Politique de confidentialité

Dernière mise à jour : avril 2026

1. Identité du responsable de traitement

YMH INNOVATION SARL (ci-après « YMH »), société à responsabilité limitée de droit marocain, est responsable du traitement de vos données personnelles dans le cadre de la plateforme SaaS YMH Copilot.

Contact délégué à la protection des données (DPO) : admin@ymhinnovation.com

2. Finalités du traitement

Fourniture du service SaaS YMH Copilot (gestion des agents IA, connecteurs, conversations)
Authentification et gestion des accès multi-tenant
Facturation et suivi des abonnements
Amélioration du produit (métriques d'usage anonymisées, logs LangFuse)
Support client et résolution d'incidents
Conformité légale (archivage fiscal, obligations réglementaires marocaines)

3. Bases légales

Exécution du contrat : fourniture du service, authentification, facturation
Consentement : cookies analytiques et marketing (gérés via la bannière cookies)
Obligation légale : archivage fiscal conforme au Code général des impôts marocain (10 ans)
Intérêt légitime : sécurité de la plateforme, prévention des fraudes, logs de débogage

4. Catégories de données collectées

Identification : email, nom, rôle dans l'organisation
Contractuelles : ICE, raison sociale, identifiant tenant, plan d'abonnement
Usage : logs de conversations (anonymisés), métriques d'agents, interactions
Techniques : adresse IP, user-agent, cookies de session, préférences d'affichage
Documents uploadés : documents téléversés dans la Knowledge Library (stockés Hetzner Object Storage, chiffrés AES-256)

5. Durées de conservation

Données de facturation : 10 ans (obligation légale fiscale marocaine)
Logs auditabilité CNDP : 5 ans minimum
Données de connexion : 24 mois glissants
Conversations : durée de l'abonnement + 30 jours après résiliation
Documents Knowledge Library : durée de l'abonnement, supprimés sur demande

Sur demande motivée, nous procédons à l'effacement des données dans les délais légaux, sauf obligation de conservation contraire.

6. Destinataires et sous-traitants

Vos données peuvent être traitées par les sous-traitants suivants :

Railway (hébergement infrastructure, EU — europe-west4)
Hetzner (stockage objets, EU — Helsinki hel1)
Cloudflare (DNS, CDN, EU)
Anthropic (modèles Claude, US) — données de conversation traitées via API
OpenAI (modèles GPT-4o, US) — données de conversation traitées via API
Google (modèles Gemini, STT/TTS Chirp, EU/US) — données audio et conversation
Cohere (embeddings et reranking RAG, US) — fragments de documents pour recherche
Lago (facturation self-hosted, EU)
LangFuse (observabilité LLM, EU)

Aucune donnée n'est vendue à des tiers à des fins commerciales.

7. Transferts hors Maroc

Certains sous-traitants (Anthropic, OpenAI, Cohere) sont établis aux États-Unis. Ces transferts sont encadrés par des clauses contractuelles types et les garanties contractuelles appropriées conformément aux dispositions de la loi 09-08. Vous êtes informé de ces transferts par la présente politique.

8. Vos droits

Conformément à la loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, vous disposez des droits suivants :

Droit d'accès : obtenir une copie de vos données
Droit de rectification : corriger des données inexactes ou incomplètes
Droit d'opposition : vous opposer à certains traitements (notamment à des fins de marketing)
Droit d'effacement : demander la suppression de vos données (sous réserve des obligations légales)
Droit à la portabilité : recevoir vos données dans un format structuré
Droit à la limitation : demander la suspension temporaire d'un traitement
Droit de réclamation : introduire une réclamation auprès de la CNDP

Pour exercer ces droits, envoyez un email à admin@ymhinnovation.comen précisant votre demande et en joignant une copie d'une pièce d'identité. Délai de réponse : 30 jours.

9. Cookies

Nous utilisons des cookies essentiels (nécessaires au fonctionnement) et des cookies analytiques (opt-in). Vous pouvez gérer vos préférences à tout moment via le bouton « Paramètres cookies » en bas de chaque page.

10. Sécurité

Les données sont chiffrées en transit (TLS 1.3) et au repos (AES-256-GCM). L'accès est contrôlé par des mécanismes de Row-Level Security PostgreSQL et d'isolation multi-tenant stricte.

Traitement en cours d'enregistrement auprès de la Commission Nationale de Contrôle de la Protection des Données à Caractère Personnel (CNDP). Le numéro de récépissé sera affiché ici dès réception.