Version du 28 octobre 2026
La protection des données à caractère personnel nous tient à cœur. Nous vous informons ci-après des données personnelles que nous traitons, à quelles fins et sur quelle base juridique, à qui nous les transmettons et de quels droits vous disposez.
La présente politique couvre deux offres distinctes. La partie A concerne notre site web surv-ai.com, y compris le formulaire de réservation de démonstration. La partie B concerne la plateforme SurvAI accessible à l'adresse app.surv-ai.com, que nous proposons en tant que logiciel en tant que service (SaaS) pour les études de marché et l'analyse d'enquêtes. La partie C contient les informations applicables aux deux offres.
SurvAI by A+R UG (haftungsbeschränkt) Nerostraße 18 65183 Wiesbaden Allemagne E-mail : info@surv-ai.com
Notre site web est hébergé par Hetzner Online GmbH ; les serveurs sont situés en Allemagne. Lors de la consultation du site, des données d'accès techniques sont automatiquement traitées dans les fichiers journaux du serveur, notamment l'adresse IP, la date et l'heure de l'accès, la page consultée, le volume de données transféré, le référent ainsi que l'identification du navigateur et du système d'exploitation. La base juridique est l'art. 6, par. 1, point f) du RGPD ; notre intérêt légitime réside dans l'exploitation sûre, stable et sans interruption du site ainsi que dans la défense contre les attaques. Un contrat de sous-traitance au sens de l'art. 28 du RGPD a été conclu avec Hetzner.
Sur le site web, nous ne collectons des données personnelles que lorsque vous nous les communiquez volontairement via notre formulaire de réservation de démonstration. Les données suivantes sont traitées :
Nous utilisons ces données exclusivement pour convenir du rendez-vous de démonstration, le réaliser et répondre à votre demande. La base juridique est l'art. 6, par. 1, point b) du RGPD (mesures précontractuelles prises à votre demande).
Pour la planification des rendez-vous, nous utilisons l'API Google Calendar de Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande. Les informations relatives à votre rendez-vous (nom, entreprise, créneau souhaité) sont transmises à Google afin de créer l'événement dans notre calendrier. La base juridique est l'art. 6, par. 1, point b) du RGPD. Un traitement par Google LLC aux États-Unis ne peut être exclu ; voir la section « Transferts vers des pays tiers ». La politique de confidentialité de Google est disponible sur policies.google.com/privacy.
Après une réservation de démonstration, nous vous envoyons un e-mail de confirmation accompagné d'une entrée d'agenda et informons notre équipe. Nous utilisons le service Brevo pour cet envoi. Votre nom, votre adresse e-mail et le contenu du message sont transmis à Brevo. La base juridique est l'art. 6, par. 1, point b) du RGPD. Selon les indications de Brevo, les données sont traitées dans des centres de données situés dans l'UE. Nous n'envoyons ni newsletters ni autres courriels publicitaires par ce canal.
Si vous demandez le livre blanc, nous vous envoyons la version complète en PDF par e-mail et informons notre équipe. Pour cela, nous traitons votre nom, votre adresse e-mail et, le cas échéant, votre entreprise. L'envoi passe par Brevo (centres de données dans l'UE). La base juridique est l'art. 6, par. 1, point b) du RGPD. Si vous avez également coché la case pour recevoir nos actualités, nous enregistrons ce consentement avec sa date (art. 6, par. 1, point a) du RGPD). Avant de vous envoyer des actualités, nous vous demandons de confirmer par e-mail. Vous pouvez retirer votre consentement à tout moment, par exemple par e-mail à info@surv-ai.com.
Notre site web n'utilise aucun cookie à des fins d'analyse, de profilage ou de publicité. Nous n'employons ni outils de mesure d'audience, ni pixels de suivi, ni régies publicitaires, ni modules sociaux. Seules deux entrées techniquement nécessaires sont enregistrées dans le stockage local (localStorage) de votre navigateur : votre préférence de mode sombre et la confirmation de notre bandeau d'information. Ces données ne quittent pas votre appareil et ne nous sont pas transmises. La base juridique est le § 25, al. 2, n° 2 de la loi allemande TDDDG (stockage strictement nécessaire) combiné à l'art. 6, par. 1, point f) du RGPD.
La plateforme SurvAI est une offre payante destinée aux entreprises, aux instituts d'études de marché et aux particuliers. Nos clients y importent des réponses ouvertes d'enquêtes ainsi que les métadonnées associées, puis les font catégoriser, analyser et exporter à l'aide de l'IA.
Pour les données de nos clients eux-mêmes — données de compte, d'utilisation et de facturation — nous sommes responsable du traitement au sens de l'art. 4, point 7 du RGPD. En revanche, pour les données d'enquête, de réponses et de répondants que nos clients importent dans la plateforme, nous agissons exclusivement en qualité de sous-traitant au sens de l'art. 28 du RGPD ; le client concerné est le responsable du traitement. Nous ne traitons ces données que pour fournir la prestation convenue contractuellement et conformément aux instructions du client.
Un contrat de sous-traitance (DPA) est mis à disposition sur demande à l'adresse info@surv-ai.com. Il appartient à nos clients de s'assurer qu'ils sont autorisés à collecter les données importées et à nous les transmettre, que les personnes concernées ont été informées en conséquence et que les données des répondants sont anonymisées dans toute la mesure du possible — ou à tout le moins pseudonymisées — avant leur importation.
L'utilisation de la plateforme requiert un compte utilisateur. Nous traitons à ce titre l'adresse e-mail, le nom affiché, les rôles et autorisations, une forme normalisée de l'adresse e-mail destinée à éviter les comptes en double, ainsi que les horodatages d'inscription, de connexion et de validation de l'adresse e-mail. La gestion des utilisateurs et l'authentification sont assurées par Zitadel, une solution d'identité open source que nous exploitons nous-mêmes sur nos propres serveurs hébergés par Hetzner en Allemagne (auth.surv-ai.com). Si vous vous connectez via « Continuer avec Google », nous recevons de Google Ireland Limited, par l'intermédiaire de Zitadel, votre nom, votre adresse e-mail, son statut de validation et un identifiant Google ; pour le reste, aucune donnée n'est transmise à un fournisseur d'identité externe. Votre mot de passe y est conservé exclusivement et uniquement sous forme d'empreinte cryptographique. Votre session est stockée côté serveur dans notre base de données ; nous enregistrons en outre l'adresse IP et l'identifiant du navigateur de la session afin de prévenir les abus, ainsi que les jetons d'accès sous forme chiffrée. Un cookie de session techniquement nécessaire est déposé à cette fin dans votre navigateur (durée de 7 jours), de même qu'un cookie mémorisant la langue choisie et un cookie mémorisant le thème de couleurs choisi, ainsi que, en cas de connexion via Google, deux cookies techniquement nécessaires à la sécurisation de la procédure de connexion (durée de 10 minutes). La base juridique est l'art. 6, par. 1, point b) du RGPD et, pour la sécurisation de la session, l'art. 6, par. 1, point f) du RGPD.
À des fins de facturation, de maîtrise des coûts et d'assurance qualité, nous consignons par compte les analyses par IA qui ont été exécutées. Sont enregistrés le modèle utilisé, les jetons consommés, les coûts générés, le solde de crédits correspondant ainsi que les identifiants techniques de l'enquête, de la question ou de l'évaluation concernée. Nous enregistrons également des événements agrégés destinés à améliorer le produit, par exemple si et à quelle fréquence des propositions de l'IA ont été corrigées manuellement. Le contenu des réponses n'est pas conservé à cette occasion. La base juridique est l'art. 6, par. 1, point b) du RGPD pour la facturation et l'art. 6, par. 1, point f) du RGPD pour l'assurance qualité et le développement du service.
Dans la plateforme, nous traitons les données d'enquête importées par nos clients : intitulés des questions, réponses ouvertes et fermées, un identifiant de répondant attribué par le client, des métadonnées de répondants importées depuis des fichiers (par exemple l'âge, la région ou le segment) ainsi que les grilles de codage, catégorisations et analyses qui en résultent. Le caractère personnel de ces données dépend de ce que le client importe. Le stockage s'effectue dans une base de données PostgreSQL sur nos serveurs hébergés par Hetzner à Nuremberg (Allemagne) ; les fichiers importés sont en outre déposés dans un stockage objet de Hetzner à Falkenstein (Allemagne). Les données sont strictement cloisonnées par compte au niveau de la base de données. Vis-à-vis de nos clients, la base juridique est l'art. 6, par. 1, point b) du RGPD ; à l'égard des répondants, le client concerné est le responsable du traitement.
La fonction centrale de la plateforme est la catégorisation et l'analyse automatiques des réponses ouvertes au moyen de grands modèles de langage. À cette fin, nous transmettons les textes des réponses à analyser ainsi que les informations relatives aux questions, aux grilles de codage et aux consignes, via notre propre service de passerelle (exploité sur nos serveurs hébergés par Hetzner en Allemagne), au service Azure OpenAI de Microsoft. Nous souscrivons ce service dans une région de l'UE ; compte tenu du mode de déploiement retenu, le traitement a lieu au sein de la zone de données UE de Microsoft. Nous ne transmettons aucune donnée de compte ou de facturation. Pour la recherche dans de grands volumes de réponses et pour l'assistant conversationnel, les textes des réponses sont également stockés temporairement chez le prestataire ; nous supprimons ces enregistrements dès que l'enquête ou l'évaluation correspondante est supprimée. Les données de traitement de notre passerelle (requête et réponse) restent par ailleurs dans une file d'attente sur nos propres serveurs pendant une heure au maximum, ou 24 heures au maximum en cas d'erreur. La base juridique est l'art. 6, par. 1, point b) du RGPD.
Nous n'utilisons pas les données d'enquête, de réponses ou de répondants pour entraîner ou améliorer des modèles d'IA et ne les transmettons pas à cette fin. Selon les conditions d'utilisation de Microsoft applicables au service Azure OpenAI, les contenus des clients ne sont utilisés ni pour entraîner les modèles sous-jacents ni pour améliorer des produits de tiers. Selon les indications de Microsoft, les entrées et les sorties peuvent être conservées pendant une durée limitée pouvant aller jusqu'à 30 jours afin de détecter les abus, sauf si une dérogation a été convenue pour la ressource utilisée.
Pour des analyses approfondies, les clients peuvent utiliser un bac à sable d'analyse dans le chat : un environnement conteneurisé isolé et éphémère dans lequel du code Python est exécuté sur les données de l'enquête concernée. Y sont transférés les fichiers importés par le client ainsi que des extraits générés automatiquement des données d'enquête, en particulier les textes des réponses accompagnés de leurs catégorisations et les métadonnées de répondants associées. Le bac à sable fonctionne sur notre propre infrastructure hébergée par Hetzner en Allemagne ; les conteneurs sont supprimés avec leurs données à la fin de la session. Le résultat de l'analyse (sorties texte et messages d'erreur, tronqués) est renvoyé au modèle de langage afin qu'il puisse expliquer les résultats ; il peut donc contenir des contenus analysés. La base juridique est l'art. 6, par. 1, point b) du RGPD.
Pour les rechargements de crédits payants, nous faisons appel au prestataire de services de paiement Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Pays-Bas. Nous transmettons à Mollie le montant du paiement, un libellé et un identifiant utilisateur interne. Vous saisissez vos données de paiement, par exemple les informations de carte ou de compte, directement auprès de Mollie ; nous ne les recevons ni ne les conservons. Mollie nous communique en retour l'identifiant du paiement, son statut, son montant, le pays de paiement déterminé par Mollie et, pour les paiements par carte, le pays d'émission de la carte, que nous conservons avec le crédit accordé. La base juridique est l'art. 6, par. 1, point b) du RGPD et, pour la conservation des justificatifs de paiement et pièces comptables, l'art. 6, par. 1, point c) du RGPD combiné aux obligations légales de conservation en droit commercial et fiscal. Pour les consommateurs, nous conservons en outre la demande, exprimée lors de la commande, que nous commencions la prestation avant l'expiration du délai de rétractation, accompagnée de la reconnaissance, ainsi que les éventuelles déclarations de rétractation, chacune avec la date et l'heure. La base juridique est l'art. 6, par. 1, point b) du RGPD et, pour la conservation à titre de preuve, l'art. 6, par. 1, point f) du RGPD ; notre intérêt légitime réside dans la possibilité de prouver l'existence, l'extinction et les effets du droit de rétractation.
Pour les rechargements, nous collectons des données de facturation : nom, pays, achat en qualité de consommateur ou de professionnel, pour les professionnels également la raison sociale et l'adresse (obligatoires) ainsi que, le cas échéant, le numéro d'identification à la TVA, et pour les consommateurs une adresse facultative. Nous utilisons ces données pour déterminer le traitement au regard de la TVA et pour émettre des factures ou des reçus. Nous vérifions tout numéro d'identification à la TVA indiqué auprès de l'Office central fédéral des impôts allemand (Bundeszentralamt für Steuern, BZSt) ; à cet effet, nous transmettons au BZSt le numéro, la raison sociale et la localité, et conservons le résultat reçu. La base juridique est l'art. 6, par. 1, point b) du RGPD et, dans la mesure où le droit fiscal nous oblige à collecter, vérifier et conserver ces données, l'art. 6, par. 1, point c) du RGPD.
Pour les services fournis par voie électronique, nous devons conserver des éléments de preuve du lieu où nos clients sont établis (article 24 ter du règlement d'exécution (UE) n° 282/2011). À cet effet, nous conservons pour chaque paiement votre adresse IP, le pays qui en est déduit, le pays de facturation que vous avez déclaré ainsi que le pays de paiement ou de la carte communiqué par Mollie. Nous déduisons le pays de l'adresse IP sur nos propres serveurs au moyen d'une base de données IP2Location stockée localement ; l'adresse IP n'est pas transmise à IP2Location. La base juridique est l'art. 6, par. 1, point c) du RGPD. Nous conservons ces données pendant dix ans, durée de conservation imposée pour les registres du guichet unique (OSS).
This site or product includes IP2Location LITE data available from https://lite.ip2location.com.
Nous envoyons des e-mails via le service Brevo pour confirmer l'inscription, pour les invitations à un compte, pour la réinitialisation des mots de passe, pour le traitement des retours d'expérience, pour les confirmations de contrat lors des rechargements, pour les accusés de réception des rétractations, pour l'envoi de reçus après la clôture d'un compte et pour les notifications d'exploitation. Sont transmis l'adresse du destinataire, le cas échéant le nom affiché, ainsi que le contenu du message concerné. La base juridique est l'art. 6, par. 1, point b) du RGPD, pour les confirmations de contrat en outre l'art. 6, par. 1, point c) du RGPD combiné au § 312f BGB, pour les accusés de réception des rétractations combiné au § 356a BGB et, pour les notifications d'exploitation, l'art. 6, par. 1, point f) du RGPD. Nous n'envoyons aucune newsletter publicitaire via la plateforme.
Sur la page d'inscription, nous utilisons Cloudflare Turnstile afin d'empêcher les inscriptions automatisées en masse. Un script est chargé depuis Cloudflare (challenges.cloudflare.com) ; à cette occasion, Cloudflare traite votre adresse IP ainsi que des caractéristiques techniques de votre navigateur et de votre appareil. Lors de la vérification du résultat côté serveur, nous transmettons également votre adresse IP à Cloudflare. Selon Cloudflare, Turnstile n'utilise pas de cookies à des fins de suivi et n'est employé ni pour le profilage ni à des fins publicitaires. La base juridique est l'art. 6, par. 1, point f) du RGPD ; notre intérêt légitime consiste à protéger l'inscription contre les attaques automatisées, la création massive de comptes et la captation abusive de crédits de bienvenue. Turnstile n'est utilisé que sur la page d'inscription. Concernant les transferts vers Cloudflare, Inc. aux États-Unis, voir la section « Transferts vers des pays tiers ».
Afin d'empêcher les inscriptions multiples et en masse, nous consignons séparément chaque tentative d'inscription avec l'adresse IP, une forme normalisée de l'adresse e-mail, le résultat de la tentative et l'horodatage. Sur cette base, nous limitons le nombre d'inscriptions par adresse IP et par adresse e-mail et détectons les hausses anormales. Ces enregistrements sont supprimés automatiquement au bout de 30 jours. La base juridique est l'art. 6, par. 1, point f) du RGPD ; notre intérêt légitime réside dans la prévention des abus et le bon fonctionnement du service. Il ne s'agit pas d'une décision automatisée produisant des effets juridiques au sens de l'art. 22 du RGPD ; toute inscription refusée peut être clarifiée à tout moment à l'adresse info@surv-ai.com.
L'exploitation de la plateforme génère des données techniques de journalisation, telles que l'adresse IP, l'horodatage, le point d'accès appelé, le code de statut, les temps d'exécution et les messages d'erreur. Elles servent au diagnostic des erreurs, au maintien de la disponibilité et à la détection des attaques. Les journaux sont écrasés de manière glissante et ne sont en règle générale pas conservés plus de 30 jours. La base juridique est l'art. 6, par. 1, point f) du RGPD. Nous n'employons aucun service d'analyse d'audience, de suivi ou de publicité dans la plateforme ; le seul script tiers intégré est la protection contre les robots décrite ci-dessus, sur la page d'inscription.
Pour accéder à notre API REST, les clients peuvent générer des clés d'API. Nous conservons ces clés uniquement sous forme d'empreinte cryptographique, accompagnées d'un nom, d'un préfixe visible, de la date de création et de la date de dernière utilisation. Les exports, par exemple vers Excel ou au format CSV, sont générés à la demande et remis directement à la personne qui les demande ; ils contiennent les données d'enquête et d'analyse du compte concerné. Les clients peuvent en option configurer des webhooks. Dans ce cas, nous transmettons des informations d'état et de résultat relatives à une tâche — pour l'essentiel des identifiants, des compteurs et la structure de catégories générée — à l'adresse indiquée par le client, et nous en journalisons la remise. Le client est responsable de la licéité de cette transmission ainsi que du système destinataire.
Nous faisons appel aux prestataires suivants. Des contrats de sous-traitance au sens de l'art. 28 du RGPD ont été conclus avec tous les prestataires qui traitent des données personnelles pour notre compte.
| Prestataire | Finalité | Lieu du traitement | Politique de confidentialité |
|---|---|---|---|
| Hetzner Online GmbH | Hébergement de l'application, de la base de données, du stockage objet et des sauvegardes (site et plateforme) | Allemagne (Nuremberg, Falkenstein) | Consulter |
| Microsoft (Azure OpenAI Service) | Analyse assistée par IA des réponses ouvertes, assistant conversationnel, transcription | Région UE (zone de données UE de Microsoft) | Consulter |
| Brevo (Sendinblue GmbH) | Envoi d'e-mails transactionnels (site et plateforme) | UE (France, Allemagne) | Consulter |
| Mollie B.V. | Traitement des paiements pour les rechargements de crédits | Pays-Bas (UE) | Consulter |
| Cloudflare, Inc. (Turnstile) | Protection contre les robots sur la page d'inscription (Turnstile) | UE et États-Unis | Consulter |
| Google Ireland Limited (Calendar API) | Entrée d'agenda pour les réservations de démonstration (site) ; connexion via « Continuer avec Google » (plateforme, facultative) | UE (Irlande) et États-Unis | Consulter |
Notre gestion des identités (Zitadel), notre base de données, notre service de passerelle IA et le bac à sable d'analyse sont exploités par nos soins sur des serveurs loués auprès de Hetzner Online GmbH en Allemagne. Il ne s'agit pas de prestataires externes supplémentaires. Avant de recourir à un nouveau sous-traitant ultérieur, nous en informons en temps utile les clients concernés conformément au contrat de sous-traitance applicable.
Le traitement a en principe lieu au sein de l'Union européenne. Pour deux services, un transfert vers les États-Unis ne peut être exclu : Cloudflare (protection contre les robots sur la page d'inscription de la plateforme) et Google (entrées d'agenda pour les réservations de démonstration sur le site ainsi que, si vous l'utilisez, connexion via « Continuer avec Google » sur la plateforme). Ces deux prestataires sont certifiés au titre du cadre de protection des données UE–États-Unis (EU-US Data Privacy Framework) ; le transfert repose dans cette mesure sur la décision d'adéquation de la Commission européenne du 10 juillet 2023, conformément à l'art. 45 du RGPD. À titre complémentaire, et pour les destinataires ne relevant pas de ce cadre, nous avons conclu avec les prestataires les clauses contractuelles types de la Commission européenne prévues à l'art. 46, par. 2, point c) du RGPD. Malgré ces garanties, un accès des autorités américaines aux données transmises ne peut être totalement exclu et une protection juridique équivalente aux standards européens ne peut être garantie dans tous les cas.
Nous ne conservons les données personnelles que le temps nécessaire aux finalités indiquées ou aussi longtemps que des obligations légales de conservation l'exigent :
Nous mettons en œuvre des mesures techniques et organisationnelles pour protéger vos données. Elles comprennent le chiffrement systématique des transmissions (TLS/HTTPS) pour toutes les connexions, un cloisonnement strict des clients au niveau de la base de données grâce à la sécurité au niveau des lignes (row-level security), de sorte que les accès applicatifs ne peuvent atteindre que les données du compte connecté, un utilisateur de base de données distinct aux droits restreints pour l'application, un contrôle d'accès fondé sur les rôles au sein de l'application, une gestion des sessions côté serveur avec stockage chiffré des jetons d'accès, l'exécution du code d'analyse exclusivement dans des conteneurs isolés et éphémères sans accès réseau libre, ainsi que des sauvegardes régulières sur un stockage situé dans l'UE. L'accès aux systèmes de production est réservé à un petit nombre de personnes et s'effectue exclusivement via des connexions chiffrées reposant sur des clés.
En vertu du RGPD, vous disposez d'un droit d'accès (art. 15), de rectification (art. 16), d'effacement (art. 17), à la limitation du traitement (art. 18) et à la portabilité des données (art. 20), ainsi que du droit de vous opposer à un traitement fondé sur un intérêt légitime (art. 21). Vous pouvez retirer à tout moment, avec effet pour l'avenir, tout consentement donné. Pour exercer ces droits, veuillez nous contacter à :
Information destinée aux répondants : si vous avez participé à une enquête analysée au moyen de SurvAI, nous n'intervenons à cet égard qu'en qualité de sous-traitant. Veuillez adresser votre demande à l'entreprise ou à l'institut qui a réalisé l'enquête et qui est le responsable du traitement à votre égard. Si votre demande nous parvient malgré tout, nous la transmettrons sans délai au responsable du traitement, pour autant qu'il nous soit connu.
Indépendamment de ce qui précède, vous avez le droit d'introduire une réclamation auprès d'une autorité de contrôle en matière de protection des données concernant le traitement de vos données personnelles. L'autorité compétente pour nous est :
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit Gustav-Stresemann-Ring 1 65189 Wiesbaden, Allemagne https://datenschutz.hessen.de
Nous nous réservons le droit d'adapter la présente politique de confidentialité afin de tenir compte d'évolutions du cadre juridique ou de modifications de nos services. La version en vigueur est toujours disponible sur cette page.
La présente politique de confidentialité a été rédigée en allemand. Les traductions sont fournies à titre purement informatif ; en cas de divergence, la version allemande fait foi.
Nos conditions générales d'utilisation s'appliquent en complément.