RGPD : rôles, bases et exercice de vos droits

WitUp Ltd, Company No. 16572774, 71–75 Shelton Street, Covent Garden, London WC2H 9JQ, United Kingdom, est le responsable du traitement des données de compte, de forfait et de facturation.

Pour le contenu que vous protégez (les contreparties que vous invitez, les documents que vous enregistrez, ce qui est dit dans une réunion que vous protégez), vous êtes le responsable du traitement et WitUp Ltd agit en qualité de sous-traitant, sur vos instructions. Nos sous-traitants ultérieurs sont nommés dans la Politique de confidentialité, avec la région dans laquelle chacun opère.

Fourniture du service à un titulaire de compte : exécution d’un contrat (Art. 6(1)(b)).

Lier un signataire à un accord, et consigner les preuves de cet acte, y compris l’horodatage, l’adresse IP et l’agent utilisateur : exécution d’un contrat conclu à la demande du signataire lui-même (Art. 6(1)(b)), et notre intérêt légitime, ainsi que le vôtre, à disposer de preuves réellement opposables (Art. 6(1)(f)).

Enregistrer une réunion protégée : le consentement explicite et distinct de chaque participant, recueilli avant toute captation (Art. 6(1)(a)). Sans celui-ci, le témoin n’enregistre rien.

Préparer une réunion à partir d’une invitation envoyée à notre propre boîte aux lettres, qui contient l’adresse de l’organisateur, l’intitulé de la réunion et la liste des invités : intérêt légitime (Art. 6(1)(f)), maintenu proportionné en ne traitant que ce qui est nécessaire pour identifier et préparer cette réunion.

Comprendre quels canaux nous apportent des utilisateurs : intérêt légitime (Art. 6(1)(f)). Courriel commercial : consentement (Art. 6(1)(a)), demandé uniquement lors de l’inscription et révocable à tout moment.

Tenir les registres comptables et répondre aux demandes licites : obligation légale (Art. 6(1)(c)).

La base de données, l’authentification et les documents sont hébergés sur Supabase dans l’UE (Francfort). Les enregistrements et les captures d’écran sont stockés sur Cloudflare R2 dans un bucket créé avec une juridiction UE. Le témoin d’enregistrement s’exécute à Amsterdam. Les rapports d’erreur sont transmis à la région UE de notre prestataire de supervision.

La transcription ne quitte pas ce périmètre : elle s’exécute sur notre propre infrastructure dans l’Union européenne, et l’audio de la réunion n’est envoyé à aucun tiers. Deux transferts le quittent néanmoins, et nous les nommons clairement. Stripe traite les paiements. Google (Gemini) reçoit la transcription complète, jamais l’audio, pour rédiger le résumé automatique sur les offres où cette fonctionnalité est proposée ; DeepSeek, en dehors de l’Union européenne, n’est utilisé qu’en solution de secours d’urgence pour cette même rédaction lorsque Google ne répond pas, et un résumé produit de cette manière l’indique. Ces transferts sont couverts par les mécanismes que ces prestataires mettent à la disposition de leurs clients européens ; les accords écrits qui les formalisent sont en cours de finalisation, et cette page les nommera une fois qu’ils seront signés.

Vous disposez du droit d’accès, de rectification, d’effacement, de limitation, de portabilité, ainsi que du droit de vous opposer au traitement fondé sur l’intérêt légitime. Lorsque le traitement repose sur le consentement, vous pouvez le retirer à tout moment sans affecter ce qui était licite auparavant.

L’accès et la portabilité sont en libre-service : Paramètres → Confidentialité crée une archive ZIP des données de votre compte et vous envoie un lien de téléchargement par courriel, valable pendant 7 jours. Vous pouvez demander un export toutes les 24 heures. La suppression de votre compte est également en libre-service, depuis la même page.

Pour tout le reste, y compris une demande émanant d’une personne qui a signé un accord mais n’a pas de compte chez nous, écrivez à hub@witup.ai. Nous répondons dans un délai d’un mois, et nous indiquons ce que nous avons fait et pourquoi, dans tous les cas.

Un dossier de preuves scellé ne peut pas être modifié après l’ancrage de son hash, car le modifier détruirait la preuve qu’il a pour objet de fournir. Le nom, l’adresse e-mail, l’adresse IP et l’agent utilisateur de chaque signataire, ainsi que la transcription et le journal d’événements d’une réunion protégée, figurent dans ce dossier. Ils ne peuvent être ni rectifiés ni effacés de celui-ci. Une correction produit un nouveau certificat dans une chaîne de révision documentée ; elle ne réécrit jamais l’ancien.

Les certificats déjà délivrés, ainsi que les enregistrements de signataires qui les sous-tendent, survivent donc à la suppression du compte qui les a créés. C’est délibéré : un certificat est une preuve appartenant à chaque partie liée, et les contreparties conservent leur accès à celui-ci.

Ce qui peut toujours être fait, sur demande et de manière irréversible, c’est la destruction de l’enregistrement stocké d’une réunion protégée. Le certificat reste valable et son hash demeure comme preuve que l’enregistrement existait tel que certifié. Les captures d’écran périodiques et la transcription restent partie intégrante du dossier scellé.

Si vous estimez que nous avons mal traité vos données, dites-le-nous d’abord à hub@witup.ai : nous préférons le corriger plutôt que de l’apprendre par une autorité de contrôle. Vous avez également le droit d’introduire une réclamation auprès de l’autorité de contrôle de la protection des données du pays où vous résidez ou travaillez, ou auprès de l’autorité de contrôle compétente pour WitUp Ltd.