni les quotas : la facturation est celle du fournisseur.
• En enregistrant une clé, le titulaire déclare avoir accepté les conditions du fournisseur et s'engage à les respecter, y compris ses règles d'usage.
• L'administrateur qui enregistre une clé d'organisation accepte que tous les utilisateurs de l'organisation sans clé personnelle l'utilisent, aux frais de l'organisation.
• Si vous utilisez une clé personnelle pour traiter des données de votre organisation, vous vous assurez que votre organisation l'autorise, par ses règles internes et par le réglage de l'article 23 : ces données seront traitées sur votre compte personnel chez le fournisseur.
• Le titulaire répond de la validité de sa clé (crédit, quota, droits) et de sa confidentialité en dehors de la plateforme. En cas de doute sur une fuite, il la révoque chez le fournisseur, puis la supprime ou la remplace sur la plateforme.

15.4. Protection des clés

• La clé est chiffrée dès son enregistrement (AES-256-GCM), avec une clé maîtresse conservée sur le serveur, hors de la base de données.
• Elle n'est plus jamais affichée, à personne. Seuls ses quatre derniers caractères restent visibles, pour vous permettre de la reconnaître.
• Elle n'est déchiffrée qu'en mémoire, le temps d'un appel. Elle n'est écrite ni dans les journaux techniques, ni dans le journal d'audit, ni dans les exports.
• Vos clés personnelles ne sont visibles et gérables que par vous. Aucun rôle n'y déroge : ni l'administrateur de votre organisation, ni le personnel de Since & Co ne peuvent les consulter, les utiliser à votre place, les tester ou les supprimer depuis l'interface. Elles vous suivent si vous changez d'organisation et sont supprimées avec votre compte.
• Les clés d'organisation sont gérées par les administrateurs de cette seule organisation. L'ajout, le remplacement, l'activation, la désactivation et la suppression d'une clé sont inscrits au journal d'audit, sans la clé.
• Lorsqu'une organisation est supprimée, ses clés sont supprimées et ne figurent dans aucun export.
• Le bouton « Tester » adresse au fournisseur une requête minimale, sans aucun contenu, pour vérifier la validité de la clé. Seul le résultat est conservé.

Limite à connaître : le chiffrement au repos protège les clés en cas de fuite de la base de données. Il ne protège pas d'une compromission complète du serveur, qui détient la clé maîtresse.

15.5. Ce que Since & Co voit et ne voit pas

Since & Co enregistre des métadonnées d'usage, décrites à l'article 22. Le journal d'usage ne contient ni la demande, ni la réponse, ni la clé. Les échanges avec le fournisseur transitent par les serveurs de la plateforme, qui construisent la demande et reçoivent la réponse ; les cas où un contenu est conservé sont énumérés à l'article 22. L'administrateur de votre organisation ne voit pas davantage vos clés personnelles : il peut seulement en interdire l'usage dans son organisation (article 23).

15.6. Aucune garantie sur les services tiers

Since & Co ne garantit ni la disponibilité, ni les performances, ni la pérennité, ni les tarifs des services des fournisseurs d'IA. Un fournisseur peut modifier ou retirer un modèle, refuser une requête ou limiter un débit. L'indisponibilité d'un fournisseur ou d'une clé ne constitue pas un manquement de Since & Co.

Article 16 — Consentement à l'utilisation de l'IA

1. L'utilisation des fonctionnalités d'IA que vous déclenchez suppose votre consentement spécifique, distinct de l'acceptation des CGU. Il vaut aussi pour celles qui s'exécutent sur les serveurs de la plateforme sans clé ni fournisseur tiers, comme la transcription audio locale. Seules la suggestion de compétences et l'extraction lexicale de mots-clés n'y sont pas soumises. Vous pouvez utiliser la plateforme sans le donner : seules les fonctionnalités soumises au consentement vous seront alors fermées.
2. Vous donnez et retirez ce consentement à tout moment depuis votre profil, page « Consentement à l'IA ». Le retrait est aussi simple que l'accord.
3. La plateforme enregistre la date de votre accord, la version des CGU en vigueur à cette date et, le cas échéant, la date de son retrait. Cette preuve est conservée pendant la durée de votre compte, puis 5 ans après sa suppression, sous la même forme pseudonymisée que la preuve d'acceptation des CGU (article 3).
4. Le consentement est vérifié avant chaque appel. Sans consentement actif, l'appel est refusé : rien n'est transmis à un fournisseur et aucune transcription locale n'est lancée. Cette règle s'applique à tout utilisateur, y compris au personnel de l'éditeur lorsqu'il agit depuis son compte.
5. Le retrait vaut pour l'avenir. Il est sans effet sur les traitements déjà réalisés et sur les contenus déjà enregistrés.
6. Ce consentement est celui de l'utilisateur qui déclenche la fonctionnalité. Il ne remplace ni l'information ni l'accord des personnes dont les propos ou l'image figurent dans les contenus (voir l'article 9.2).
7. Les traitements lancés par Since & Co en exploitation, sans compte utilisateur, ne relèvent pas de ce consentement individuel. Ils sont réalisés sur instruction de l'organisation cliente, dans le cadre de l'accord de sous-traitance.

Article 17 — Transparence

Conformément au règlement (UE) 2024/1689 sur l'intelligence artificielle :

1. Vous savez quand vous utilisez une IA. Les fonctionnalités d'IA sont déclenchées par une action explicite, sur des écrans qui les désignent comme telles : lecteur de session (« L'IA analyse la transcription », « Fiche SIC générée »), écran « Revue IA », pages « Mes clés IA » et « Clés IA de l'organisation ». La plateforme ne comporte pas d'agent conversationnel.
2. Les propositions de l'IA sont signalées comme telles tant qu'elles sont des propositions. Dans l'écran « Revue IA », chaque proposition est présentée comme issue de l'IA, avec sa justification et son niveau de confiance. Dans le lecteur de session, les fiches produites sont présentées comme générées.
3. Un contenu écrit par une IA porte une marque « généré par IA ». Les fiches enregistrées à partir d'une transcription, les propositions de la Revue IA appliquées, ainsi que le glossaire, la description, la consigne métier et les mots-clés produits par les traitements de l'article 14.3 sont enregistrés avec la date de leur génération et le fournisseur et le modèle utilisés. Cette marque est affichée par un badge sur les fiches, dans le glossaire et dans l'administration. Elle disparaît dès qu'un utilisateur modifie le contenu : celui-ci devient alors celui de l'organisation, sous la responsabilité de celui qui l'a relu. Il appartient à l'organisation d'indiquer cette origine lorsqu'une règle ou un usage l'exige, en particulier si elle diffuse le contenu à l'extérieur.
4. Les images générées doivent être présentées comme telles par celui qui les publie, lorsqu'elles pourraient être prises pour des images réelles.

Limites de l'IA

Une IA générative peut :

• se tromper, y compris avec assurance, et inventer des faits, des normes, des références ou des étapes (« hallucinations ») ;
• omettre une étape, une consigne de sécurité ou un point de vigilance ;
• mal transcrire un mot, un nom propre, un chiffre, un terme technique, ou attribuer des propos au mauvais locuteur ;
• reproduire des biais présents dans ses données d'entraînement ;
• produire des résultats différents pour une même demande ;
• produire un contenu proche d'une œuvre existante.

Ces limites sont particulièrement importantes pour les modes opératoires et les consignes de sécurité : un contenu généré ne doit jamais être mis en pratique sans avoir été vérifié par une personne compétente.

Article 18 — Supervision humaine et absence de décision automatisée

1. Une sortie d'IA est une proposition. Elle n'a aucune valeur tant qu'une personne habilitée ne l'a pas relue et validée. Dans la Revue IA, rien n'est écrit dans le SIC tant qu'un administrateur de la plateforme, membre du personnel de Since & Co agissant sur mandat de l'organisation, n'a pas appliqué la proposition ; le contenu appliqué reste marqué « généré par IA » (article 17) jusqu'à ce que l'organisation le relise et le modifie.
2. Restent toujours décidés par un humain : la publication d'une fiche ou d'un parcours ; l'association d'une compétence à une activité, à un parcours ou à une personne ; la validation d'un acquis ; toute évaluation ; tout bilan ; la délivrance ou la révocation d'un badge ; toute décision en matière de ressources humaines.
3. Aucune décision individuelle automatisée. La plateforme ne prend, au moyen de l'IA, aucune décision produisant des effets juridiques à l'égard d'une personne ou l'affectant de manière significative, au sens de l'article 22 du RGPD. À la date de cette version, aucune fonctionnalité d'IA n'évalue, ne note, ne classe ni ne compare des personnes : les fonctionnalités d'IA portent sur la description du travail (activités, modes opératoires, connaissances, glossaire), non sur les individus.
4. L'organisation cliente et ses utilisateurs s'interdisent d'utiliser une sortie d'IA comme fondement unique d'une décision concernant une personne : recrutement, affectation, rémunération, promotion, sanction, rupture du contrat, accès à une formation, délivrance d'une certification.
5. La personne qui valide dispose de la compétence et du temps nécessaires pour exercer un contrôle réel. Une validation de pure forme ne répond pas à cette exigence.

Article 19 — Données à ne pas soumettre à l'IA

Vous ne soumettez pas à une fonctionnalité d'IA qui sollicite un fournisseur tiers :

• des données sensibles : santé, handicap, origine, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, vie ou orientation sexuelle, données génétiques ou biométriques, condamnations et infractions ;
• des données relatives à des personnes qui n'ont pas été informées que leurs propos, leur voix ou leur image pourraient être traités par une IA ;
• des secrets d'affaires, des secrets de fabrication ou des informations confidentielles ou classifiées, sans l'autorisation de leur détenteur ;
• des données relatives à des mineurs ;
• des identifiants, mots de passe, clés d'API, numéros de sécurité sociale, coordonnées bancaires ;
• des appréciations sur le comportement ou la performance d'une personne identifiable.

Bonnes pratiques

• Minimiser : ne soumettre que les enregistrements et les textes utiles. Arrêtez l'enregistrement pendant les échanges sans rapport avec l'activité.
• Pseudonymiser : désigner les personnes par leur fonction (« l'opérateur », « le chef d'équipe ») plutôt que par leur nom, dans les entretiens comme dans les fiches.
• Relire avant de soumettre : relisez la transcription avant de lancer la conversion en fiches ; c'est son texte intégral qui est transmis.
• Préférer le traitement local lorsqu'il est disponible.

La plateforme ne filtre pas automatiquement ces données. Le respect de cet article repose sur l'utilisateur et sur son organisation.

Article 20 — Entraînement des modèles

1. Since & Co n'entraîne aucun modèle d'IA avec les contenus des organisations clientes et ne les utilise pas pour améliorer des modèles, les siens ou ceux de tiers.
2. Les traitements locaux utilisent des modèles ouverts préentraînés, exécutés tels quels. Les vecteurs sémantiques calculés à partir des contenus d'une organisation servent uniquement à la suggestion de compétences ; ils restent sur la plateforme.
3. L'usage que fait un fournisseur tiers des données qu'il reçoit dépend de ses conditions et de l'offre souscrite par le titulaire de la clé. Les conditions applicables aux interfaces de programmation diffèrent souvent de celles des offres grand public, et peuvent évoluer. Since & Co ne prend aucun engagement au nom d'un fournisseur. Le titulaire de la clé vérifie ce point, fournisseur par fournisseur, et règle les paramètres de son compte en conséquence.
4. Pour les traitements réalisés avec les moyens de Since & Co, les engagements obtenus des fournisseurs figurent à l'annexe de l'accord de sous-traitance.

Article 21 — Propriété et responsabilité des contenus générés

1. Titularité. Since & Co ne revendique aucun droit sur les contenus générés. Entre Since & Co et l'organisation cliente, ils sont traités comme les autres contenus de l'organisation (article 8), sous réserve des conditions du fournisseur.
2. Protection incertaine. Un contenu produit par une IA sans apport créatif humain peut ne pas être protégé par le droit d'auteur. Since & Co ne garantit pas qu'un contenu généré soit protégeable.
3. Aucune garantie d'originalité ni d'exactitude. Les contenus générés sont fournis en l'état. Since & Co ne garantit ni leur exactitude, ni leur exhaustivité, ni leur conformité à une norme ou à une réglementation, ni leur originalité, ni l'absence de ressemblance avec un contenu existant. Des résultats semblables peuvent être produits pour d'autres utilisateurs.
4. Responsabilité de celui qui valide. La personne qui valide, enregistre, publie ou diffuse un contenu généré en assume la responsabilité, comme si elle l'avait rédigé. L'organisation cliente répond des contenus de son espace.
5. Droits des tiers. Avant de publier un contenu généré, vous vérifiez qu'il ne porte pas atteinte aux droits d'un tiers : droit d'auteur, marque, droit à l'image, vie privée, secret des affaires.

Article 22 — Journalisation

22.1. Journal d'usage de l'IA

Chaque appel à un fournisseur tiers passant par une clé donne lieu à une ligne de journal contenant : l'utilisateur, l'organisation, la date et l'heure, la fonctionnalité, le fournisseur, le modèle, la clé utilisée (personnelle, organisation ou éditeur), le succès ou l'échec, un code d'erreur court et, lorsque le fournisseur les communique, le nombre d'unités de texte (« tokens ») en entrée et en sortie.

Ce journal ne contient jamais la demande, la réponse, la clé (même chiffrée) ni le message d'erreur brut du fournisseur.

Ne sont pas inscrits à ce journal : les transcriptions locales et le test d'une clé. Les traitements lancés par l'éditeur en exploitation avec ses propres moyens y figurent, avec la mention « plateforme » comme clé utilisée, sans utilisateur et avec l'organisation traitée (article 14.3).

Finalités : sécurité et détection des abus, assistance, information du titulaire de la clé sur l'usage qui en est fait, facturation le cas échéant.

Accès : vous voyez tous vos propres appels dans « Mes clés IA », toutes organisations confondues, avec l'organisation et la clé utilisées pour chacun. L'administrateur voit, dans « Clés IA de l'organisation », les seuls appels passés avec la clé de l'organisation ; il ne voit ni ceux que vous passez avec votre clé personnelle, ni ceux des traitements d'exploitation. Le personnel habilité de Since & Co peut accéder au journal pour les finalités ci-dessus.

Durée : chaque ligne est conservée 13 mois, puis supprimée automatiquement (voir la politique de confidentialité). Si votre compte est supprimé avant ce terme, vos lignes sont conservées sans lien avec vous. Si l'organisation est supprimée, son journal l'est aussi.

22.2. Contenus conservés par la plateforme

En dehors du journal d'usage, la plateforme conserve les contenus suivants, parce qu'ils sont le résultat attendu de la fonctionnalité ou nécessaires à son contrôle :

• la transcription d'une session, enregistrée avec la session ;
• les fiches générées que l'administrateur décide d'enregistrer dans le SIC ;
• pour la revue IA et la revue des connaissances : la demande adressée à l'IA, sa réponse et chaque proposition (valeur d'origine, valeur proposée, justification, statut), afin de permettre la validation humaine et d'en garder la trace. La demande et la réponse sont effacées 6 mois après la revue, une fois toutes ses propositions traitées ; les propositions et leur statut sont conservés ;
• pour la conversion d'une transcription en fiches : un court extrait de la réponse de l'IA (ses 500 premiers caractères au plus), inscrit dans le journal technique lorsque cette réponse est illisible. Cet extrait disparaît avec le journal, conservé 30 jours. En production, la réponse brute elle-même n'est pas conservée sur disque : seules le sont les fiches que l'administrateur enregistre. Les fichiers bruts qui subsisteraient sur le serveur sont supprimés automatiquement ;
• les glossaires, descriptions et images générés, une fois enregistrés.

22.3. Journal d'audit

Les opérations sur les clés d'organisation, l'activation ou la désactivation de l'IA pour une organisation, et l'autorisation ou l'interdiction des clés personnelles, sont inscrites au journal d'audit de l'organisation. Les lignes du journal d'audit sont conservées 3 ans.

Article 23 — Maîtrise par l'organisation

1. Activer ou désactiver l'IA. L'administrateur peut désactiver l'IA pour toute son organisation depuis l'écran « Clés IA de l'organisation ». Dès lors, toutes les fonctionnalités d'IA déclenchées par un utilisateur sont refusées pour cette organisation, y compris à un utilisateur qui dispose d'une clé personnelle, et y compris la transcription audio locale, qui ne demande aucune clé. Seules la suggestion de compétences et l'extraction lexicale de mots-clés, traitements locaux sans fournisseur tiers, ne sont pas concernées. Ce réglage s'impose aussi aux traitements d'exploitation visant l'organisation (article 14.3). Chaque changement est inscrit au journal d'audit.
2. Autoriser ou interdire les clés personnelles. Par un second réglage, indépendant du premier et accessible depuis le même écran, l'administrateur autorise ou interdit l'usage des clés personnelles dans l'organisation. Lorsqu'elles sont interdites, aucune clé personnelle n'est utilisée pour les données de l'organisation : seule la clé de l'organisation sert (article 15.2). Chaque changement est inscrit au journal d'audit, et l'utilisateur en est informé sur « Mes clés IA ».
3. Choisir ses fournisseurs. L'organisation choisit les fournisseurs qu'elle autorise en n'enregistrant de clé que pour ceux-ci. Elle complète, par ses règles internes, les réglages ci-dessus.
4. Exploitation par l'éditeur. Since & Co ne lance de traitement d'IA en exploitation sur les contenus d'une organisation qu'à la demande ou avec l'accord de celle-ci. Elle s'interdit de le faire pour une organisation qui a désactivé l'IA ; la plateforme refuse d'elle-même un traitement visant cette organisation (article 14.3).
5. Informer. L'organisation cliente informe ses utilisateurs et les personnes concernées du recours à l'IA. Lorsque la loi l'exige, elle informe et consulte ses représentants du personnel avant d'introduire ces fonctionnalités, et réalise les analyses nécessaires, notamment une analyse d'impact relative à la protection des données.
6. Suivre. L'administrateur dispose de l'état des consentements à l'IA des utilisateurs de son organisation, et du journal des appels passés avec la clé de l'organisation.

Article 24 — Usages interdits de l'IA

Il est interdit d'utiliser les fonctionnalités d'IA de la plateforme pour :

• contourner les règles des CGU, les mécanismes de consentement, de clé ou de désactivation, ou les règles d'usage d'un fournisseur ;
• procéder à une extraction massive ou automatisée, ou détourner les fonctionnalités pour un usage étranger à la cartographie des compétences et à la formation ;
• produire ou diffuser des contenus illicites, trompeurs, diffamatoires, discriminatoires, portant atteinte aux droits d'un tiers, ou imitant une personne réelle sans son accord ;
• profiler des personnes, évaluer ou prédire leur comportement, leur fiabilité, leur performance ou leur personnalité ;
• surveiller des salariés, analyser leurs propos ou leur activité à des fins de contrôle ou de sanction, ou exploiter un enregistrement à une autre fin que la description d'une activité ;
• inférer les émotions d'une personne sur son lieu de travail ou de formation, la catégoriser à partir de données biométriques, l'identifier par sa voix ou par son visage, ou toute autre pratique interdite par le règlement (UE) 2024/1689 ;
• prendre une décision individuelle sur le seul fondement d'une sortie d'IA (article 18) ;
• utiliser la clé d'un tiers sans son accord, ou chercher à obtenir une clé enregistrée sur la plateforme.

Le manquement à cet article peut entraîner la suspension du compte (article 5.5).

Article 25 — Disponibilité et maintenance

Since & Co met en œuvre les moyens raisonnables pour assurer l'accès à la plateforme. Elle n'est pas tenue à une obligation de résultat, sauf engagement de niveau de service prévu au contrat conclu avec l'organisation cliente.

L'accès peut être interrompu pour maintenance, mise à jour ou sécurité. Since & Co s'efforce de planifier ces interventions aux heures de moindre utilisation et d'en informer les organisations lorsque l'interruption est significative. La plateforme évolue : des fonctionnalités peuvent être ajoutées, modifiées ou retirées.

Article 26 — Sauvegardes

Since & Co sauvegarde la base de données et les fichiers déposés selon un cycle quotidien, hebdomadaire et mensuel. Les sauvegardes quotidiennes sont conservées 7 jours, les hebdomadaires 4 semaines et les mensuelles 12 mois. Une copie est transférée par une connexion chiffrée vers un stockage distant, distinct du serveur d'hébergement.

Ces sauvegardes servent à restaurer la plateforme après un incident. Elles ne constituent pas un service d'archivage ni de restauration à la demande d'un contenu supprimé par un utilisateur. Une donnée supprimée peut subsister dans les sauvegardes jusqu'à leur expiration.

L'organisation cliente conserve par ses propres moyens une copie des éléments qu'elle juge essentiels, au moyen des fonctions d'export.

Article 27 — Support

Les utilisateurs s'adressent en premier lieu à l'administrateur de leur organisation. Une aide en ligne et un formulaire de demande d'assistance sont accessibles depuis la plateforme. Les demandes sont traitées par Since & Co selon les modalités prévues au contrat. Pour traiter une demande, le personnel habilité de Since & Co peut accéder à l'espace de l'organisation concernée.

Article 28 — Responsabilité et limitations

1. Since & Co répond des dommages directs et prévisibles causés par un manquement prouvé à ses obligations.
2. Elle ne répond pas : des contenus déposés, générés ou validés par les utilisateurs ; de l'usage qui est fait de la plateforme et des décisions prises par l'organisation cliente ; de l'exactitude des sorties d'IA ; de l'indisponibilité, des tarifs ou des pratiques des fournisseurs tiers ; de la perte d'une clé d'API en dehors de la plateforme ; d'un défaut de l'équipement ou de la connexion de l'utilisateur ; du non-respect par l'organisation de ses propres obligations légales.
3. Entre professionnels, les dommages indirects (perte d'exploitation, de chiffre d'affaires, de chance, d'image, de données non sauvegardées par le client) sont exclus. La responsabilité totale de Since & Co est limitée au plafond fixé par le contrat conclu avec l'organisation cliente ou, à défaut, aux sommes payées par celle-ci au titre des douze mois précédant le fait générateur.
4. Ces limitations ne s'appliquent ni en cas de faute lourde ou intentionnelle, ni en cas de dommage corporel, ni lorsque la loi les interdit, notamment à l'égard d'un consommateur.
5. Les contenus de la plateforme, en particulier les modes opératoires et les consignes de sécurité, ne dispensent jamais du respect de la réglementation, des consignes de l'employeur et des règles de l'art.

Article 29 — Force majeure

Aucune partie ne répond d'un manquement dû à un cas de force majeure au sens de l'article 1218 du code civil. Sont notamment considérés comme tels, lorsqu'ils en remplissent les conditions : la défaillance généralisée des réseaux de communications électroniques ou d'énergie, une cyberattaque d'ampleur malgré des mesures de sécurité conformes à l'état de l'art, une décision d'une autorité publique, une catastrophe naturelle, un conflit social extérieur à la partie concernée.

Article 30 — Durée et résiliation

Les CGU s'appliquent à vous tant que vous disposez d'un compte. La durée de l'accès de l'organisation cliente et les conditions de résiliation sont fixées par son contrat avec Since & Co.

En cas de manquement grave aux CGU, Since & Co peut suspendre l'accès concerné dans les conditions de l'article 5.5. La fin du contrat entraîne la fermeture des comptes de l'organisation, après la période de réversibilité.

Article 31 — Réversibilité et export des données

1. En cours de contrat. L'organisation cliente dispose de fonctions d'export : fiches d'activité au format PDF, export des données d'une entité rattachée dans un format structuré et lisible par machine (JSON).
2. En fin de contrat. Sur demande de l'organisation cliente, présentée avant la fin du contrat ou dans le délai prévu par celui-ci, Since & Co lui remet un export de ses données (base de données et fichiers déposés) dans un format courant.
3. Suppression. Après remise de l'export ou expiration du délai, Since & Co supprime les données de l'organisation. Un export de sécurité est réalisé avant la suppression ; les clés d'API n'y figurent jamais. Les données subsistent dans les sauvegardes jusqu'à leur expiration (article 26).
4. Badges. Le sort des pages publiques des badges délivrés est arrêté avec l'organisation cliente au moment de la suppression : les supprimer leur fait perdre leur caractère vérifiable.

Article 32 — Données personnelles et cookies

Les traitements de données personnelles sont décrits dans la politique de confidentialité. Les cookies et autres traceurs sont décrits dans la page cookies et traceurs. Les obligations de Since & Co en qualité de sous-traitant figurent dans l'accord de sous-traitance.

Article 33 — Droit applicable et juridiction

Les CGU sont régies par le droit français.

En cas de différend, les parties recherchent d'abord une solution amiable. À défaut, et lorsque le litige oppose des professionnels, il relève de la compétence exclusive des tribunaux du ressort du siège social de Since & Co, y compris en cas de référé, de pluralité de défendeurs ou d'appel en garantie, sauf stipulation différente du contrat conclu avec l'organisation cliente.

Cette clause ne prive pas un consommateur ni un salarié des règles de compétence protectrices que la loi lui reconnaît. Le consommateur peut recourir à la médiation.

Article 34 — Dispositions diverses et contact

Si une stipulation des CGU est déclarée nulle ou inapplicable, les autres restent en vigueur. Le fait de ne pas se prévaloir d'un manquement ne vaut pas renonciation à s'en prévaloir ultérieurement.

Pour toute question relative aux CGU : [à compléter]. Pour toute question relative à vos données personnelles : [à compléter].