Politique de confidentialité

Vavus AI et Vavus Keyboard sont exploités par DCI Brands LLC, une société à responsabilité limitée du Wyoming, sise 312 W 2nd Street, Casper, WY 82601, États-Unis. Nous sommes le responsable du traitement des données personnelles décrites ici, sauf lorsqu'un contrat entreprise ou santé signé fait de nous un sous-traitant ou un partenaire commercial (« business associate ») agissant sur instruction de votre organisation.

Contact confidentialité : constantine@vavusai.com.

Notre représentant dans l'Union européenne au titre de l'article 27 du RGPD est Dragoș Ignat, Str. General Șova nr. 21, Letea Veche, jud. Bacău, 607270, Roumanie. Vous pouvez contacter le représentant pour toute question relative au traitement de vos données personnelles, en complément ou à la place de nous contacter directement. Nous n'avons désigné ni représentant au Royaume-Uni ni délégué à la protection des données. Les questions relatives à la confidentialité et les demandes d'exercice de droits sont adressées à constantine@vavusai.com et traitées directement par DCI Brands LLC.

Nous collectons ce qui est nécessaire pour créer et sécuriser votre compte, fournir les fonctionnalités que vous utilisez, encaisser le paiement, répondre aux demandes d'assistance et faire fonctionner le service.

• Identifiants et données de compte : adresse e-mail, nom, méthode de connexion, appartenance à une organisation, paramètres de sécurité, identifiants d'appareil et de session.
• Contenu que vous soumettez : traductions, transcriptions, enregistrements audio, messages, documents, fichiers et images que vous choisissez de traiter ou d'enregistrer.
• Données audio et vocales : la parole que vous dictez ou faites traduire. Lorsqu'elles servent à vous identifier ou à vous caractériser, elles peuvent constituer des informations personnelles sensibles au sens du droit des États américains.
• Contenu relatif à la santé : uniquement dans les comptes approuvés pour un usage de santé au titre d'un Business Associate Agreement (BAA).
• Données commerciales : formule, abonnement, solde de tokens, historique d'achats et de remboursements. Les numéros de carte sont traités par Stripe, Apple ou Google ; nous ne les recevons ni ne les conservons jamais.
• Données techniques et de sécurité : type d'appareil, version de l'application, diagnostics de plantage, signaux de sécurité dérivés de l'adresse IP, journaux d'abus et de limitation de débit.
• Données du site web : cookies et stockage local, votre enregistrement de consentement et, uniquement après votre consentement, les données de mesure d'audience et d'attribution de campagne.

Lorsque le RGPD ou le RGPD britannique s'applique, la base légale de chaque finalité est indiquée ci-dessous.

• Fournir le service : traduction, reconnaissance vocale, synthèse vocale, dictée au clavier, fonctionnalités d'IA, messagerie, appels, documents et gestion du compte. Exécution d'un contrat (art. 6, § 1, b).
• Vous facturer et tenir les registres fiscaux et comptables. Exécution d'un contrat et obligation légale (art. 6, § 1, b et c).
• Sécuriser les comptes et le service : authentification, prévention des abus, limitation de débit, détection de la fraude, journalisation d'audit. Intérêt légitime à protéger les utilisateurs et le service (art. 6, § 1, f).
• Répondre aux demandes d'assistance. Exécution d'un contrat et intérêt légitime.
• Envoyer des avis de service, de facturation et de sécurité. Exécution d'un contrat et obligation légale.
• Mesure d'audience du site web, mesure marketing et ensemble des cookies non essentiels. Consentement (art. 6, § 1, a), que vous pouvez retirer à tout moment.
• Respecter des obligations légales et constater ou défendre des droits en justice. Obligation légale et intérêt légitime.
• Informations de santé dans les comptes santé. Nous les traitons en qualité de partenaire commercial, sur instruction documentée du client ; le client détermine la base légale et, lorsque le RGPD s'applique, il s'agit normalement de l'article 9, § 2, h, ou de la base du consentement explicite du client.

Nous n'utilisons pas votre contenu pour entraîner nos modèles, et nous contractons avec nos prestataires de reconnaissance vocale, de traduction et d'IA pour que votre contenu soit exclu de l'entraînement des leurs.

Nous ne vendons pas vos informations personnelles et nous ne les partageons pas à des fins de publicité comportementale intercontextuelle, au sens que donnent à ces termes le California Consumer Privacy Act tel que modifié et les lois comparables des États américains en matière de confidentialité.

Nous ne prenons pas de décision automatisée produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire (art. 22 du RGPD).

La fourniture des données de compte et de paiement est nécessaire pour ouvrir et conserver un compte ; sans elles, nous ne pouvons pas fournir le service. Tout le reste — cookies facultatifs, préférences marketing — est réellement facultatif.

La traduction, la transcription et les résultats produits par l'IA peuvent être erronés. Ils ne constituent ni un avis médical, ni un avis juridique, ni un conseil financier, et ne sont pas destinés aux situations d'urgence. Vérifiez les résultats avant de vous y fier et ne les utilisez jamais comme unique fondement d'une décision clinique, juridique, financière ou critique pour la sécurité. Une personne doit relire tout ce qui compte.

Les nouvelles entrées d'historique, les documents enregistrés et l'audio enregistré sont chiffrés sur votre appareil avant l'envoi, de sorte que nos serveurs ne détiennent qu'un texte chiffré que nous ne pouvons pas déchiffrer. La messagerie utilise le Signal Protocol et est chiffrée de bout en bout entre les participants.

Il existe exactement deux exceptions, et toutes deux supposent que vous utilisiez la fonctionnalité :

• Sondages de groupe. Le serveur doit lire un sondage pour comptabiliser les votes et afficher les résultats ; les sondages ne sont donc pas chiffrés de bout en bout. Ils sont désactivés dans les conversations de santé.
• Traduction des messages vocaux. Traduire un message vocal impose de déchiffrer ce seul message sur nos serveurs. Nous vous demandons d'abord votre consentement, nous l'enregistrons et nous auditons l'accès. Cela n'arrive jamais sans votre choix.

Le contenu que vous n'enregistrez pas n'est pas conservé sous forme d'historique une fois votre résultat produit. La parole en direct n'existe que brièvement en mémoire pendant le traitement et n'est pas écrite en stockage.

• Historique, documents et fichiers enregistrés : jusqu'à ce que vous les supprimiez ou fermiez votre compte.
• Enregistrements de compte et de profil : pendant toute la durée de vie du compte, puis jusqu'à 30 jours après sa fermeture.
• Registres de facturation, fiscaux et de transactions : 7 ans, comme l'exigent le droit fiscal et comptable.
• Journaux de sécurité, de fraude et d'abus : 12 mois.
• Conversations d'assistance : 24 mois.
• Journaux d'audit santé : 6 ans, comme l'exige la loi HIPAA. Ils ne contiennent que des métadonnées : qui a fait quoi, quand et depuis quel appareil. Jamais de PHI, jamais de contenu.
• Enregistrements de cookies et de consentement : vos choix de consentement sont conservés dans le stockage local de votre navigateur et subsistent jusqu'à ce que vous effaciez les données de votre navigateur ou que nous publiions une nouvelle version du consentement, auquel cas nous vous redemandons votre choix.

Nous recourons à des prestataires par fonction : hébergement et stockage cloud ; reconnaissance et synthèse vocales ; traduction automatique et modèles d'IA ; traitement des paiements ; acheminement des e-mails ; envoi des notifications push ; et opérations d'assistance. Chacun ne reçoit que ce qu'exige sa fonction, dans le cadre de clauses écrites de traitement des données.

Les prestataires qui traitent votre contenu pour la reconnaissance vocale, la traduction ou l'IA sont configurés pour l'exclure de l'entraînement de leurs modèles et pour réduire la conservation au minimum partout où le service le permet, et ils ne reçoivent que le contenu, ni votre nom, ni votre compte, ni votre identité. Les prestataires de paiement et les boutiques d'applications reçoivent nécessairement des données d'identification et de transaction, car un paiement ne peut pas être traité sans elles.

Notre messagerie d'assistance est auto-hébergée sur notre propre infrastructure : les transcriptions d'assistance ne sont donc pas confiées à un prestataire tiers.

Une liste nominative des sous-traitants ultérieurs est fournie aux clients entreprise et santé dans le cadre d'un accord de traitement des données. Nous pouvons également divulguer des données pour respecter la loi ou une réquisition légale, pour faire appliquer nos Conditions, pour protéger des droits et la sécurité, ainsi que dans le cadre d'une fusion ou d'une acquisition, auquel cas la présente politique continue de s'appliquer.

Nous opérons depuis les États-Unis, avec une infrastructure de périphérie dans l'Union européenne et en Asie. Vos données peuvent être transférées et traitées aux États-Unis et dans d'autres pays dont le droit diffère de celui du vôtre.

Pour les transferts hors de l'EEE, du Royaume-Uni ou de la Suisse, nous nous appuyons sur les clauses contractuelles types de la Commission européenne (décision 2021/914), avec l'addendum britannique et l'annexe suisse lorsqu'ils s'appliquent, ainsi que sur les mesures techniques décrites à la section 6 — principalement le chiffrement côté client et de bout en bout —, ce qui signifie que, pour l'essentiel du contenu stocké, l'infrastructure destinataire ne détient qu'un texte chiffré. Une copie des clauses de transfert applicables est disponible sur demande.

Si vous vous trouvez dans l'EEE, au Royaume-Uni ou en Suisse, vous pouvez demander l'accès, la rectification, l'effacement, la limitation et la portabilité, vous opposer à un traitement fondé sur l'intérêt légitime et retirer votre consentement à tout moment, sans que cela affecte les traitements déjà réalisés.

Vous pouvez également introduire une réclamation auprès d'une autorité de contrôle : dans l'Union européenne, celle de votre pays de résidence, de votre lieu de travail ou du lieu de la violation alléguée ; au Royaume-Uni, l'Information Commissioner's Office.

Si vous résidez en Californie, en Virginie, au Colorado, dans le Connecticut, en Utah, au Texas, en Oregon, au Montana ou dans un autre État doté d'une loi générale sur la confidentialité, vous pouvez demander à connaître les informations personnelles que nous détenons et y accéder, les corriger, les supprimer et en recevoir une copie portable, et vous pouvez vous opposer à leur vente, à leur partage, à la publicité ciblée et au profilage produisant des effets juridiques ou significatifs de façon similaire.

Nous ne faisons rien de tout cela. Nous respectons malgré tout le Global Privacy Control et les autres signaux reconnus de préférence d'opposition : lorsque votre navigateur en envoie un, nous le traitons comme une opposition aux catégories mesure d'audience et marketing pour ce navigateur, sans autre démarche de votre part.

Les résidents de Californie peuvent également nous demander de limiter l'utilisation des informations personnelles sensibles. Nous ne les utilisons déjà que pour fournir le service que vous avez demandé et pour le sécuriser, ce qui constitue des finalités autorisées. Nous n'exercerons aucune discrimination à votre encontre pour l'exercice d'un droit relatif à la confidentialité.

Recours. Si nous rejetons une demande, vous pouvez former un recours en répondant à notre décision ou en écrivant à constantine@vavusai.com avec « Privacy appeal » en objet. Nous répondons dans un délai de 45 jours — 60 au Colorado — en indiquant notre décision et ses motifs. Si nous rejetons le recours, vous pouvez saisir le procureur général de votre État. L'Utah ne prévoit pas de droit de recours, mais nous examinerons tout de même le vôtre.

Nous accordons des tokens bonus pour la vérification de votre adresse e-mail et pour les parrainages. Il s'agit de programmes d'incitation financière au sens de l'article 1798.125(b) du California Civil Code (Cal. Civ. Code). Les conditions essentielles figurent sur nos pages tarifs et parrainage : les tokens sont promotionnels, sans valeur monétaire, et ne peuvent être utilisés que pour les fonctionnalités Vavus.

Nous estimons la valeur des informations personnelles concernées à environ le prix de vente au détail des tokens accordés, sur la base de notre prix public des tokens. Nous procédons ainsi parce que les données concernées — une adresse e-mail et une relation de parrainage — ne nous procurent aucun revenu distinct, puisque nous ne vendons pas d'informations personnelles. La participation est volontaire et vous pouvez vous retirer à tout moment en nous écrivant ; le retrait ne restitue pas les tokens que vous avez déjà dépensés.

Utilisez les commandes disponibles dans le produit ou écrivez à constantine@vavusai.com. Nous vérifions les demandes en confrontant les éléments que vous nous fournissez à nos enregistrements de compte, de facturation, d'assistance ou de sécurité, et nous pouvons demander des informations complémentaires lorsqu'une demande est sensible. Un mandataire habilité peut agir pour vous sur autorisation écrite. Nous répondons dans un délai de 45 jours, prolongeable une fois de 45 jours supplémentaires, en vous en indiquant la raison.

Les protections de la loi HIPAA ne s'appliquent qu'aux comptes que nous avons approuvés pour un usage de santé au titre d'un Business Associate Agreement (BAA) signé. Si vous n'avez pas signé de BAA avec nous, votre compte n'est pas un flux de travail HIPAA et vous ne devez pas y téléverser d'informations de santé protégées (PHI).

Les comptes santé approuvés utilisent des jetons de session de 8 heures, une déconnexion pour inactivité au bout de 15 minutes, des contrôles de traitement des PHI, la suppression sécurisée des éléments contenant des PHI et une conservation des journaux d'audit de 6 ans ; les journaux applicatifs sont conçus pour exclure les PHI. Dans ces comptes, nous agissons en qualité de partenaire commercial : c'est donc votre organisation — et non nous — qui décide du sort des données, et nous agissons sur ses instructions.

Nous utilisons TLS en transit, le chiffrement côté client et de bout en bout décrit ci-dessus, une authentification par jetons rotatifs, des jetons de flux distincts pour les sessions en temps réel, le SSO pour les comptes entreprise, une protection contre les attaques par force brute, la révocation des jetons à la déconnexion et au changement de mot de passe, la limitation de débit, des contrôles d'accès et une journalisation d'audit.

Aucun système n'est parfaitement sûr. Si une violation affecte vos données personnelles, nous vous en informerons, ainsi que les autorités compétentes, sans retard injustifié et dans les 72 heures suivant la confirmation d'une violation affectant vos données personnelles, comme la loi l'exige.

Vavus is not directed to anyone under 18, and an account requires you to be 18 or older. We do not knowingly collect personal information from anyone under 18.

A parent or guardian who believes a child has created an account can email constantine@vavusai.com. We will verify the report and delete the account and its data promptly. We also close any account we discover belongs to someone under 18.

Nous pouvons mettre à jour la présente politique. La ligne « Dernière mise à jour » indique la version en vigueur. Lorsqu'une modification affecte substantiellement la manière dont nous traitons les données personnelles, nous en informons dans le produit ou par e-mail avant son entrée en vigueur.