POLITIQUE DE PROTECTION DES DONNÉES PERSONNELLES
MARVIN.AI — plateforme ask-marvin.ai
1. Qui sommes-nous ?
La plateforme ask-marvin.ai est éditée par la société MARVIN.AI, SAS au capital de 1 000,00 EUR, dont le siège social est situé 46 rue Saint-Antoine - 75004 Paris, immatriculée au RCS de Paris sous le numéro 102 383 452, TVA intracommunautaire FR62102383452.
MARVIN.AI propose des services de simulation conversationnelle IA, d’enregistrement et d’analyse d’entretiens, et de suivi de la progression des compétences via sa plateforme ask-marvin.ai.
La présente politique a pour objet de vous informer sur la manière dont vos données personnelles sont collectées, utilisées, conservées et protégées dans le cadre de l’utilisation de la plateforme.
Elle s’articule avec les Conditions Générales de Vente (CGV) et l’accord de sous-traitance (DPA, conforme à l’article 28 du RGPD) conclus entre MARVIN.AI et votre employeur (le CLIENT), qui en définissent le cadre contractuel.
2. Délégué à la protection des données (DPO)
MARVIN.AI a désigné un Délégué à la Protection des Données :
Arnaud Mélon - DPO Email : dpo@ask-marvin.ai
Pour toute question relative à vos données personnelles ou pour exercer vos droits, vous pouvez le contacter directement.
3. Positionnement RGPD de MARVIN.AI
MARVIN.AI intervient selon deux rôles distincts au regard du RGPD :
Sous-traitant (cas majoritaire) : MARVIN.AI traite vos données sur instruction de votre employeur (le CLIENT), qui est le responsable de traitement au sens du RGPD. C’est votre employeur qui décide d’utiliser la plateforme ask-marvin.ai et qui est responsable de vous informer de cette utilisation.
Responsable de traitement (cas spécifiques) : pour certains traitements réalisés pour ses propres besoins, MARVIN.AI agit en tant que responsable de traitement indépendant. Ces traitements sont limités à : - Les analyses statistiques sur données anonymisées (amélioration continue des services) - Les obligations légales et comptables
4. Données collectées
MARVIN.AI applique le principe de minimisation des données : seules les données strictement nécessaires aux prestations sont collectées.
4.1 Données d’identification
- Nom, prénom, adresse e-mail professionnelle, identifiants de connexion.
- Ces données sont transmises par votre employeur lors de la création de votre compte.
4.2 Données relatives aux compétences
- Progression, scores d’évaluation, auto-positionnement sur compétences, cartographie des compétences.
4.3 Données conversationnelles (projets IA)
Pour les projets utilisant les agents conversationnels IA ou l’enregistrement d’entretiens : - Enregistrements audio des simulations ou entretiens réels (live ou visio) - Transcriptions automatiques (texte, horodatage, identification du locuteur) - Rapports d’analyse conversationnelle : KPI quantitatifs, scores par compétence, verbatims, feedback personnalisé
Précision importante : les enregistrements audio sont collectés à des fins d’analyse conversationnelle et de suivi des compétences. Ils ne font l’objet d’aucun traitement biométrique au sens de l’article 9 du RGPD (pas d’identification ni d’authentification par la voix).
4.4 Données techniques
- Journaux de connexion et horodatages, à des fins de sécurité, d’audit technique et de prévention des usages abusifs de la plateforme (détection du partage de licence et des usages atypiques - volumes anormaux, connexions simultanées - au titre de l’intégrité de la facturation).
4.5 Données non collectées
- Aucune donnée sensible au sens de l’article 9 du RGPD n’est collectée (pas de données de santé, opinions politiques, convictions religieuses, etc.)
- Aucune donnée de paiement
- Aucune donnée de navigation ou cookie publicitaire
5. Finalités et bases légales
| Finalité | Base légale | Responsable |
|---|---|---|
| Gestion de votre compte sur la plateforme | Exécution du contrat (art. 6.1.b) | CLIENT |
| Simulation conversationnelle IA et analyse d’entretiens | Intérêt légitime du CLIENT (art. 6.1.f) | CLIENT |
| Suivi de la progression des compétences et cartographie | Intérêt légitime du CLIENT (art. 6.1.f) | CLIENT |
| Reporting pour les managers et responsables | Exécution du contrat (art. 6.1.b) | CLIENT |
| Maintenance et sécurité de la plateforme | Intérêt légitime de MARVIN.AI (art. 6.1.f) | MARVIN.AI |
| Analyses statistiques sur données anonymisées | Intérêt légitime de MARVIN.AI (art. 6.1.f) | MARVIN.AI |
| Prévention des usages abusifs et intégrité de la facturation (détection du partage de licence, usages atypiques) | Intérêt légitime de MARVIN.AI (art. 6.1.f) | MARVIN.AI |
| Obligations légales et comptables | Obligation légale (art. 6.1.c) | MARVIN.AI |
Aucun traitement ne repose sur votre consentement individuel. En contexte B2B, la base légale est l’intérêt légitime de votre employeur (développer les compétences de ses collaborateurs). C’est votre employeur qui autorise les traitements via le contrat signé avec MARVIN.AI.
6. Destinataires de vos données
Vos données sont accessibles uniquement aux personnes et prestataires qui en ont besoin dans le cadre des prestations :
6.1 Au sein de votre organisation
- Vous-même : vos propres résultats, rapports et transcriptions
- Votre manager : les données de son équipe (progression, rapports)
- L’administrateur de votre organisation : gestion des comptes et de l’organisation
6.2 Chez MARVIN.AI
- Accès limité à 2 personnes (équipe technique), localisées en France, sous engagement de confidentialité
6.3 Sous-traitants techniques
| Prestataire | Service | Localisation | Garanties |
|---|---|---|---|
| OVHcloud | Hébergement des fichiers audio | France | Données en UE |
| Supabase (AWS) | Stockage applicatif (BDD, transcriptions, rapports) | Paris (eu-west-3) | Données en UE |
| OpenAI Ireland Ltd | Simulation IA (audio + transcription + analyse) et analyse conversationnelle | Irlande (UE) + transit US | SCC, DPA signé, zero retention, pas d’entraînement |
| ElevenLabs | Transcription vocale (entretiens partenaires et terrain) | États-Unis | SCC, suppression auto après traitement |
| Twilio Voice | Conférence audio avec enregistrement (entraînement partenaire) | États-Unis | DPA Twilio |
| SendGrid (Twilio) | Emails transactionnels | Région EU par défaut | DPA Twilio (IP dédiée EU, api.eu.sendgrid.com) |
| Microsoft Office 365 | Messagerie et gestion documentaire interne | UE | Conforme RGPD |
| Hetzner | Supervision externe (monitoring technique) - accès lecture seule, aucun stockage de données utilisateur | UE (Allemagne, Finlande) | ISO 27001:2022, DPA art. 28 |
Tous les sous-traitants sont couverts par des contrats conformes à l’article 28 du RGPD. MARVIN.AI est responsable du respect de leurs obligations.
Vos données ne sont jamais partagées à des fins commerciales ou publicitaires.
7. Transferts de données hors de l’Espace économique européen
Certains traitements impliquent un transfert ponctuel de données vers les États-Unis (OpenAI, ElevenLabs, Twilio Voice pour les conférences audio). Ces transferts sont :
- Encadrés par des Clauses Contractuelles Types (SCC) adoptées par la Commission européenne, ou par un DPA conforme
- Transitoires : les données ne sont pas stockées aux États-Unis (transit technique uniquement pour OpenAI et ElevenLabs)
- Couverts par une évaluation d’impact des transferts (TIA) conforme aux exigences de l’arrêt Schrems II
MARVIN.AI est une société française, non soumise au Patriot Act, au Cloud Act ni à la FISA. Aucune demande d’accès de la part des autorités américaines n’a été reçue à ce jour.
Mesures compensatoires en place : - Pseudonymisation et minimisation des données avant transfert - Chiffrement en transit (TLS 1.2/1.3, AES-256-GCM) - Zero data retention chez OpenAI (aucun stockage) - Suppression automatique chez ElevenLabs après traitement - Interdiction contractuelle de réutilisation des données pour l’entraînement de modèles IA
8. Durées de conservation
| Type de donnée | Durée de conservation |
|---|---|
| Données d’identification et de compétences | Durée du projet + 24 mois après la dernière activité, puis anonymisation irréversible |
| Enregistrements audio (bruts) | 4 mois par défaut (paramétrable par votre organisation) |
| Extraits audio sélectionnés dans le playbook | 2 ans (alignés sur le rapport associé) |
| Transcriptions | 2 ans (archivage à accès restreint) |
| Rapports d’analyse conversationnelle | 2 ans |
| Données anonymisées | Illimitée (ne sont plus des données personnelles) |
Chez les prestataires IA : - OpenAI : aucun stockage durable - traitement transitoire uniquement - ElevenLabs : suppression automatique après transcription
En fin de contrat entre votre employeur et MARVIN.AI : toutes les données personnelles sont supprimées sous 30 jours, ou restituées à votre employeur sur sa demande. Un certificat de suppression est fourni.
9. Sécurité de vos données
MARVIN.AI met en œuvre les mesures techniques et organisationnelles suivantes :
- Chiffrement en transit : TLS 1.2/1.3 avec AES-256-GCM (note SSL Labs : A)
- Chiffrement au repos : actif sur Supabase/AWS (AES-256)
- Contrôle d’accès : authentification nominative obligatoire, rôles et permissions (vous n’accédez qu’à vos propres données)
- Journalisation : tous les accès et actions sont tracés
- Accès production restreint : 2 personnes autorisées, localisées en France, sous NDA
- Application non référencée dans les moteurs de recherche
- Pipeline d’audits automatisés hebdomadaires : sécurité OWASP, qualité du code, scan de secrets, sécurité base de données, performance - chaque audit produit un rapport daté et un suivi de remédiation
- Audit AI Governance mensuel : conformité RGPD des traitements IA
- Notification de violation : votre employeur est notifié sous 24 heures en cas d’incident de sécurité, lui permettant de respecter le délai légal de 72 heures auprès de la CNIL
10. Intelligence artificielle et décisions automatisées
La plateforme ask-marvin.ai utilise des outils d’intelligence artificielle pour l’analyse conversationnelle et la simulation. À ce titre :
- Aucune décision automatisée ayant des effets juridiques ou significatifs n’est prise vous concernant (article 22 du RGPD respecté)
- Tous les résultats IA (rapports, évaluations, recommandations) sont validés sous contrôle humain (consultant, manager ou votre employeur)
- Les traitements IA sont transparents et explicables - pas de « boîte noire »
- Les données transmises à l’IA sont strictement nécessaires au fonctionnement des analyses et protégées par des engagements contractuels (zero retention, pas de réutilisation pour l’entraînement)
- Vous êtes informé préalablement à toute utilisation d’outils IA dans le cadre de votre utilisation de la plateforme
11. Vos droits
Conformément au RGPD (articles 12 à 22), vous disposez des droits suivants :
| Droit | Description |
|---|---|
| Accès | Obtenir la confirmation que vos données sont traitées et en recevoir une copie |
| Rectification | Faire corriger des données inexactes ou incomplètes |
| Effacement | Demander la suppression de vos données (sous réserve des obligations légales) |
| Limitation | Demander la restriction temporaire de l’utilisation de vos données |
| Portabilité | Recevoir vos données dans un format structuré et lisible par machine |
| Opposition | Vous opposer au traitement fondé sur l’intérêt légitime |
| Révision humaine | Demander la révision humaine de tout résultat produit par l’IA |
Comment exercer vos droits :
- Via votre employeur (voie privilégiée) : votre employeur est le responsable de traitement et peut adresser vos demandes à MARVIN.AI
- Directement auprès du DPO : dpo@ask-marvin.ai - votre demande sera traitée en coordination avec votre employeur
Délai de réponse : 1 mois maximum (extensible à 3 mois pour les demandes complexes, avec information préalable).
Recours : si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l’Informatique et des Libertés) - www.cnil.fr.
12. Modifications de la présente politique
La présente politique peut être mise à jour pour refléter les évolutions de nos pratiques ou de la réglementation. En cas de modification substantielle, votre employeur en sera informé afin de pouvoir vous en faire part.
La date de dernière mise à jour figure dans l’encart de versionnage du présent document.
13. Contact
Pour toute question relative à la présente politique ou à la protection de vos données :
MARVIN.AI 46 rue Saint-Antoine - 75004 Paris Email DPO : dpo@ask-marvin.ai