Politique de confidentialité de DIRI AI

1. Qui contrôle vos données personnelles

DIRI AI est exploitée par František Mráz, IČO 07961731, exerçant sous le nom DIRI AI. Le siège et les canaux de contact vérifiés figurent dans les Mentions légales. Les demandes relatives à la vie privée doivent être envoyées à privacy@diriai.com.

DIRI AI est normalement le responsable du traitement pour les visites du site web, les comptes individuels, les essais, la facturation, l'assistance, la sécurité, l'administration du produit, l'exploitation des applications en propre, la mesure d'audience du site public fondée sur le consentement et la prospection directe. Lorsqu'une organisation fournit des données personnelles dans son espace de travail et détermine les finalités et les moyens de leur utilisation, cette organisation est le responsable du traitement et DIRI AI agit en tant que son sous-traitant au titre de l'Accord de traitement des données. Les utilisateurs doivent d'abord s'adresser à leur organisation pour toute demande portant sur les données de l'espace de travail contrôlées par l'organisation.

2. Champ d'application

La présente Politique s'applique à diriai.com, aux applications DIRI AI, aux abonnements, aux essais, à l'assistance et aux communications connexes. La mesure Google Analytics facultative est limitée aux pages marketing publiques prises en charge en anglais et en tchèque sur diriai.com et www.diriai.com ; elle ne s'exécute pas sur les routes de l'application, du compte, de l'authentification, de la facturation, des mentions légales, du super-administrateur ni de prévisualisation. Par ailleurs, les routes authentifiées de l'application utilisent une mesure d'audience opérationnelle en propre, côté serveur et minimisée du point de vue de la vie privée, décrite dans la présente Politique. Ce traitement n'est pas GA4 et n'est pas relié à GA4. La présente Politique ne régit ni le site web indépendant d'un tiers ni l'utilisation que fait un client de ses propres données exportées. Le paiement en vigueur doit signaler tout traitement sensiblement différent avant qu'il ne commence.

3. Données que nous traitons

Selon la manière dont vous utilisez DIRI AI, nous pouvons traiter :

• données de compte et d'identité : nom, adresse e-mail, identifiant de compte, événements d'authentification, langue choisie et confirmation de l'âge ou de l'éligibilité ;
• données de l'organisation : nom de l'employeur ou du client, fonction, appartenance à l'espace de travail, invitations, actions des administrateurs et attributions de licences ;
• données de facturation : offre, pays de facturation, identifiants d'entreprise fournis par le client, références de facture et de transaction, statut du paiement et métadonnées limitées de la carte fournies par le prestataire de paiement ; DIRI AI n'a pas besoin de recevoir le numéro complet de la carte ;
• contenu d'entraînement : scénarios, instructions, saisie vocale, enregistrements facultatifs, transcriptions, annotations, scores, rapports, retours de coaching et réponses des utilisateurs ;
• données d'utilisation : durée des sessions, langue et voix choisies, utilisation des fonctionnalités, consommation du quota, paramètres, exports et événements de résiliation ;
• mesure d'audience opérationnelle de l'application en propre : pseudonymes HMAC à clés indépendantes pour le locataire et l'utilisateur, une fenêtre d'activité UTC de 15 minutes, l'heure de la dernière activité acceptée dans cette fenêtre, la langue, la catégorie d'appareil et la source de l'application figurant sur une liste d'autorisation, la version de la politique de confidentialité, l'heure de création et l'heure d'expiration ; les requêtes d'analyse autorisées créent également un enregistrement d'audit distinct contenant les pseudonymes HMAC de l'administrateur et de la requête, la plage de dates et la granularité demandées, les sources en propre incluses, l'état du cache, l'état du résultat, la version de la politique de confidentialité, l'heure de la requête et l'heure d'expiration ;
• données relatives à l'appareil, au réseau et à la sécurité : adresse IP, informations sur le navigateur et l'appareil, horodatages, identifiants de session et de requête, traces d'erreur, enregistrements d'audit, indicateurs d'abus et localisation approximative déduite d'éléments réseau ou de facturation ;
• données d'assistance et de communication : messages, pièces jointes, détails des réclamations, réponses aux enquêtes et enregistrements nécessaires au traitement de la demande ;
• données de mesure d'audience marketing publique après consentement : identifiant de navigateur en propre, hôte et chemin normalisés figurant sur une liste d'autorisation, chemin de référent du même site figurant sur une liste d'autorisation lorsqu'il existe, page vue ou l'un de trois événements d'interaction limités, langue EN/CS et valeurs d'appel à l'action, d'offre ou de campagne figurant sur une liste d'autorisation, ainsi que les métadonnées techniques du navigateur et du réseau nécessairement exposées à Google, telles que l'adresse IP, l'agent utilisateur, l'horodatage et les en-têtes de protocole ;
• transmission volatile de campagne avant consentement : la première source, le premier support et le premier nom de campagne figurant sur une liste d'autorisation, l'heure de capture, l'état et une liaison aléatoire propre au document, conservés uniquement dans la mémoire JavaScript pour le document de page en cours pendant 30 minutes au plus, sans requête vers un fournisseur, cookie, stockage local, stockage de session, requête brute, référent ni clé arbitraire ; tous les paramètres utm_* sont retirés immédiatement de l'adresse visible, et un rechargement, un nouvel onglet ou un onglet dupliqué supprime cette transmission ; et
• données de préférences et de prospection : choix en matière de cookies, preuve d'inscription à la lettre d'information, statut de désinscription ou de suppression, données d'interaction avec des campagnes recueillies avec consentement et langue des communications.

La charge utile des événements Analytics n'admet ni chaînes de requête, ni fragments d'URL, ni URL de référents externes, ni titres de document, ni texte libre, ni noms, ni adresses e-mail, ni numéros de téléphone, ni identifiants de compte, de client ou d'entreprise, ni contenu d'appel, enregistrements, transcriptions, données de paiement, jetons de paiement ou d'état, ni User-ID ou identifiants publicitaires fournis par DIRI AI. Ces restrictions de charge utile ne suppriment pas les métadonnées de transport ordinaires décrites ci-dessus et ne rendent pas toutes les données Analytics anonymes au regard du droit de la protection des données.

La mesure d'audience opérationnelle de l'application en propre ne contient ni identifiants bruts de locataire ou d'utilisateur, ni noms, adresses e-mail, numéros de téléphone, adresses IP, chaînes d'agent utilisateur, localisation précise, valeurs de référent ou d'URL complète, chaînes de requête, paramètres de campagne, Contenu du Client, contenu d'appel, enregistrements, transcriptions, instructions, messages d'assistance, données de paiement, texte libre ni métadonnées arbitraires. Ses pseudonymes HMAC restent des données personnelles tant que DIRI AI peut les recalculer et sont protégés comme tels.

Nous obtenons des données auprès de vous, de l'administrateur de votre espace de travail, de votre appareil et de votre utilisation du service, des prestataires de paiement et d'infrastructure, de Google Analytics uniquement après le choix requis, ainsi que de signaux licites de lutte contre la fraude ou de sécurité. Nous n'achetons pas de profils de consommateurs et ne vendons pas de données personnelles.

4. Pourquoi nous traitons des données et nos bases légales

Lorsque nous nous fondons sur des intérêts légitimes, nous évaluons la nécessité, l'incidence et les garanties. Vous pouvez demander des informations sur l'évaluation concernée et vous opposer au traitement comme décrit ci-dessous. Nous ne substituerons pas les intérêts légitimes à une finalité fondée sur le consentement simplement parce que le consentement a été refusé ou retiré. La mesure GA4 facultative reste désactivée après un refus et en présence du Global Privacy Control.

5. Audio d'entraînement, transcriptions et contenus générés par l'IA

DIRI AI n'envoie à un fournisseur de voix ou d'IA, indiqué dans la Liste des sous-traitants ultérieurs et activé pour cette fonction, que les données nécessaires à une interaction d'entraînement demandée. Les données vocales servent à fournir une conversation simulée ; DIRI AI n'a pas l'intention de les utiliser pour l'identification biométrique, la comparaison d'empreintes vocales ou la reconnaissance des émotions.

L'enregistrement est désactivé par défaut. Si une fonctionnalité d'enregistrement facultative est activée, l'interface doit en indiquer l'existence, la finalité et la durée de conservation avant le début de l'enregistrement. Une transcription, un score ou une suggestion de coaching peut être erroné et ne doit pas servir de seul fondement à une décision en matière d'emploi ou à toute autre décision juridiquement significative.

Ne transmettez pas de secrets réels de clients, de données de carte de paiement, d'identifiants de connexion, de données de santé, de données biométriques ni d'autres données de catégorie particulière, sauf si une fonctionnalité distincte approuvée l'exige expressément et que toutes les bases légales, informations et garanties nécessaires existent. DIRI AI n'utilise pas le Contenu du Client pour entraîner des modèles généralistes sans un choix distinct, volontaire et spécifique et sans base légale licite.

Les données d'entraînement, le Contenu du Client et la mesure d'audience opérationnelle de l'application en propre ne relèvent pas du périmètre de collecte de GA4. GA4 ne s'exécute pas sur les routes de l'application ou du compte et ne reçoit ni le Contenu du Client ni les pseudonymes de la mesure d'audience de l'application en propre. DIRI AI ne rapproche pas ces enregistrements opérationnels en propre des identifiants ou des rapports GA4.

6. Traitement automatisé

Le service génère automatiquement des simulations, des transcriptions, des scores, des suggestions, des limites d'utilisation et des rapports. Les règles de sécurité et de lutte contre la fraude peuvent signaler ou limiter temporairement un compte ou un essai répété. Ces traitements ne sont pas destinés à prendre une décision exclusivement automatisée produisant des effets juridiques ou affectant la personne de manière significative de façon similaire. Lorsqu'une restriction automatisée vous affecte de manière importante, contactez support@diriai.com pour demander un réexamen humain, sauf si la divulgation compromettrait la sécurité ou une enquête judiciaire.

Les rapports de trafic GA4 ne servent pas à noter des utilisateurs, à décider d'un accès, à profiler des employés ni à prendre des décisions juridiques ou affectant la personne de manière significative de façon similaire.

7. Quand des informations sont requises

Les informations de compte, d'éligibilité, de sécurité et de facturation signalées comme obligatoires sont nécessaires pour conclure ou exécuter le contrat. Si elles ne sont pas fournies, nous pouvons ne pas être en mesure de créer un compte, de démarrer un essai par carte, de traiter un paiement ou de sécuriser le service. Le consentement à la prospection et le consentement aux cookies ou à la mesure d'audience non essentiels sont facultatifs. Un refus ou un retrait n'empêche pas l'accès aux pages publiques ni au service payant de base.

8. Qui reçoit les données

L'accès est limité au personnel autorisé de DIRI AI et aux prestataires qui ont besoin des données pour l'hébergement, les bases de données, la mise en cache, l'e-mail, les paiements, la surveillance des erreurs, la sécurité, le traitement vocal ou le traitement par l'IA. Les prestataires utilisés pour ces fonctions et leurs finalités figurent dans la Liste des sous-traitants ultérieurs. Les messages professionnels envoyés aux adresses de rôle de DIRI AI sont hébergés, acheminés et stockés via Google Workspace dans le cadre d'un compte professionnel ; ils ne sont pas transférés vers une boîte aux lettres grand public. Les prestataires agissant en qualité de sous-traitants doivent être liés par des conditions de protection des données. Les prestataires de paiement peuvent également agir en qualité de responsables du traitement indépendants pour des finalités réglementées de paiement, de lutte contre la fraude et de conformité.

Après le consentement positif à la mesure d'audience, Google Analytics 4 reçoit les données restreintes du site public décrites à la section 3. Google Ireland Limited est l'entité contractante au titre du contrat de compte Google Analytics applicable et des Conditions de traitement des données de Google. DIRI AI utilise une propriété Analytics et un flux web pour diriai.com et www.diriai.com. L'explication de Google sur le traitement des données pour les sites partenaires est disponible à l'adresse https://policies.google.com/technologies/partner-sites.

Umami, Vercel Web Analytics, Vercel Speed Insights, Cloudflare Web Analytics, les pixels, la relecture de sessions, les cartes de chaleur, les audiences publicitaires et les liens Google Ads ne sont pas des destinataires de mesure d'audience au sens de la présente Politique. Vercel et Cloudflare peuvent néanmoins traiter des données d'infrastructure distinctes pour l'hébergement, le DNS, le routage, le stockage ou la sécurité, comme indiqué dans la Liste des sous-traitants ultérieurs.

La mesure d'audience opérationnelle de l'application en propre reste dans l'environnement d'hébergement et de base de données de l'application de DIRI AI et n'est envoyée ni à Google Analytics ni à un autre prestataire de mesure d'audience marketing. L'accès à ses rapports agrégés et à l'audit des requêtes est réservé aux administrateurs autorisés.

Nous pouvons communiquer des données à des conseillers professionnels, à des autorités, à des juridictions ou à des contreparties à une opération lorsque cela est licitement nécessaire, proportionné et protégé. Nous ne communiquons pas le Contenu du Client à des fins de publicité par des tiers.

9. Transferts internationaux

Lorsque le service et le contrat applicables le permettent, DIRI AI choisit des régions de traitement européennes, mais les réseaux mondiaux, l'assistance et les prestataires peuvent traiter des données en dehors de l'EEE, du Royaume-Uni ou de la Suisse. Avant un transfert restreint, nous devons recourir à une décision d'adéquation applicable, aux clauses contractuelles types de la Commission européenne assorties d'une évaluation du transfert et de mesures supplémentaires, ou à une autre garantie licite. La déclaration commerciale d'un prestataire ne suffit pas à elle seule comme preuve. DIRI AI consigne les garanties applicables dans son Registre des fournisseurs et des transferts.

Google indique que le trafic Analytics provenant d'appareils de l'UE, de Suisse et du Royaume-Uni est collecté via des domaines et des serveurs régionaux avant d'être transmis aux serveurs Analytics pour traitement. Les conditions de traitement de Google autorisent le traitement partout où Google ou ses sous-traitants ultérieurs disposent d'installations et contiennent des dispositions européennes relatives aux transferts. DIRI AI consigne le mécanisme de transfert applicable dans son Registre des fournisseurs et des transferts.

Vous pouvez demander à privacy@diriai.com des informations sur la garantie applicable ; les conditions confidentielles ou sensibles du point de vue de la sécurité peuvent être occultées.

10. Conservation

Nous ne conservons les données personnelles que pendant la durée la plus courte nécessaire à la finalité, au contrat, à la sécurité et aux obligations légales. Le calendrier par défaut est le suivant :

Google indique que les données d'utilisateur et d'événement expirées sont supprimées par un processus mensuel et que son paramètre de conservation n'affecte pas les rapports agrégés standard. DIRI AI ne promet donc pas que chaque rapport agrégé soit supprimé après deux mois. La Politique de conservation des données détaillée explique la suppression chez les prestataires, l'enregistrement du choix propre au navigateur, les exceptions et les conservations pour motif juridique.

La suppression dans les systèmes actifs ne garantit pas une suppression immédiate dans les sauvegardes chiffrées isolées ; les sauvegardes doivent expirer selon un cycle vérifié du prestataire et ne doivent pas être restaurées pour un usage ordinaire. Les conditions de traitement applicables de Google et les contrôles de suppression de compte régissent ses copies de sous-traitant, en plus de la conservation configurée dans Analytics.

11. Vos droits

Sous réserve des conditions et exceptions prévues par le droit applicable, vous pouvez demander :

• l'accès à vos données personnelles et une copie de celles-ci ;
• la rectification des données inexactes ;
• l'effacement ou la limitation du traitement ;
• la portabilité des données que vous avez fournies lorsque le traitement est automatisé et fondé sur le consentement ou sur un contrat ;
• l'opposition au traitement fondé sur des intérêts légitimes ou à la prospection directe ;
• le retrait de votre consentement à tout moment, sans incidence sur le traitement licite antérieur ; et
• un réexamen humain et des informations lorsque les droits applicables en matière de décision automatisée trouvent à s'appliquer.

Utilisez privacy@diriai.com. Nous pouvons demander une vérification d'identité proportionnée et répondons normalement dans un délai d'un mois au titre du RGPD, sous réserve d'une prolongation licite pour les demandes complexes ou nombreuses. Il n'y a normalement pas de frais, mais la loi permet de facturer des frais raisonnables ou de refuser les demandes manifestement infondées ou excessives. Si un client de l'espace de travail contrôle les données, nous orienterons ou assisterons la demande conformément à l'Accord de traitement des données.

Analytics n'utilise aucun identifiant de compte DIRI AI ni User-ID ; l'e-mail d'un compte ne permet donc pas à lui seul d'identifier un navigateur dans GA4. Vous pouvez mettre fin à la collecte future via les Paramètres des cookies et effacer les cookies locaux. DIRI AI utilisera les contrôles de suppression de Google disponibles lorsqu'une demande peut être rapprochée sans collecter d'identifiants supplémentaires inutiles.

Pour la mesure d'audience opérationnelle de l'application en propre, DIRI AI conserve les versions de clés HMAC d'activité pendant la durée de vie applicable de 35 jours des enregistrements d'activité, et les versions de clés HMAC de l'administrateur et de la requête pendant la durée de vie complète de 90 jours de l'audit des requêtes. Pour une demande authentifiée d'accès, d'export ou de suppression approuvée, DIRI AI utilise toutes les versions de clés conservées pour la durée de vie concernée afin de localiser, d'exporter ou de supprimer les enregistrements d'activité et d'audit des requêtes correspondants. La recherche n'est effectuée que pour la demande, ne crée aucun lien avec GA4 et reste soumise aux exceptions licites de sécurité, d'actions en justice et de conservation des enregistrements.

Vous pouvez introduire une réclamation auprès de l'Office pour la protection des données personnelles de la République tchèque ou d'une autre autorité de contrôle compétente, et vous pouvez former un recours juridictionnel. Les coordonnées de l'autorité figurent dans les Mentions légales.

12. Choix en matière de prospection et de mesure d'audience

L'inscription à la lettre d'information doit reposer sur un choix clair et distinct et sur une preuve de ce qui a été convenu. Chaque e-mail de prospection doit identifier l'expéditeur et contenir un moyen de désinscription fonctionnel. Le retrait est gratuit et mettra fin à la prospection future une fois la procédure opérationnelle de suppression terminée. Les messages de service, de facturation, de sécurité et ceux exigés par la loi peuvent se poursuivre tant qu'ils concernent le compte.

La mesure du trafic GA4 repose sur un choix facultatif distinct. Le mode de consentement de base (Basic Consent Mode) maintient la balise Google entièrement bloquée avant un consentement positif et après un refus. Un visiteur peut ensuite retirer son consentement via les Paramètres des cookies ; la page retire la balise, tente d'effacer les cookies Analytics en propre et se recharge sans Analytics. Le Global Privacy Control maintient la mesure d'audience facultative désactivée. Le consentement est lié à la version de l'avis EN/CS et à la version de la configuration du fournisseur GA4 ; une modification importante rend donc le choix enregistré obsolète.

La configuration de mesure d'audience facultative ne comprend ni audiences publicitaires, ni suivi intersites, ni pixels publicitaires ou de conversion, ni reciblage, ni relecture de sessions, ni cartes de chaleur, ni liens Google Ads, ni personnalisation publicitaire, ni fonctionnalités publicitaires de Google Analytics. Nous ne considérerons ni l'ouverture d'un compte, ni la fermeture d'une bannière, ni le défilement de la page, ni le silence, ni une case précochée comme un consentement à la mesure d'audience ou à la prospection.

Le refus ou le retrait de la mesure GA4 facultative ne désactive pas la mesure d'audience opérationnelle de l'application en propre, minimisée du point de vue de la vie privée, utilisée pour fournir, sécuriser et maintenir le service. Ces enregistrements reposent sur les bases légales, les garanties, les durées de conservation et les droits d'opposition décrits ci-dessus et ne sont jamais reliés à GA4.

13. Enfants

DIRI AI ne s'adresse pas aux enfants de moins de 13 ans et ne leur propose pas sciemment de compte ni ne traite sciemment leur voix. Un utilisateur âgé de 13 à 17 ans ne peut pas effectuer seul le paiement direct en libre-service. Un parent, un représentant légal ou une organisation cliente autorisée doit créer ou accepter le compte ou l'abonnement, assumer l'obligation de paiement et satisfaire à toute exigence locale supplémentaire. Le passage par une organisation ne remplace pas l'autorisation parentale lorsque le droit applicable l'exige. Le traitement facultatif fondé sur le consentement n'est pas activé pour un tel utilisateur, sauf si l'utilisateur ou le titulaire de la responsabilité parentale peut valablement le donner selon le droit applicable.

Pour un utilisateur tchèque, lorsque le consentement prévu à l'article 8 du RGPD est la base légale d'une activité facultative relevant d'un service de la société de l'information, un utilisateur de moins de 15 ans requiert l'autorisation du titulaire de la responsabilité parentale. La capacité contractuelle est appréciée séparément et peut exiger l'acceptation d'un adulte ou d'un représentant légal même lorsque le seuil de consentement en matière de protection des données est atteint.

L'inscription doit comporter un contrôle d'âge neutre et minimiser les preuves d'âge conservées. Si nous apprenons qu'un utilisateur de moins de 13 ans a fourni des données personnelles, nous suspendrons le traitement concerné, chercherons à procéder à une vérification proportionnée lorsque la loi le permet et supprimerons les données, sauf si leur conservation est légalement requise. Contactez privacy@diriai.com sans envoyer de pièces d'identité, sauf demande par un canal sécurisé.

14. Sécurité

Nous appliquons des mesures organisationnelles et techniques fondées sur les risques, décrites dans l'Aperçu de la sécurité et, pour les données traitées en tant que sous-traitant, dans l'Accord de traitement des données. Aucun système n'est parfaitement sûr. Envoyez les vulnérabilités ou incidents présumés à security@diriai.com et n'incluez pas de données personnelles inutiles dans le signalement initial.

DIRI AI limite Analytics aux hôtes, chemins, événements et propriétés figurant sur une liste d'autorisation et consentis, maintient les paramètres publicitaires désactivés et prend en charge le retrait du consentement. Ces restrictions réduisent les données mais n'éliminent pas tous les risques liés à la vie privée ou aux prestataires.

15. Droits régionaux en dehors de l'EEE

Si le droit applicable à votre localisation prise en charge vous confère des droits supplémentaires en matière de vie privée, nous les respecterons lorsqu'il s'applique. Il peut s'agir des droits de savoir, d'accéder, de rectifier, de supprimer, d'obtenir une copie portable, de refuser la vente ou la publicité ciblée, de limiter certaines utilisations de données sensibles, de retirer son consentement ou de contester une décision. DIRI AI ne vend pas de données personnelles et ne doit pas activer de communication à des fins de publicité ciblée sans un avis et un droit de refus ou un consentement adaptés à la région.

La présente section ne signifie pas que DIRI AI est proposée dans tous les pays ou États américains. La disponibilité payante est limitée aux lieux et aux catégories de clients acceptés par le paiement après l'évaluation fiscale, réglementaire et des prestataires applicable.

16. Modifications et contact

Nous publierons une version datée et donnerons un préavis approprié en cas de modification importante. Une nouvelle finalité ou un nouveau prestataire nécessitant un consentement ne débutera pas du simple fait que la présente Politique a changé. Les versions archivées doivent rester disponibles. Toute modification importante du prestataire GA4, de l'avis ou du périmètre de collecte invalide le choix enregistré dans le navigateur et exige une nouvelle décision.

L'identité et l'adresse du responsable du traitement figurent dans les Mentions légales. Contact pour la vie privée : privacy@diriai.com.

Version : 1.2.0. Date d'entrée en vigueur : 30 août 2026.