Politique de confidentialité

1. Responsable du traitement

Cyberian Systems (ci-après « nous », « notre » ou « la Société ») est le responsable du traitement de vos données personnelles tel que décrit dans la présente politique. La Société est enregistrée au Québec, Canada.

Contact pour toute question relative à la vie privée, y compris l'exercice des droits prévus à la section 9 : contact@cyberiansystems.ai.

2. Portée de la présente politique

La présente politique couvre deux surfaces :

• Le site web vitrine à cyberiansystems.ai (et sa version française). Pages HTML statiques expliquant la plateforme.
• La plateforme d'inférence vérifiée accessible à api.cyberiansystems.ai, utilisée via notre SDK Python ou directement en HTTPS. C'est ici que se font les inscriptions à l'essai, l'émission des clés API, la soumission de tâches et la délivrance de reçus.

Des flux de données distincts s'appliquent à chacune. Les sections suivantes le précisent.

3. Données collectées lors de l'inscription à l'essai

La création d'un compte d'essai (à cyberiansystems.ai/signup.html) collecte :

• Adresse courriel - obligatoire, utilisée pour vous transmettre le lien d'activation et les avis opérationnels.
• Mot de passe - jamais conservé en clair. Nous le hachons avec bcrypt (coût 12) et écartons immédiatement le texte clair. Nous effectuons aussi une vérification anonyme contre le corpus public Have I Been Pwned en mode k-anonymity : nous envoyons uniquement les cinq premiers caractères hexadécimaux du SHA-1 de votre mot de passe et examinons la réponse localement - le hachage complet et le mot de passe lui-même ne quittent jamais notre serveur.
• Nom de compte / entreprise (facultatif) - si vous le fournissez. Texte libre utilisé seulement comme étiquette d'affichage.
• Trace de consentement - un identifiant figé de la version des conditions d'essai que vous avez acceptées à l'inscription. Conservé afin de prouver à quelle version vous avez consenti.
• Métadonnées réseau à l'inscription - l'adresse IP source et les en-têtes HTTP de la requête d'inscription, conservés dans les journaux du coordinateur et du proxy inverse à des fins de détection d'abus (généralement environ 30 jours, voir section 8).

Après avoir cliqué sur le lien d'activation dans le courriel que nous vous envoyons :

• Des identifiants de compte sont générés : un UUID de compte, une date de début d'essai, une date de fin d'essai, et une clé API (préfixe cyb_). La clé API en clair vous est montrée une seule fois - nous ne conservons que son hachage SHA-256.

4. Données reçues via l'API

Lorsque vous utilisez l'API d'inférence vérifiée (via le SDK Python ou directement en REST), nous recevons et traitons :

• Vos entrées - les textes que vous soumettez à POST /jobs ou POST /verify. Nous en avons besoin pour exécuter l'inférence.
• Les sorties calculées - les embeddings ou autres sorties produites par notre infrastructure sur vos entrées.
• Engagements cryptographiques - hachages SHA-256 de vos entrées et de nos sorties, organisés en reçus Merkle. Ils font partie intégrante du produit de vérification, pas de métadonnées séparées.
• Métadonnées d'usage - horodatages, nombre de chunks, identifiant du modèle demandé, niveau de vérification choisi, IP de la requête, et quelle de vos clés API a été utilisée. Conservées pour l'exactitude de la facturation, la détection d'abus et le débogage opérationnel.

Nous n'entraînons aucun modèle d'IA sur vos entrées ou sorties. La plateforme ne fait qu'exécuter de l'inférence et de la vérification ; aucun pipeline d'apprentissage ne lit vos données. Nous ne produisons pas non plus de statistiques agrégées à partir de votre contenu, au-delà du nombre de chunks (pour la comptabilité des quotas) et de métriques de temps d'exécution (pour la planification de capacité) - aucune n'inclut le contenu de vos entrées.

5. Données collectées via le site web

Le site vitrine cyberiansystems.ai n'héberge pas de formulaire de contact et ne dépose pas de témoins (cookies) de suivi. Aucun script publicitaire ou de réseau social tiers n'est chargé.

Statistiques d'utilisation agrégées (Cloudflare Web Analytics). Le site charge le faisceau Cloudflare Web Analytics pour mesurer l'utilisation agrégée (pages visitées, provenance des visiteurs, navigateurs et systèmes courants). L'outil est conçu pour préserver la vie privée :

• aucun témoin (cookie) ni autre identifiant persistant n'est déposé sur votre appareil ;
• aucune donnée personnelle n'est collectée - nous ne voyons ni votre nom, ni votre courriel, ni aucun identifiant individuel ;
• votre adresse IP n'est pas conservée : Cloudflare en déduit votre pays au moment de la requête, puis la supprime ;
• les données reçues par page consultée sont : l'URL de la page, l'URL de provenance, le type d'appareil anonymisé, le navigateur, le système d'exploitation, la taille de l'écran et le pays ;
• les visiteurs situés dans l'Union européenne sont exclus de cette collecte - le faisceau d'analyse n'est pas chargé pour leurs visites.

Base juridique : intérêt légitime à mesurer l'audience agrégée du site (RGPD art. 6(1)(f) ; équivalent Loi 25 : intérêt légitime lié à l'exploitation du service). Aucun consentement n'est requis : aucun témoin n'est déposé et aucune donnée personnelle (au sens de la Loi 25 / du RGPD) n'est traitée.

Deux mécanismes de stockage navigateur sont utilisés, strictement pour permettre les flux d'inscription et de gestion de compte :

• sessionStorage sur les pages inscription → vérification courriel → compte, pour transmettre la clé API fraîchement émise depuis la page de vérification jusqu'au tableau de bord de compte dans la même session d'onglet. La clé ne quitte jamais votre navigateur par ce canal et est effacée à la fermeture de l'onglet.
• localStorage sur la page de compte uniquement, en option, si vous cochez « se souvenir de la clé sur cet appareil » - jamais activé automatiquement.

Aucun des deux n'est un témoin de suivi. Les deux relèvent de la catégorie « strictement nécessaire » qui ne requiert pas de consentement en vertu de la Loi 25, des lignes directrices de la CNIL, et du cadre ePrivacy du RGPD.

Si vous nous écrivez à l'une des adresses publiées sur le site (contact@, support@, models@, upgrade@, privacy@), nous recevons les informations que vous incluez volontairement dans ce courriel.

6. Finalités et bases juridiques

Nous traitons vos données personnelles uniquement pour les finalités énumérées ci-dessous. La base juridique en vertu de la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (telle que modifiée par la Loi 25), de la LPRPDE / PIPEDA canadienne, et du Règlement Général sur la Protection des Données (RGPD) de l'UE/EEE est indiquée pour chaque finalité.

Nous ne traitons pas vos données à des fins publicitaires, de profilage ou de décision automatisée produisant des effets juridiques ou significatifs équivalents à votre égard.

7. Sous-traitants

Nous faisons appel aux fournisseurs d'infrastructure suivants pour opérer le service. Chacun ne traite que les catégories de données que nous lui confions, et uniquement dans la mesure nécessaire à la fonction listée.

Nous n'acheminons pas actuellement les entrées de clients vers des plateformes de calcul tierces (Modal, RunPod, SaladCloud, etc.). Si nous en ajoutons une à l'avenir, ce tableau sera mis à jour et les clients existants seront avisés avant que leurs données n'y soient acheminées.

Nous ne vendons, ne louons ni ne partageons vos données personnelles avec d'autres parties que celles listées ici.

8. Durée de conservation

Nous conservons chaque catégorie de données uniquement le temps nécessaire à la finalité de sa collecte, puis nous l'effaçons ou l'anonymisons.

• Enregistrement de compte (courriel, hachage du mot de passe, nom, dates d'essai) : pendant la durée active de votre compte. Sur demande de suppression, nous effaçons l'enregistrement dans les 30 jours, en ne conservant que ce qui est requis par la loi (p. ex. agrégats de facturation anonymisés).
• Clés API (hachages, étiquettes, horodatages de dernier usage) : jusqu'à la révocation, plus 30 jours après pour fins d'audit, puis effacées.
• Entrées et sorties de tâches (les textes soumis et les embeddings retournés) : conservés pour la durée de votre essai et la fenêtre de vérification des reçus. Nous introduisons en Phase 3 (lancement du palier payant) une planification de purge automatique configurable ; avant ce déploiement, nous honorons promptement les demandes de suppression explicites. Le reçu Merkle lui-même ne contient pas vos entrées brutes, uniquement leurs hachages SHA-256.
• Reçus (engagements Merkle ancrés sur SHA-256 et JSON public allégé) : conservés indéfiniment, car le reçu est l'artefact dont vous pourriez avoir besoin longtemps après la suppression de vos entrées pour prouver que l'inférence s'est correctement exécutée. Les reçus ne contiennent pas vos entrées ni vos sorties brutes - seulement leurs hachages.
• Journaux opérationnels (métadonnées de requête, IP au moment de la requête, traces d'erreurs) : généralement environ 30 jours, plus long pour les entrées liées à un incident de sécurité spécifique.
• Correspondance courriel : généralement supprimée dans les 12 mois suivant la dernière interaction, sauf si une relation d'affaires se poursuit.

9. Vos droits

En vertu de la Loi 25, de la LPRPDE / PIPEDA, et (pour les résidents européens) du RGPD, vous avez le droit de :

• Accès - demander une copie des données personnelles que nous détenons à votre sujet.
• Rectification - demander la correction de données inexactes ou incomplètes.
• Effacement - demander la suppression de vos données (« droit à l'oubli »). Les reçus (qui ne contiennent que des hachages de vos données) peuvent être conservés lorsque leur effacement priverait l'artefact de sa raison d'être cryptographique.
• Limitation - demander que nous restreignions le traitement de vos données.
• Portabilité - recevoir les données que vous nous avez fournies dans un format structuré et lisible par machine.
• Opposition - vous opposer au traitement fondé sur l'intérêt légitime.
• Retrait du consentement - lorsque le traitement repose sur le consentement, vous pouvez le retirer à tout moment, sans affecter la licéité du traitement antérieur.
• Déposer une plainte - auprès de l'autorité de contrôle compétente (voir section 13).

Pour exercer l'un de ces droits, écrivez à contact@cyberiansystems.ai. Nous répondons dans les 30 jours. Nous pouvons vous demander de confirmer votre identité avant d'agir, afin de ne pas divulguer vos données à quelqu'un d'autre.

10. Sécurité

Nous mettons en œuvre les mesures suivantes pour protéger vos données :

• Chiffrement en transit. Tout le trafic vers cyberiansystems.ai et api.cyberiansystems.ai circule en TLS 1.2 ou 1.3. Le serveur d'origine n'accepte que les connexions provenant des plages d'IP publiées par Cloudflare - l'accès direct à l'origine est bloqué au niveau du pare-feu cloud et du pare-feu hôte.
• Gestion des mots de passe. Les mots de passe sont hachés côté serveur avec bcrypt (coût 12) avant stockage. Le texte clair est écarté immédiatement. Nous effectuons une vérification HaveIBeenPwned en k-anonymity à l'inscription afin de rejeter les mots de passe couramment compromis ; le hachage complet et le mot de passe lui-même ne quittent jamais notre serveur.
• Gestion des clés API. Les clés API en clair vous sont montrées une seule fois - à l'émission, à la rotation, ou dans le courriel de vérification. Nous ne conservons que le hachage SHA-256 de chaque clé et un préfixe de 12 caractères pour identification.
• Autorisation. Chaque point de terminaison client requiert un jeton Bearer et applique des vérifications de propriété de compte sur les accès inter-comptes (renvoyant 404 pour ne pas divulguer l'existence de ressources appartenant à d'autres comptes).
• Protocole interne. La communication entre le coordinateur et nos processus de travail est gardée par des jetons de répartition par chunk à usage unique et un en-tête d'authentification réservé aux travailleurs. Aucun de ces jetons n'est visible aux clients ni accessible depuis l'Internet public.
• Isolement réseau. Les files internes du coordinateur et sa base de données ne sont joignables qu'à travers un tunnel WireGuard depuis nos hôtes de travail ; elles ne sont pas exposées sur l'Internet public. Les hôtes de travail n'ont aucune ingress publique.
• Durcissement opérationnel. L'infrastructure tourne avec mises à jour de sécurité non assistées, fail2ban sur SSH, un modèle de comptes de service à privilège minimal sur les ressources cloud, et une journalisation structurée des requêtes avec masquage des champs sensibles.
• Règles WAF Cloudflare. Le filtrage en périphérie bloque les tentatives d'accès aux chemins internes ou les abus de la surface API via des en-têtes Host falsifiés.

Aucun système n'est parfaitement sécurisé. En cas de violation affectant vos données personnelles, nous vous en aviserons ainsi que l'autorité de contrôle compétente dans les délais imposés par la loi applicable (notamment 72 heures en vertu de l'art. 33 RGPD et les délais correspondants de la Loi 25).

11. Transferts internationaux

Notre infrastructure principale est située à Montréal, Canada. Les sous-traitants énumérés à la section 7 peuvent transmettre ou traiter des données hors du Canada ou hors de l'Espace économique européen dans le cadre de leur infrastructure mondiale (notamment l'anycast périphérique de Cloudflare et le routage de courriel de Google Workspace). Tout transfert transfrontalier s'appuie sur la certification du destinataire selon des mécanismes d'adéquation reconnus (p. ex. la décision d'adéquation de la LPRPDE pour les transferts entre le Canada et l'EEE, et le EU-US Data Privacy Framework) ou sur des garanties contractuelles appropriées (p. ex. les Clauses Contractuelles Types de l'UE).

12. Modifications de cette politique

Nous pouvons mettre à jour cette politique de confidentialité de temps à autre. Lorsque nous apportons un changement important - par exemple l'ajout d'un sous-traitant qui traite vos données, l'élargissement des données collectées, ou la modification des durées de conservation - nous mettons à jour la « Dernière mise à jour » en tête de page et, pour les clients actifs, envoyons un avis à l'adresse courriel inscrite à votre compte. Pour les changements non importants (clarifications, corrections de coquilles, mises à jour d'URL d'autorités de contrôle), nous ne mettons à jour que la date.

13. Autorité de contrôle

Si vous estimez que vos droits en matière de protection des données ont été violés, vous avez le droit de déposer une plainte auprès de l'autorité de contrôle compétente :

• Québec, Canada : Commission d'accès à l'information du Québec (CAI) - www.cai.gouv.qc.ca
• Canada (fédéral) : Commissariat à la protection de la vie privée du Canada (CPVP) - www.priv.gc.ca
• États-Unis : Federal Trade Commission (FTC) - reportfraud.ftc.gov ; les résidents de Californie peuvent également contacter la California Privacy Protection Agency - cppa.ca.gov
• Union européenne : votre autorité locale de protection des données en vertu du RGPD