Politique de Confidentialité

CONSOO S.R.L.S. — hice

Édition : Union européenne / Italie (français)

Dernière mise à jour : 29 juillet 2026

---

1. Introduction et champ d'application

1.1 La présente Politique de Confidentialité (ci-après la « Politique ») est fournie en application des articles 13 et 14 du Règlement (UE) 2016/679 (ci-après le « RGPD ») et du décret législatif italien n° 196/2003, tel que modifié (ci-après le « Code de la Vie Privée »).

1.2 La présente Politique décrit la manière dont CONSOO S.R.L.S. (ci-après « hice », le « Fournisseur », « nous ») traite les Données à Caractère Personnel en sa qualité de Responsable du traitement, en ce qui concerne :

• les Utilisateurs et Utilisateurs Autorisés qui accèdent au Service ;
• les Clients (sociétés et professionnels indépendants) qui souscrivent au Service, s'agissant des données des personnes physiques agissant en tant que personnes de contact, d'administration et de facturation ;
• les visiteurs du site web https://hice.ai et de l'application web https://app.hice.ai ;
• les prospects (leads) qui nous contactent ou demandent des informations.

1.3 Ce qu'est hice. hice est une plateforme SaaS multi-tenant de Professional Services Automation (PSA) dotée d'un assistant IA, nativement en italien, destinée aux sociétés de conseil et de services informatiques opérant en mode Temps et Matériaux (Time & Materials) et aux professionnels indépendants. Elle est accessible via le web à l'adresse app.hice.ai et via les applications mobiles pour iOS (App Store) et Android (Google Play).

1.4 Service réservé aux opérateurs professionnels (B2B). hice est proposé exclusivement à des sociétés et à des professionnels titulaires d'un numéro de TVA agissant dans l'exercice de leur activité professionnelle ; il ne s'adresse pas aux consommateurs. Le traitement des données des Utilisateurs — c'est-à-dire des personnes physiques (dirigeants, salariés, collaborateurs) qui accèdent au Service pour le compte du Client — s'inscrit dans ce contexte professionnel et dans le cadre de la relation contractuelle entre hice et le Client.

1.5 Champ d'application : uniquement les données pour lesquelles hice est Responsable du traitement. La présente Politique concerne exclusivement les traitements pour lesquels hice agit en qualité de Responsable du traitement. S'agissant des Données du Client — c'est-à-dire les données, y compris les données à caractère personnel de tiers (candidats, salariés, consultants, contacts, contenu des messageries et calendriers synchronisés), que le Client ou les Utilisateurs saisissent, téléversent ou génèrent dans le Service — hice agit en qualité de Sous-traitant pour le compte du Client, ce dernier étant le Responsable du traitement. Les règles régissant un tel traitement sont énoncées dans le DPA (dpa-trattamento-dati.md). Voir §3.

1.6 Les termes commençant par une majuscule non définis dans la présente Politique ont le sens qui leur est attribué dans les Conditions Générales de Service (condizioni-generali-servizio.md).

---

2. Responsable du traitement et coordonnées

2.1 Le Responsable du traitement est :

2.2 Délégué à la protection des données (DPO). hice a évalué les critères de l'article 37 du RGPD et n'a pas désigné de DPO, les conditions rendant cette désignation obligatoire n'étant pas réunies compte tenu de la nature, de l'objet et des finalités des traitements effectués. Le point de contact pour les questions relatives à la protection des données est l'adresse info@hice.ai.

2.3 Comment nous contacter. Pour toute demande relative au traitement des Données à Caractère Personnel et pour exercer les droits visés au §11, vous pouvez écrire à info@hice.ai.

---

3. Rôles en matière de protection des données : Responsable du traitement et Sous-traitant

3.1 hice opère avec un double rôle, qu'il est essentiel de distinguer.

3.2 hice est Responsable du traitement (article 4, point 7, du RGPD) — c'est ce que régit la présente Politique — pour :

• les données d'inscription et d'identité de l'Utilisateur (nom, email, identifiants) ;
• les données de facturation et de paiement du Client ;
• les journaux de sécurité, les audits techniques, les diagnostics produit et les données de télémétrie ;
• les communications d'assistance ;
• les données de prospection commerciale (leads/marketing) collectées sur le site web.

3.3 hice est Sous-traitant (article 28 du RGPD), pour le compte du Client agissant en qualité de Responsable du traitement, pour l'ensemble des Données du Client téléversées ou générées lors de l'utilisation du Service, y compris les données à caractère personnel de tiers (candidats, salariés, consultants, contacts, contenu des messageries et calendriers synchronisés). Ce traitement ne fait pas l'objet de la présente Politique : il est régi par le DPA (dpa-trattamento-dati.md), qui fait partie intégrante des Conditions.

3.4 Le Client est le Responsable du traitement de ses propres Données du Client. Le Client garantit qu'il dispose d'une base juridique pour téléverser de telles données et pour en confier le traitement à hice (par exemple, les consentements et informations fournis aux candidats et aux salariés).

3.5 Conséquence pratique pour la personne concernée. Si vous êtes un Utilisateur Autorisé salarié ou collaborateur d'un Client, ou un candidat/contact dont les données ont été saisies dans le Service par un Client, et que vous souhaitez exercer vos droits sur ces données, vous devez vous adresser avant tout à votre organisation (le Client en qualité de Responsable du traitement). hice, en qualité de Sous-traitant, apportera à cette organisation l'assistance prévue par le DPA. Pour les données dont hice est Responsable du traitement (par exemple, les données de votre Compte), vous pouvez en revanche nous contacter directement.

---

4. Catégories de Données à Caractère Personnel traitées

En sa qualité de Responsable du traitement, hice traite les catégories de données suivantes. Nous ne demandons ni ne traitons intentionnellement de catégories particulières de données à caractère personnel (article 9 du RGPD) aux fins pour lesquelles hice est Responsable du traitement.

4.1 Données d'inscription et d'identité de l'Utilisateur. Prénom, nom, adresse email, fonction professionnelle, organisation (Tenant) d'appartenance, préférences linguistiques et paramètres de profil.

4.2 Identifiants et données d'authentification. Mot de passe (conservé sous forme chiffrée au moyen d'une fonction de hachage), jetons de session et identifiants d'accès. Lors de leur activation par vos soins, les intégrations d'authentification éventuelles.

4.3 Données de facturation et de paiement du Client. Dénomination sociale ou prénom et nom, adresse, numéro de TVA / code fiscal, code destinataire SDI ou PEC pour la facturation électronique, données d'abonnement, historique des paiements et des factures. Les données de la carte ou de l'instrument de paiement sont traitées directement par le prestataire de services de traitement des paiements : hice ne conserve pas les numéros de carte complets.

4.4 Journaux de sécurité, audits techniques et diagnostics. Adresse IP, identifiant et type d'appareil, système d'exploitation, journaux d'application, journal des accès et des événements pertinents pour la sécurité (journal d'audit), données de diagnostic et d'erreur nécessaires au fonctionnement et à la protection du Service.

4.5 Télémétrie produit. Données relatives à l'utilisation et à l'interaction avec le Service (événements d'usage, fonctionnalités utilisées, identifiants techniques), traitées sous forme masquée lorsque cela est possible, afin de mesurer et d'améliorer le fonctionnement du Service. La collecte au moyen de cookies et de technologies similaires est régie par la Politique relative aux Cookies (voir §8).

4.6 Communications d'assistance. Le contenu des demandes d'assistance, la correspondance avec notre équipe, ainsi que les données nécessaires à leur traitement et à leur réponse.

4.7 Données de prospection et de marketing. Les données que vous nous fournissez spontanément en nous contactant ou en demandant des informations (nom, email, société, message), ainsi que toute donnée collectée au moyen des formulaires de contact du site web.

4.8 Notifications push (application mobile). Si vous les activez, un jeton de notification associé à votre appareil, utilisé exclusivement pour vous envoyer des alertes relatives au Service.

4.9 Autorisations de l'application mobile. L'application mobile peut demander certaines autorisations relatives à l'appareil, toutes facultatives et activées uniquement lorsque vous utilisez la fonctionnalité correspondante ; vous pouvez les révoquer à tout moment depuis les paramètres du système d'exploitation :

• Microphone et reconnaissance vocale : pour dicter des messages dans la discussion (chat). L'audio est utilisé aux fins de transcription et n'est pas conservé sous forme de fichier audio.
• Appareil photo et photos : pour prendre ou joindre des reçus, factures et documents (par exemple, capture et lecture automatique des notes de frais). Nous n'accédons qu'aux images que vous choisissez de joindre.
• Notifications : pour vous alerter des échéances, approbations, messages et événements du Service.
• Stockage sécurisé : le jeton d'accès est conservé sous forme chiffrée dans la zone protégée de l'appareil (Keychain / Keystore), afin que vous restiez authentifié sans avoir à ressaisir vos identifiants à chaque lancement.

Remarque : les images, reçus et documents que vous téléversez dans le Service constituent normalement des Données du Client (voir §3 et le DPA).

---

5. Finalités du traitement et bases juridiques

Pour chaque catégorie de traitement, nous indiquons la finalité et la base juridique correspondante en application de l'article 6 du RGPD.

5.12 Mise en balance de l'intérêt légitime. Lorsque nous traitons des données sur le fondement de l'intérêt légitime, nous avons procédé à une mise en balance entre cet intérêt et les droits et libertés des personnes concernées. Vous pouvez demander de plus amples informations sur cette évaluation en utilisant les coordonnées visées au §2 et vous disposez du droit de vous opposer au traitement (voir §11).

5.13 Caractère obligatoire ou facultatif de la fourniture des données. La fourniture des données indiquées comme nécessaires à l'inscription, à l'exécution du contrat et au respect des obligations légales est obligatoire : son défaut empêche la création du Compte ou l'utilisation du Service. La fourniture des données pour les finalités fondées sur le consentement est facultative et son refus n'affecte pas l'utilisation du Service (sous réserve des fonctionnalités facultatives auxquelles se rapporte le consentement).

---

6. Fonctionnalités d'IA

6.1 Le Service comprend des Fonctionnalités d'IA (assistant conversationnel de type chat, mise en correspondance candidat↔opportunité, extraction de données de CV (CV parsing), OCR des reçus et des factures). Lorsque vous interagissez avec la discussion (chat), le texte de vos messages et le contexte nécessaire pour y répondre sont traités par des modèles d'intelligence artificielle hébergés sur l'infrastructure du Service ou chez le prestataire de traitement des Fonctionnalités d'IA (voir §9 et §10).

6.2 Absence d'entraînement sur les Données du Client. hice n'utilise pas les Données du Client pour entraîner des modèles d'IA fondamentaux. Les données traitées par les Fonctionnalités d'IA sont utilisées pour générer la réponse et pour le fonctionnement des fonctionnalités concernées ; elles ne sont pas transférées à des tiers à des fins publicitaires ni utilisées pour entraîner des modèles de tiers.

6.3 Supervision humaine (HITL). Les actions d'écriture suggérées par l'IA nécessitent une confirmation humaine avant d'être exécutées (human-in-the-loop).

6.4 Transparence et décisions automatisées. Pour la description détaillée des Fonctionnalités d'IA, des modèles et prestataires utilisés, des limites des systèmes (erreurs possibles et « hallucinations »), du traitement des données en matière de recrutement et des règles relatives à la prise de décision automatisée, veuillez vous reporter à la Notice de Transparence sur l'IA (informativa-ai-trasparenza.md). Voir également §12.

---

7. Modalités du traitement

7.1 Les données sont traitées au moyen d'outils électroniques et automatisés, et de manière résiduelle sur papier, selon une logique liée aux finalités visées au §5 et avec des mesures propres à en garantir la sécurité et la confidentialité.

7.2 Le traitement est effectué par le personnel de hice autorisé et spécifiquement instruit, ainsi que par les prestataires (Sous-traitants et Sous-traitants ultérieurs) indiqués au §9, soumis à des obligations de confidentialité et à des contrats conformes à l'article 28 du RGPD.

7.3 Les mesures de sécurité adoptées comprennent : le chiffrement des données en transit (TLS/HTTPS) et le chiffrement au repos des données sensibles (données à caractère personnel via AES-256-GCM, jetons d'intégration OAuth chiffrés) ; une isolation stricte entre les organisations (architecture multi-tenant avec sécurité au niveau des lignes — Row Level Security) ; un contrôle d'accès fondé sur les rôles selon le principe du moindre privilège ; la journalisation des événements de sécurité (journal d'audit) ; des sauvegardes à des fins de continuité. Les mesures techniques et organisationnelles détaillées relatives aux Données du Client sont décrites dans l'Annexe du DPA (dpa-trattamento-dati.md).

---

8. Cookies et technologies similaires

8.1 Le site web et l'application web utilisent des cookies et des technologies similaires. Les cookies techniques/nécessaires sont utilisés pour le fonctionnement du Service et de l'authentification ; les cookies d'analyse/produit (imputables au prestataire de services d'analyse produit relevant de la catégorie indiquée au §9) sont utilisés, lorsque le consentement est fourni, pour mesurer l'utilisation du Service.

8.2 Analyse produit et enregistrement de session. L'outil d'analyse produit comprend une fonctionnalité d'enregistrement de session (session replay), qui reconstitue l'interaction avec l'interface à des fins d'amélioration, de sécurité et de diagnostic. L'enregistrement s'effectue avec masquage de l'ensemble des champs de texte et de saisie et ne capture aucune donnée à caractère personnel (PII). La base juridique est votre consentement (art. 6.1.a du RGPD et règles ePrivacy) : en l'absence de consentement, l'analyse produit et l'enregistrement de session sont désactivés. La gestion et le retrait du consentement sont décrits dans la Politique relative aux Cookies (cookie-policy.md), à laquelle il est renvoyé.

8.3 Les règles complètes — catégories, finalités, bases juridiques, durées, liste détaillée des outils et modalités de gestion et de retrait du consentement — sont énoncées dans la Politique relative aux Cookies (cookie-policy.md), à laquelle il est renvoyé.

---

9. Destinataires, Sous-traitants et Sous-traitants ultérieurs

9.1 Nous ne vendons pas vos Données à Caractère Personnel. Les données peuvent être communiquées ou rendues accessibles aux catégories de destinataires suivantes :

• le personnel autorisé de hice (administrateurs système, assistance, administration) ;
• les prestataires agissant en qualité de Sous-traitants (article 28 du RGPD), liés par contrat et limités aux finalités indiquées ;
• les professionnels et conseils (par exemple, expert-comptable, avocats) et les autorités compétentes, lorsque la loi l'exige ou lorsque cela est nécessaire à l'établissement, à l'exercice ou à la défense d'un droit en justice.

9.2 Catégories de Sous-traitants ultérieurs. hice fait appel à des prestataires externes agissant en qualité de Sous-traitants ultérieurs, décrits ci-après par catégorie fonctionnelle (sans indication des prestataires ou outils individuels). La liste nominative est tenue à des fins internes et peut être communiquée sur demande, dans les limites applicables.

9.3 Localisation et transferts. Les services cloud et les serveurs utilisés pour fournir le Service sont situés dans la région de référence de la présente édition (Union européenne / Espace économique européen). Si un traitement nécessite exceptionnellement un transfert hors de cette région, il est effectué avec des garanties appropriées conformément à la réglementation applicable (pour l'édition UE : Chapitre V du RGPD — clauses contractuelles types ou décision d'adéquation). Voir §10.

9.4 Intégrations « BYO » (email/calendrier). Les intégrations email et calendrier sont activées par le Client avec ses propres identifiants auprès du prestataire qu'il a choisi : le traitement correspondant s'effectue dans l'environnement du Client, dont ce dernier est responsable en qualité de Responsable du traitement.

9.5 Traitement local sur l'infrastructure. Les outils d'OCR et de compression de documents sont des composants logiciels exécutés localement sur l'infrastructure du Service, sans communication à des prestataires externes.

9.6 La liste des Sous-traitants ultérieurs qui traitent les Données du Client, ainsi que les modalités de notification des changements et le droit d'opposition du Client, sont régis par le DPA (dpa-trattamento-dati.md).

9.7 Données Google Workspace (Gmail et Google Calendar)

Lorsqu'un Utilisateur connecte son compte Google, hice accède uniquement aux données nécessaires aux fonctions demandées au moyen des portées OAuth gmail.send et/ou calendar.events.owned :

• pour Gmail : l'identité du compte expéditeur ainsi que les destinataires, l'objet et le contenu des nouveaux e-mails que l'Utilisateur décide d'envoyer ;
• pour Google Calendar : titre, description, date et heure, participants, lieu, liens de réunion et état des événements.

Ces données servent uniquement à permettre à l'Utilisateur d'envoyer de nouveaux e-mails et d'afficher, créer, modifier ou supprimer des événements. Les jetons OAuth sont chiffrés. HICE ne lit ni ne synchronise la boîte Gmail, les messages envoyés, les brouillons, les libellés ou la corbeille. Les événements du calendrier sont stockés et synchronisés dans le Service. Les résultats que l'Utilisateur choisit de générer par le chat IA peuvent rester dans l'historique selon les durées de conservation applicables.

Conservation et suppression des données Google. HICE ne crée aucune copie de la boîte Gmail ; la déconnexion de Google Mail supprime ses jetons OAuth et interrompt les nouveaux envois. La déconnexion de Calendar supprime immédiatement les jetons OAuth et arrête la synchronisation ; les événements déjà importés restent comme historique opérationnel jusqu'à leur suppression par l'Utilisateur ou le Client. À la fin du Compte ou du contrat, les données Google restantes dans les systèmes actifs sont supprimées ou anonymisées sous 30 jours, sauf obligation légale ou nécessité de sécurité ou de défense.

Partage pour l'IA. Uniquement lorsque l'Utilisateur invoque intentionnellement une fonction d'IA sur la Messagerie ou le Calendrier, le prompt et les données Google strictement nécessaires sont transmis à un fournisseur tiers d'API LLM, via un environnement API dédié, uniquement afin de produire la réponse demandée. Les données Google Workspace ne sont pas envoyées à un autre fournisseur d'IA, ne sont pas vendues et ne sont pas utilisées à des fins publicitaires, de profilage de crédit ou d'entraînement de modèles généraux. HICE n'adhère pas aux programmes volontaires de partage de données pour l'entraînement. Le fournisseur sélectionné peut conserver les journaux de surveillance des abus jusqu'à 30 jours selon ses conditions business/API.

L'utilisation par hice des informations reçues des API Google Workspace respecte la Google API Services User Data Policy, y compris les exigences de Limited Use.

The use of information received from Google Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements.

---

10. Transferts de données vers des pays hors EEE

10.1 Les services cloud et les serveurs utilisés pour fournir le Service sont situés dans l'Union européenne / l'Espace économique européen (EEE). Les données résident dans cette région et, en règle générale, ne sont pas transférées en dehors de celle-ci.

10.2 Si un traitement nécessite exceptionnellement un transfert hors de l'EEE, il est effectué dans le respect du Chapitre V du RGPD, sur le fondement d'une ou plusieurs des garanties suivantes :

• une décision d'adéquation de la Commission européenne, le cas échéant ;
• des clauses contractuelles types (CCT) adoptées par la Commission européenne, complétées, si nécessaire, par des mesures supplémentaires.

10.3 Vous pouvez demander des informations sur les garanties appliquées et, lorsqu'elles sont fournies, une copie de celles-ci, en écrivant aux coordonnées visées au §2.

---

11. Durées de conservation

11.1 hice conserve les Données à Caractère Personnel pendant le temps strictement nécessaire aux finalités pour lesquelles elles sont collectées et dans le respect des obligations légales, selon les critères suivants.

11.2 Conservation des données des candidats (recrutement). Les données des candidats saisies dans le Service constituent des Données du Client (hice est Sous-traitant ; voir §3). Le Service applique des durées de conservation différenciées par pays, courant à compter de la date de saisie du candidat : 24 mois pour l'UE/EEE, 12 mois pour le Royaume-Uni, 24 mois par défaut prudentiel pour les autres pays. La définition des finalités et des délais à l'égard des candidats relève du Client en sa qualité de Responsable du traitement ; les règles sont énoncées dans le DPA (dpa-trattamento-dati.md) et dans les Modèles d'Avis de Confidentialité pour le Client (modelli-informative-cliente.md).

11.3 Une fois les délais indiqués écoulés, les données sont supprimées ou rendues anonymes, sous réserve des obligations légales de conservation ou des besoins liés à l'établissement, à l'exercice ou à la défense d'un droit en justice.

---

12. Prise de décision automatisée et profilage

12.1 hice ne prend pas de décisions fondées exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques ou affectant de manière significative de façon similaire les personnes concernées, pour les traitements dont hice est Responsable.

12.2 Les Fonctionnalités d'IA du Service — en particulier la mise en correspondance des candidats — constituent une aide à la décision humaine et ne décident pas de manière autonome. Lorsque le Client les utilise dans le cadre de processus de recrutement, c'est au Client (Responsable du traitement et employeur/décideur) qu'il incombe d'assurer la supervision humaine, d'informer les candidats et de garantir les droits à une intervention humaine, à exprimer leur point de vue et à contester la décision.

12.3 Pour les règles complètes relatives à la transparence algorithmique, à l'article 22 du RGPD et aux obligations du Règlement (UE) 2024/1689 (AI Act de l'UE), veuillez vous reporter à la Notice de Transparence sur l'IA (informativa-ai-trasparenza.md).

---

13. Droits de la personne concernée

13.1 En ce qui concerne les données dont hice est Responsable du traitement, vous disposez du droit d'exercer, dans les limites et aux conditions prévues par les articles 15 à 22 du RGPD :

• le droit d'accès à vos données (article 15) ;
• le droit de rectification des données inexactes ou incomplètes (article 16) ;
• le droit à l'effacement des données (« droit à l'oubli », article

17. ;

• le droit à la limitation du traitement (article 18) ;
• le droit à la portabilité des données que vous nous avez fournies, dans un format structuré et lisible par machine (article 20) ;
• le droit d'opposition au traitement fondé sur l'intérêt légitime, pour des raisons tenant à votre situation particulière, et à tout moment au traitement à des fins de prospection directe (article 21) ;
• le droit de retirer votre consentement à tout moment, pour les traitements fondés sur le consentement, sans que cela n'affecte la licéité du traitement fondé sur le consentement effectué avant ce retrait (article 7, paragraphe 3).

13.2 Comment exercer vos droits. Vous pouvez exercer vos droits en écrivant à info@hice.ai. Nous répondrons sans retard injustifié et en tout état de cause dans un délai d'un mois, pouvant être prolongé de deux mois dans les cas de complexité particulière (article 12 du RGPD). Nous pourrons vous demander les informations nécessaires pour vérifier votre identité.

13.3 Réclamation auprès de l'autorité de contrôle. Vous avez le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente. En Italie, il s'agit du Garante per la protezione dei dati personali (le Garante) (Piazza Venezia 11, 00187 Rome — www.garanteprivacy.it), sans préjudice de tout autre recours administratif ou juridictionnel (articles 77 à 79 du RGPD).

13.4 Données traitées par hice en qualité de Sous-traitant. Si vos données sont traitées par hice en qualité de Sous-traitant pour le compte d'un Client agissant en qualité de Responsable du traitement (les Données du Client, §3), adressez votre demande avant tout à votre organisation. hice apportera à cette organisation l'assistance prévue par le DPA afin de répondre à vos demandes.

---

14. Mineurs

14.1 hice est un outil professionnel et n'est pas destiné aux mineurs de moins de 16 ans. Nous ne collectons pas sciemment de Données à Caractère Personnel de mineurs pour les traitements dont nous sommes Responsable. Si nous devions avoir connaissance d'un traitement involontaire de données d'un mineur, nous les supprimerions sans retard injustifié.

---

15. Mises à jour de la présente Politique

15.1 La présente Politique peut être mise à jour au fil du temps, par exemple en raison de modifications législatives, de changements de prestataires ou de fonctionnalités du Service. En cas de modification substantielle, nous en donnerons avis par l'intermédiaire du Service ou par email. La date de la dernière mise à jour figure en tête du document.

15.2 Il incombe à la personne concernée et au Client de consulter périodiquement la version en vigueur.

---

16. Références et documents connexes

• DPA — Accord de Traitement des Données (dpa-trattamento-dati.md) : pour les Données du Client, pour lesquelles hice est Sous-traitant.
• Notice de Transparence sur l'IA (informativa-ai-trasparenza.md) : pour les Fonctionnalités d'IA et les décisions automatisées.
• Politique relative aux Cookies (cookie-policy.md) : pour les cookies et technologies similaires.
• Conditions Générales de Service (condizioni-generali-servizio.md) : pour la relation contractuelle et les définitions.