Informations légales
Dernière mise à jour : 22 août 2026 · S’applique à actcovered.com et à l’application ActCovered.
1. Mentions légales
Éditeur. ActCovered est édité par EZIOM, société par actions simplifiée (SAS) de droit français, immatriculée en France sous le numéro SIREN 922 234 216, dont le siège social est situé 200 rue de la Croix Nivert, 75015 Paris, France.
Directeur de la publication. Hugo Morales — contact : hello@actcovered.com.
Hébergement. Le site et l’application sont hébergés par Hostinger International Ltd, 61 Lordou Vironos Street, 6023 Larnaca, Chypre, sur un hébergement mutualisé dont les serveurs sont situés en France — www.hostinger.fr. Votre dossier de conformité est conservé dans une base de données MySQL sur cet hébergement.
Propriété intellectuelle. L’ensemble des contenus de ce site (textes, graphisme, marque verbale, logiciel) est la propriété de l’éditeur, sauf mention contraire. Toute reproduction sans accord écrit préalable est interdite. Les documents qu’ActCovered produit pour vous — votre registre, votre politique d’usage, votre classeur de preuves — vous appartiennent.
2. Politique de confidentialité
Nous éditons un produit de conformité ; nous nous tenons au niveau d’exigence que nous vendons. La présente politique décrit la manière dont nous traitons les données à caractère personnel au titre du règlement (UE) 2016/679 (« RGPD »).
2.1 Responsable de traitement
EZIOM SAS, dont les coordonnées figurent ci-dessus, est responsable de traitement pour les traitements décrits ci-dessous. Contact pour toute question relative aux données personnelles : hello@actcovered.com. Nous n’avons pas désigné de délégué à la protection des données ; le directeur de la publication traite ces demandes personnellement.
2.2 Ce que nous collectons, pourquoi, sur quelle base légale et pendant combien de temps
| Données | Finalité | Base légale | Durée de conservation |
|---|---|---|---|
| Adresse e-mail du compte, raison sociale | Authentification par lien de connexion, gestion du compte, e-mails de service | Exécution du contrat (art. 6.1.b RGPD) | Jusqu’à la suppression de votre compte, puis effacement sous 30 jours |
| Contenu du dossier de conformité — registre IA, politique d’usage, journal de formation avec les noms et fonctions des salariés que vous y saisissez, événements de preuve | Fourniture du service | Exécution du contrat (art. 6.1.b RGPD) ; pour les données de vos salariés, nous agissons en qualité de sous-traitant | Jusqu’à la suppression de l’enregistrement ou du compte, puis effacement sous 30 jours |
| Jetons de connexion | Vous permettre de vous connecter sans mot de passe | Exécution du contrat | Le jeton expire en quelques minutes et ne sert qu’une fois ; les lignes expirées sont supprimées |
| Test de maturité : adresse e-mail, les cinq réponses, le score et le statut obtenus, la page d’origine, une empreinte SHA-256 de votre adresse IP | Vous envoyer le rapport que vous avez demandé, et reprendre contact au sujet d’ActCovered ; l’empreinte de l’adresse IP ne sert qu’à détecter les abus d’un formulaire public | Le rapport vous est envoyé parce que vous l’avez demandé : vous avez saisi votre adresse et cliqué sur « Recevoir mon rapport » (art. 6.1.b RGPD, mesures prises à votre demande). La reprise de contact ultérieure repose sur l’intérêt légitime (art. 6.1.f RGPD) à la prospection entre professionnels, et l’empreinte de l’adresse IP également, pour prévenir les abus d’un formulaire public. Vous pouvez vous opposer à cette reprise de contact en un clic depuis n’importe quel message, et nous nous arrêtons définitivement. | 12 mois après notre dernier contact, puis suppression automatique |
| Données de facturation — nom, adresse de facturation, numéro de TVA, factures (les données de carte bancaire sont traitées par Stripe et n’atteignent jamais nos serveurs) | Paiements, facturation, comptabilité | Contrat et obligation légale (art. 6.1.c RGPD) | 10 ans pour les pièces comptables, comme la loi française l’exige |
| Journaux du serveur et journaux d’envoi d’e-mails | Sécurité, débogage, diagnostic de délivrabilité | Intérêt légitime (art. 6.1.f RGPD) | 12 mois au maximum |
| Liste d’opposition — une empreinte SHA-256 de l’adresse e-mail de toute personne ayant demandé à ne plus recevoir de message | Faire en sorte qu’une désinscription reste respectée | Obligation légale et intérêt légitime | Conservée sans limite de durée, car l’oublier reviendrait à annuler la demande. L’adresse elle-même n’est pas conservée, seulement son empreinte. |
Nous ne conservons votre adresse IP en clair nulle part dans le produit. Nous ne vendons pas de données, et nous ne les partageons pas à des fins publicitaires.
Les données de votre équipe. Lorsque vous ajoutez des salariés à votre journal de formation, vous êtes responsable de traitement et nous sommes votre sous-traitant : nous ne traitons ces enregistrements que sur vos instructions, pour faire fonctionner le service. Les termes de cette relation figurent dans notre accord de sous-traitance, que vous pouvez lire et imprimer sans avoir à nous le demander.
2.3 Sous-traitants ultérieurs et transferts hors de l’Union européenne
Nous tenons une liste volontairement courte, et nous la publions avec la date de sa dernière modification sur la page des sous-traitants. En résumé :
- Hostinger International Ltd (Cyprus) — Hébergement web et base de données MySQL où est stocké votre dossier de conformité · France (UE).
- Stripe Payments Europe, Ltd (Ireland) — Paiements, facturation et portail de facturation client · Irlande (UE), avec transferts intragroupe encadrés par les clauses contractuelles types.
- Brevo SAS (France) — E-mails transactionnels et produit — liens de connexion, reçus, rapports de maturité · France (UE).
- Plausible Insights OÜ (Estonia) — Mesure d’audience sur le site public · Allemagne (UE).
Les données à caractère personnel sont conservées et traitées dans l’Union européenne. Lorsque les sociétés d’un même groupe établies hors de l’Union sont susceptibles d’y accéder à des fins d’assistance — le cas concret est Stripe —, cet accès est encadré par les clauses contractuelles types de la Commission européenne et par les mesures supplémentaires propres au sous-traitant. Nous n’utilisons pas Supabase ; une version antérieure de ce site l’utilisait, et cette dépendance a été supprimée en même temps que les données qu’elle détenait.
2.4 Cookies et technologies similaires
Nous n’utilisons aucun cookie publicitaire, aucun traceur inter-sites et aucune bannière de consentement, parce qu’il n’y a rien à consentir sur le site public.
- Le cookie de session. Lorsque vous demandez un lien de connexion et que vous le suivez, nous déposons un seul cookie de session, propre à notre site (
ext-actcovered-ehvsia-session). Il contient un identifiant de session opaque — ni votre adresse e-mail, ni vos données — et c’est lui qui vous maintient connecté d’une page à l’autre. Il est HttpOnly, SameSite=Lax et, en production, Secure. Il expire après 2 heures d’inactivité, ou lorsque vous vous déconnectez. C’est un cookie strictement nécessaire : l’application ne peut pas fonctionner sans lui, aucun consentement n’est donc requis, et le refuser signifie que vous ne pouvez pas vous connecter. - Le cookie anti-CSRF. Un cookie compagnon, lui aussi propre à notre site, porte le jeton qui prouve qu’un formulaire a bien été envoyé depuis nos propres pages. Même durée de vie, même stricte nécessité.
- Le lien de connexion lui-même. Le lien que nous envoyons par e-mail est un jeton à usage unique placé dans l’URL, et non un cookie. Il expire en quelques minutes et cesse de fonctionner après une utilisation.
- Attribution partenaire. Si — et seulement si — vous arrivez par un lien partenaire portant
?aff_click=ou?ref=, ces deux valeurs sont conservées dans des cookies propres à notre site pendant 30 jours, afin de pouvoir créditer le partenaire si vous achetez ensuite. Elles ne contiennent aucun profil et ne sont jamais lues par un autre site. Effacer vos cookies les supprime. - Mesure d’audience. La mesure d’audience est assurée par Plausible, hébergé dans l’Union européenne : aucun cookie, aucune empreinte de navigateur, aucune donnée personnelle, et rien qui vous suive sur un autre site.
2.5 Vos droits, et où les exercer
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit de retirer votre consentement à tout moment. Pour un compte ActCovered, trois d’entre eux sont intégrés au produit au lieu d’être une promesse :
- Accès (art. 15) et portabilité (art. 20). Votre page de compte comporte un export « télécharger mes données » : tout ce que nous détenons pour votre compte — profil, registre IA, versions de la politique d’usage, journal de formation, événements de preuve, récapitulatif de facturation — dans un fichier structuré et lisible par une machine, immédiatement et sans avoir à nous le demander.
- Effacement (art. 17). La même page supprime votre compte et tout ce qu’il contient. La suppression est réelle : votre dossier, votre registre, vos politiques d’usage et vos enregistrements de formation sont supprimés, et ce qui subsiste dans une sauvegarde en sort par rotation sous 30 jours. L’enregistrement du compte lui-même est vidé de tout champ personnel, puis clos. Nous ne conservons que ce que la loi comptable impose — les factures, détachées de vous et rattachées à une empreinte à sens unique de votre adresse plutôt qu’à l’adresse elle-même.
- Rectification (art. 16). Tout ce que contient votre dossier est modifiable sur place, y compris votre adresse e-mail.
Pour les droits que nous ne pouvons pas placer derrière un bouton — limitation, opposition, ou toute demande portant sur un test de maturité passé sans compte —, écrivez à hello@actcovered.com et nous répondrons sous 30 jours. Si vous avez passé le test de maturité et souhaitez la suppression de votre ligne ou l’inscription de votre adresse en liste d’opposition, dites-le et nous ferons les deux.
Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr), ou auprès de l’autorité de contrôle de votre propre pays.
2.6 Sécurité
Les échanges sont chiffrés par TLS. Il n’existe pas de mot de passe ici — l’authentification se fait par un lien e-mail à usage unique et de courte durée, ce qui supprime toute la catégorie des incidents liés à un mot de passe divulgué. L’accès à la base de données de production est réservé au directeur de la publication. Nos mesures techniques et organisationnelles sont décrites en détail à l’annexe 2 de notre accord de sous-traitance, et nous vous informons de toute violation de données à caractère personnel dans les meilleurs délais, comme l’exigent les articles 33 et 34 du RGPD.
3. Conditions générales de vente
3.1 Le service
ActCovered fournit un outil logiciel destiné à aider les organisations à documenter leur usage de systèmes d’IA au regard du règlement (UE) 2024/1689 (le « règlement européen sur l’IA »), tel que modifié par le règlement (UE) 2026/1744 : un registre IA, un générateur de politique d’usage, un journal de formation et des exports de preuves. ActCovered fournit un outil de conformité et des modèles de documents, pas un conseil juridique. Le recours au service ne vous met pas, à lui seul, en conformité avec quelque texte que ce soit, et nous ne prétendons pas le contraire ; pour une interprétation qui engage, consultez un avocat.
3.2 Comptes et usage autorisé
Le service est destiné à un usage professionnel. L’authentification se fait par lien e-mail : la sécurité de l’accès à votre messagerie relève donc de votre responsabilité, de même que l’exactitude de ce que vous y consignez. Vous vous engagez à ne pas utiliser le service de manière illicite, à ne pas tenter d’accéder au dossier d’un autre client, et à ne pas revendre l’accès sans notre accord.
3.3 Offres, facturation, résiliation
Les prix sont indiqués sur la page des tarifs et s’entendent hors taxes, la TVA étant calculée par Stripe au moment du paiement. Les abonnements mensuels sont facturés d’avance et résiliables à tout moment depuis le portail de facturation de l’application ; la résiliation prend effet à la fin de la période déjà payée, sans remboursement de celle-ci. Le Dossier de conformité est un achat unique qui n’expire pas. L’audit réalisé pour vous est une prestation unique livrée dans les 10 jours ouvrés suivant l’entretien de cadrage, avec 4 créneaux par mois pour que l’engagement reste tenable. Les prix peuvent évoluer moyennant un préavis de 30 jours ; une évolution ne s’applique jamais à une période déjà payée.
3.4 Droit de rétractation
Le service est réservé aux professionnels : le droit de rétractation du consommateur ne s’applique donc pas de plein droit. Il existe une exception, aux articles L.221-3 et L.221-18 du code de la consommation : un professionnel employant cinq salariés ou moins, qui contracte pour un objet n’entrant pas dans le champ de son activité principale, bénéficie du même droit de rétractation de quatorze jours qu’un consommateur.
Si c’est votre cas : les quatorze jours courent à compter du jour de la conclusion du contrat pour une prestation de services, et à compter du jour de la réception du bien pour tout élément livré. Pour l’exercer, écrivez à hello@actcovered.com en indiquant sans ambiguïté que vous vous rétractez — toute formulation convient, et vous n’avez pas à motiver votre décision. Nous remboursons dans les quatorze jours suivant la réception de votre demande, par le même moyen de paiement que celui que vous avez utilisé.
Le seul cas où il cesse de s’appliquer, parce que l’article L.221-28 1° du code de la consommation le prévoit, et parce qu’il serait sinon un moyen d’emporter un document sans le payer : si vous nous demandez de commencer avant l’expiration des quatorze jours et que vous reconnaissez expressément que vous perdrez votre droit de rétractation une fois la prestation pleinement exécutée, alors, dès lors que nous l’avons pleinement exécutée, ce droit est perdu. Concrètement, cela veut dire télécharger l’export sans filigrane du Dossier de conformité, ou détenir le dossier d’audit livré. Commencer le travail sans l’achever ne produit pas cet effet — vous vous rétractez quand même, et vous ne nous devez que la part déjà exécutée.
3.5 Disponibilité et responsabilité
Nous visons une disponibilité élevée, sans promettre un service ininterrompu. Dans la limite permise par la loi, notre responsabilité totale est plafonnée aux sommes que vous nous avez versées au cours des douze mois précédant la réclamation, et nous ne répondons pas des dommages indirects — y compris des sanctions administratives, qui découlent de vos propres décisions en matière de conformité et non de notre logiciel.
3.6 Fin du contrat
Vous pouvez supprimer votre compte à tout moment depuis votre page de compte. Nous pouvons suspendre un compte en cas d’abus, de défaut de paiement ou d’usage illicite, avec un préavis lorsque c’est possible. À la fin du contrat, vos données sont effacées sous 30 jours, à l’exception de ce que la loi nous impose de conserver ; exportez-les au préalable — le bouton d’export est sur la même page.
3.7 Droit applicable
Les présentes conditions sont régies par le droit français. Tout litige qui ne pourrait être résolu à l’amiable relève de la compétence des tribunaux du ressort du siège social de l’éditeur.