Responsable du traitement
| Champ | Information |
|---|---|
| Dénomination sociale | Epopia |
| Forme juridique | [À compléter — SRL / SAS] |
| Siège social | [Adresse complète] |
| Email de contact | epopiabxl@gmail.com |
| Email RGPD / DPO | privacy@epopia.com |
| Directeur de publication | [Prénom Nom du fondateur] |
Périmètre d'application
Cette politique s'applique à l'ensemble des services Epopia :
2.1 — Application visiteur (QR code)
Accessible via /museum/[slug] — aucune inscription requise. Sessions entièrement anonymes.
2.2 — Interface gestionnaire musée
Accessible via /admin/* — accès sécurisé par email/mot de passe (Supabase Auth). Les gestionnaires sont des professionnels en relation B2B avec Epopia.
2.3 — Site vitrine (prospects)
Accessible via /vitrine — formulaire de contact avec consentement explicite.
Données collectées & finalités
3.1 — Visiteurs de musées (anonymes)
◉ Aucune donnée personnelle collectée pour les visiteurs
Les visiteurs sont identifiés uniquement par un UUID v4 généré aléatoirement, stocké en sessionStorage. Aucune IP, aucun email, aucun nom n'est jamais collecté ou stocké.
| Donnée | Nature | Finalité |
|---|---|---|
| id_session (UUID v4) | Technique — anonyme | Continuité de session 30 min, statistiques agrégées |
| Questions posées à l'IA | Contenu — anonyme | Réponse IA, amélioration du service |
| Langue sélectionnée | Préférence — anonyme | Réponse IA dans la bonne langue |
| Mode de visite | Préférence — anonyme | Personnalisation des réponses IA |
| Feedback 👍/👎 | Comportement — anonyme | Amélioration de la qualité IA |
3.2 — Gestionnaires de musées
| Donnée | Finalité | Obligatoire |
|---|---|---|
| Email professionnel | Authentification et communications de service | Oui |
| Mot de passe (hashé bcrypt) | Sécurité du compte | Oui |
| Logs d'actions admin | Traçabilité, sécurité, audit | Oui |
| Documents PDF uploadés | Formation de l'IA du musée | Oui |
Base légale des traitements
| Traitement | Base légale (Art. 6 RGPD) | Détail |
|---|---|---|
| Session visiteur anonyme | Intérêt légitime (Art. 6.1.f) | Service d'aide à la visite — aucun impact sur les droits individuels |
| Analytics PostHog | Consentement (Art. 6.1.a) | Activé uniquement après acceptation explicite de la bannière |
| Compte gestionnaire musée | Exécution du contrat (Art. 6.1.b) | Nécessaire à la fourniture du service SaaS |
| Logs techniques Axiom | Intérêt légitime (Art. 6.1.f) | Sécurité, débogage, SLA — données techniques non personnelles |
| Formulaire de contact | Consentement (Art. 6.1.a) | Traitement de la demande de démo |
Durée de conservation
| Donnée | Durée | Justification |
|---|---|---|
| id_session visiteur | 30 min (expiration auto) | Durée de la session de visite |
| Interactions IA anonymisées | 90 jours | Amélioration du service, puis suppression définitive |
| Logs Axiom (techniques) | 30 jours | Débogage et SLA, puis suppression automatique |
| Analytics PostHog | 12 mois (si consenti) | Statistiques d'usage musée — données agrégées |
| Compte gestionnaire musée | Durée du contrat + 3 ans | Obligations comptables et légales |
| Documents PDF | Durée du contrat + 6 mois | Suppression sur demande ou résiliation |
| Consentement cookies | 12 mois | Maximum légal RGPD/ePrivacy |
Droits des personnes concernées
Conformément au RGPD (UE) 2016/679, vous disposez des droits suivants. Pour les exercer : privacy@epopia.com
Obtenir une copie de vos données personnelles détenues par Epopia. Pour les visiteurs anonymes, aucune donnée personnelle n'est stockée.
Corriger des données inexactes ou incomplètes. Applicable aux gestionnaires musées (email, informations de compte).
Demander la suppression de vos données (« droit à l'oubli »). Les données de session visiteur expirent automatiquement après 30 min.
Suspendre temporairement le traitement de vos données pendant qu'une contestation est en cours.
Recevoir vos données dans un format structuré et lisible par machine. Applicable aux données de compte gestionnaire.
Vous opposer au traitement basé sur l'intérêt légitime. Refus des cookies analytiques via la bannière ou le footer.
Retirer votre consentement aux cookies analytiques à tout moment via le lien « Gérer mes cookies » dans le footer, sans conséquence sur les services.
Délai de réponse : Epopia s'engage à répondre à toute demande d'exercice de droits dans un délai de 30 jours (Art. 12 RGPD). En cas de demande complexe, ce délai peut être étendu de 2 mois avec notification préalable.
Transferts hors UE
| Sous-traitant | Pays | Garanties | Service |
|---|---|---|---|
| Supabase Inc. | US/Allemagne (AWS EU) | DPA + SCCs + région EU Frankfurt | Base de données, Storage, Auth |
| Vercel Inc. | US (Edge EU) | DPA + SCCs + Vercel EU Edge Network | Hébergement, CDN |
| OpenRouter Inc. | US | DPA + SCCs | Routage LLM (GPT-4o-mini, Claude Haiku) |
| PostHog Inc. | EU (eu.posthog.com) | Serveurs EU — aucun transfert US | Analytics (si consenti) |
| Resend Inc. | US | DPA + SCCs | Emails transactionnels gestionnaires |
| Axiom Inc. | US | DPA + SCCs | Logs techniques (pas de données visiteur) |
Les données de visiteurs de musées (UUID anonymes, questions IA) ne contiennent aucune donnée à caractère personnel. Les transferts hors UE ne concernent donc pas les visiteurs au sens du RGPD. Les DPA (Data Processing Agreements) sont signés avec chaque sous-traitant.
Sécurité des données
Conformité AI Act 2024
◉ SYSTÈME IA À RISQUE LIMITÉ (Titre IV AI Act)
L'assistant IA d'Epopia est classé comme système IA à risque limité selon le Règlement (UE) 2024/1689. Les visiteurs sont informés qu'ils interagissent avec une IA (indicateur visuel ◈ Epopia IA dans l'interface).
Garanties mises en place :
- L'IA répond uniquement à partir des documents officiels fournis par le musée (RAG — Retrieval Augmented Generation). Zéro hallucination.
- En l'absence d'information dans la documentation : réponse standard « Je ne trouve pas cette information dans la documentation de ce musée »
- Aucun profilage, aucune décision automatisée affectant les droits des visiteurs
- Données d'entraînement : aucune donnée de visiteur n'est utilisée pour entraîner des modèles LLM tiers
Sous-traitants & registre
Epopia maintient un registre complet des activités de traitement (Art. 30 RGPD). Les sous-traitants principaux :
| Sous-traitant | Pays | Service | DPA signé |
|---|---|---|---|
| Supabase Inc. | US/EU (Frankfurt) | BDD, Storage, Auth, pgvector | ✓ |
| Vercel Inc. | US/EU Edge | Hébergement Next.js, CDN | ✓ |
| OpenRouter Inc. | US | Routage LLM multi-modèles | ✓ |
| OpenAI Inc. | US | Embeddings (text-embedding-3-small) | ✓ |
| PostHog Inc. | EU | Analytics (optionnel, consenti) | ✓ |
| Resend Inc. | US | Emails transactionnels | ✓ |
| Axiom Inc. | US | Logs techniques | ✓ |
| Deepgram Inc. | US | Speech-to-Text (optionnel par musée) | ✓ |
Violation de données
En cas de violation de données à caractère personnel :
- 72 heures : notification à l'Autorité de Protection des Données (APD belge) si risque élevé (Art. 33 RGPD)
- Sans délai : notification aux personnes concernées si risque élevé pour leurs droits (Art. 34 RGPD)
- Pour les visiteurs anonymes : le risque de violation est quasi-nul (aucune donnée personnelle stockée)
Contact sécurité : security@epopia.com
Modifications de la politique
Epopia se réserve le droit de modifier cette politique de confidentialité pour refléter les évolutions légales ou les changements de notre service. La date de « dernière mise à jour » en haut de page sera actualisée. En cas de changement substantiel affectant les droits des gestionnaires musées, une notification par email sera envoyée avec un préavis de 30 jours.
Si la version du document de confidentialité change, la bannière de consentement cookies sera réaffichée pour recueillir un nouveau consentement valide.
Contact & DPO
Autorité de contrôle belge : Autorité de Protection des Données (APD) · apd-gba.be
Délai de réponse garanti : 30 jours (Art. 12 RGPD)