Privacy Policy

C-NDA Protocol™ est exploité par WitUp Ltd, société immatriculée en Angleterre et au Pays de Galles sous Company No. 16572774, VAT GB499506632, dont le siège social est situé au 71–75 Shelton Street, Covent Garden, London WC2H 9JQ, United Kingdom.

Pour toute question relative à cette page, ou pour exercer l'un des droits décrits ci-dessous, écrivez à hub@witup.ai. Les titulaires de compte peuvent également lancer un export de données ou supprimer leur compte directement depuis Paramètres → Confidentialité.

Pour votre propre compte (votre profil, votre offre, votre facturation), nous sommes le responsable du traitement : nous décidons de ce qui est collecté et pourquoi.

Pour les éléments que vous protégez (les contreparties que vous invitez, les documents que vous enregistrez, ce qui est dit lors d'une réunion que vous protégez), vous êtes le responsable du traitement et nous agissons en tant que votre sous-traitant : nous traitons ces données sur vos instructions, afin de fournir les preuves que vous nous avez demandé de produire. La seule chose que nous décidons nous-mêmes est l'intégrité des preuves, et c'est l'objet du chapitre sur l'immuabilité ci-dessous.

Données de compte : votre adresse e-mail, ainsi que le nom, la société, le pays et l'usage prévu que vous nous communiquez lors de votre inscription, votre langue d'interface et, si vous en téléversez un, votre logo. Base légale : l'exécution de notre contrat avec vous.

Données d'offre et de facturation : votre offre, vos compteurs d'usage mensuels et votre identifiant client Stripe. Les données de carte de paiement n'atteignent jamais nos systèmes : le paiement et la gestion de l'abonnement ont lieu sur les propres pages de Stripe. Stripe collecte votre adresse de facturation et, si vous en fournissez un, votre numéro de TVA. Nous conservons une copie brute des événements de facturation que Stripe nous envoie, afin qu'un paiement puisse toujours être rapproché. Base légale : le contrat, et notre obligation légale de tenir des registres comptables.

Comment vous nous avez trouvés : nous ne collectons plus ces données. Jusqu'au 24 August 2026, le fait d'arriver sur le site avec un lien de campagne stockait les paramètres de campagne, un code de parrainage et le site référent dans un cookie first-party, qui était ensuite copié sur votre compte. Si vous vous êtes inscrit avant cette date, ces données figurent toujours sur votre compte et apparaissent dans l'export que vous pouvez demander depuis vos paramètres ; demandez-le-nous et nous les supprimerons. Base légale, pendant que cela a duré : notre intérêt légitime à savoir quels canaux nous ont amené des utilisateurs.

Consentement marketing : uniquement si vous cochez la case lors de la création de votre compte, et jamais dans l'acte de signature d'un accord, ce qui rendrait le consentement conditionnel et donc nul. Vous pouvez le retirer à tout moment.

Liste d'attente : tant que les inscriptions sont ouvertes par vagues, la page d'inscription collecte un nom et une adresse e-mail dans un seul but : vous inviter lorsqu'une place se libère. Nous ne les utilisons pour rien d'autre, nous n'envoyons aucun marketing à cette adresse sauf si vous y consentez ultérieurement, et nous notifions notre propre boîte de réception que vous avez rejoint la liste. Base légale : les démarches que vous nous avez demandé d'accomplir avant la conclusion d'un contrat. Écrivez à hub@witup.ai pour être retiré de la liste à tout moment.

Données de signataire, pour chaque personne invitée à signer : le nom qu'elle déclare, son adresse e-mail, le cas échéant sa société et sa fonction, la manière dont elle a été identifiée, et le moment exact où elle a été identifiée et a accepté. Au moment de l'acceptation, nous enregistrons également son adresse IP et l'agent utilisateur de son navigateur, car c'est ce qui rend l'acceptation prouvable. Pour une réunion protégée, le consentement à l'enregistrement est une case obligatoire distincte, à cocher en même temps que la signature, et son horodatage est également enregistré.

Pour une réunion protégée, nous demandons également à chaque signataire le nom sous lequel il apparaîtra dans la salle, afin que la personne qui a signé puisse être associée à une vignette de la réunion. Lorsqu'une vignette ne peut pas être associée automatiquement, et toujours lorsqu'un participant rejoint sans caméra, l'hôte confirme l'association depuis le panneau de session, et cette confirmation est enregistrée comme événement dans le dossier de preuves scellé, avec le moment où elle a été donnée et l'identité de la personne qui l'a donnée.

Un participant qui rejoint une réunion protégée sans caméra est identifié avec deux facteurs plutôt qu'un, une clé d'accès et un code à usage unique envoyé à son adresse e-mail, et le certificat indique clairement que c'est ainsi qu'il a été identifié, qu'il n'était pas visible dans la salle et que l'hôte l'a confirmé.

Données de réunion, pour une réunion protégée : l'enregistrement (audio, et vidéo uniquement lorsque votre offre le propose et que vous l'activez), des captures d'écran périodiques de la vue des participants, les noms d'affichage des personnes présentes dans la salle et la durée de présence de chacune, la transcription automatique, le journal des événements de ce qui s'est produit pendant l'appel et, si vous le demandez et le confirmez, un résumé généré par IA.

Données d'erreur : lorsqu'un problème survient, un rapport d'erreur technique est envoyé à notre prestataire de supervision. Les en-têtes d'autorisation, les cookies, les corps de requête, les liens de réunion et les codes à usage unique sont supprimés avant son envoi. Il n'y a ni relecture de session ni mesure d'audience nulle part sur ce site.

La base de données, l’authentification et les documents sont hébergés sur Supabase dans l’Union européenne, région de Francfort. Les enregistrements de réunion et les captures d’écran sont stockés sur Cloudflare R2 dans un bucket créé avec la juridiction de l’UE. Le portail fonctionne sur Vercel ; le témoin d’enregistrement s’exécute dans un conteneur hébergé par Railway à Amsterdam.

Ce qui est publié sur la blockchain publique n’est qu’un hash cryptographique de 32-byte, avec un horodatage et l’adresse de notre propre portefeuille. Il ne contient aucun nom, aucune adresse e-mail, aucune adresse IP et aucun contenu, et il ne peut être inversé pour retrouver l’un ou l’autre de ces éléments.

The use of information received from Google Workspace scopes will adhere to the Google User Data Policy, including the Limited Use requirements.

Cet engagement lie chaque élément de données utilisateur Google que nous recevons, et voici exactement ce que nous recevons aujourd’hui.

Si vous choisissez « Continue with Google » pour vous connecter, nous recevons le profil de base renvoyé par Google pour la connexion (votre nom, votre adresse e-mail et votre photo de profil) et nous l’utilisons uniquement pour créer et ouvrir votre compte. Nous ne demandons aucune portée supplémentaire.

Si vous choisissez de connecter votre Google Calendar (une fonctionnalité facultative que vous activez vous-même, derrière un écran de consentement Google distinct), nous demandons une autorisation supplémentaire en lecture seule : https://www.googleapis.com/auth/calendar.events.readonly. Avec celle-ci, nous lisons les événements de votre agenda (titre, heure de début et de fin, organisateur, liste des invités et lien de réunion) dans un seul but : reconnaître les réunions que vous souhaitez protéger, préparer la session et faire rejoindre le témoin au bon moment. Pour maintenir cette connexion active, nous conservons un jeton d’actualisation Google, stocké chiffré et jamais envoyé au navigateur, ainsi que l’adresse e-mail du compte Google connecté. La déconnexion du calendrier depuis l’application supprime le jeton, et vous pouvez également révoquer notre accès à tout moment depuis les paramètres de sécurité de votre compte Google.

Si vous préférez ne rien connecter, la voie de l’invitation existe en revanche : vous pouvez inviter notre propre boîte aux lettres C-NDA à une réunion, exactement comme vous inviteriez tout autre invité. Notre système lit alors les invitations qui arrivent dans cette boîte aux lettres (le titre de la réunion, son heure de début et de fin, l’adresse de l’organisateur, la liste des invités et le lien de réunion) dans le même but. Dans les deux cas, le lien de réunion est stocké chiffré ; l’adresse de l’organisateur et le titre de la réunion sont stockés afin que nous puissions vous montrer la réunion et éviter de la préparer deux fois.

Les données reçues de Google ne servent jamais à diffuser de la publicité, ne sont jamais vendues ni transférées à des courtiers en données, et ne servent jamais à créer, entraîner ou améliorer un modèle d’apprentissage automatique ou d’intelligence artificielle. Les informations de calendrier ne sont placées dans aucun prompt d’IA. Aucune personne de notre côté ne les lit, sauf lorsque vous nous avez demandé d’examiner un problème précis, ou lorsque la sécurité ou la loi l’exige.

La plupart des données personnelles que nous traitons appartiennent à des personnes qui ne sont pas nos clients : la contrepartie invitée à signer, le collègue présent dans une réunion protégée, l’invité figurant sur une invitation envoyée à notre boîte aux lettres. Nous prenons cela au sérieux et nous gardons une empreinte aussi réduite que la finalité le permet.

Un signataire invité reçoit un e-mail qui indique qui l’a invité et ce qu’on lui demande de signer, est identifié avant de pouvoir accepter et, pour une réunion, se voit demander séparément et explicitement son consentement à l’enregistrement avant que quoi que ce soit ne soit capturé. La base juridique est l’accord lui-même, conclu à sa propre demande ; et, pour nous en qualité de sous-traitant, les instructions du client qui l’a invité.

Pour les invités figurant sur une invitation envoyée à notre boîte aux lettres, la base juridique est notre intérêt légitime, ainsi que celui du client, à préparer la réunion qu’il nous a demandé de protéger. Chacune de ces personnes peut écrire à hub@witup.ai pour demander ce que nous détenons à son sujet.

Lorsqu’une réunion protégée se termine, le certificat est émis automatiquement et envoyé par e-mail à toutes les personnes qui y sont liées, à chaque signataire et à l’hôte, accompagné du résumé automatique lorsque le forfait en comprend un. La transcription et le résumé sont tous deux étiquetés comme automatiques et non relus par quiconque, car à ce moment-là personne ne les a lus. L’organisateur d’une réunion peut choisir, session par session, que le résumé ne soit envoyé qu’après sa relecture ; le certificat lui-même n’est jamais retenu.

Le témoin d’enregistrement rejoint l’appel sous le nom visible « C-NDA Protocol », apparaît dans la liste des participants comme n’importe qui d’autre, et est en sourdine et sans caméra. Il rejoint l’appel en silence et n’enregistre rien (pas un seul byte, captures d’écran comprises) tant que le portail ne lui indique pas que toutes les personnes requises ont signé et consenti. Si personne ne signe, il part sans avoir capturé quoi que ce soit.

Pendant l’enregistrement, il capture l’audio de la réunion et, lorsque la vidéo est activée, l’onglet de réunion tel qu’il est affiché, ce qui inclut un écran partagé pendant qu’il est partagé. Il prend périodiquement des captures d’écran de la vue des participants. Il lit les noms d’affichage présentés à l’écran afin d’enregistrer qui était présent et pendant combien de temps. Il ne lit pas le chat de la réunion, il ne lit pas vos autres onglets, votre historique de navigation ou vos cookies, et il n’écrit jamais le lien de réunion où que ce soit.

Lorsque la couverture est incomplète (le témoin a été déconnecté, une piste vidéo s’est arrêtée, un budget de taille a été épuisé), cette lacune est déclarée dans le certificat lui-même. Elle n’est jamais dissimulée en silence.

Avant qu’un quelconque audio ne soit envoyé pour transcription, nous mesurons s’il contient réellement de la parole. Si ce n’est pas le cas, rien n’est envoyé, aucune transcription n’est produite, et le certificat le dit. Le même contrôle est exécuté ensuite sur ce qui revient : une transcription dont les segments ne couvrent pas l’enregistrement est refusée plutôt que scellée.

Les deux sont des outils facultatifs pour la personne qui organise une réunion ; un participant n’installe jamais rien. Ni l’une ni l’autre ne stocke d’identifiants : elles agissent via le cookie de session que vous détenez déjà sur ce site, et si vous n’êtes pas connecté, elles vous envoient vers la page de connexion. Elles ne contiennent aucun outil d’analyse, aucune publicité et aucun code de suivi, et elles communiquent avec C-NDA et avec rien d’autre.

L’extension Chrome s’exécute sur les pages meet.google.com dans un seul but : lire le code de réunion dans l’adresse de la page, afin de pouvoir demander si cette réunion dispose déjà d’une session C-NDA. Le code de réunion nous parvient sous forme d’empreinte à sens unique plutôt que sous forme de lien, et n’est jamais comparé qu’à des sessions appartenant à votre propre compte.

Supabase : base de données, authentification et stockage de documents, dans l’UE (Francfort).

Cloudflare R2 : stockage des enregistrements et des captures d’écran, dans un bucket relevant de la juridiction de l’UE.

Vercel : hébergement de ce site. Railway : hébergement du témoin d’enregistrement, à Amsterdam.

Stripe : abonnements, paiement et facturation. Stripe reçoit votre adresse e-mail, votre nom et les informations de facturation que vous saisissez sur ses propres pages.

Resend : envoi d’e-mails transactionnels : invitations, codes à usage unique, certificats, rappels et avis de facturation.

La transcription automatique s’exécute sur notre propre infrastructure (un modèle vocal open source sur Railway, Amsterdam) : l’audio de la réunion n’est envoyé à aucun tiers pour être transcrit.

Google (Gemini, via Google AI Studio) : sur les plans qui le proposent, le projet de résumé d’une réunion. Il s’agit du transfert le plus important du système : la transcription complète est envoyée pour rédiger le projet de résumé. Google ne reçoit pas l’audio.

DeepSeek (Hangzhou DeepSeek Artificial Intelligence, China) : solution de repli d’urgence pour le projet de résumé uniquement, utilisée lorsque Google ne répond pas. Dans ce cas, la transcription complète est envoyée à DeepSeek, en dehors de l’Union européenne ; le résumé indique quel fournisseur l’a produit. L’audio n’est jamais envoyé.

Sentry : surveillance des erreurs pour le portail et le témoin ; les en-têtes d’autorisation, cookies, corps, liens de réunion et codes à usage unique sont supprimés avant l’envoi ; aucun rejeu de session ; les rapports d’erreur sont adressés à la région UE.

Un fournisseur RPC (Alchemy) : utilisé uniquement pour envoyer le hash au réseau Polygon et pour relire le réseau. Il ne reçoit aucune donnée personnelle.

Nous ne vendons pas de données personnelles et nous ne les partageons pas avec des annonceurs.

Enregistrements de réunion sur le plan Free : chaque enregistrement est supprimé 12 mois après la fin de la session, que la session ait été certifiée ou non, et nous vous envoyons un e-mail 30 jours avant cette suppression. Une session qui n’a jamais été certifiée n’est pas exemptée : elle n’a simplement jamais produit de certificat, et conserver l’enregistrement d’une réunion que personne n’a jamais scellée serait la pire issue pour les personnes enregistrées. L’avis précède toujours la suppression : si vous passez d’un plan payant à Free avec un enregistrement déjà âgé de plus de 12 mois, nous vous accordons tout de même les 30 jours. Sur les plans payants, l’enregistrement est conservé jusqu’à ce que vous nous demandiez de le détruire, ce que vous pouvez faire à tout moment une fois la session certifiée, ou jusqu’à 30 jours après la fin de votre plan payant sans renouvellement (Conditions §4) : nous vous envoyons un e-mail 7 jours et 1 jour avant cette date, et un renouvellement annule la suppression. La destruction d’un enregistrement n’affecte jamais le certificat, son dossier de preuves ni son ancrage : le hash subsiste comme preuve que l’enregistrement existait tel qu’il a été certifié, et la destruction est consignée dans la session.

Autres données stockées lorsqu’un plan payant prend fin : 30 jours après la fin d’un plan payant sans renouvellement, nous supprimons également les médias des sessions qui n’ont jamais été certifiées, les documents téléversés pour des protections qui n’ont jamais été certifiées, vos exports et votre logo, avec les mêmes deux avis. Chaque étape est consignée avec le décompte de ce qui a été supprimé.

Exports de données : le lien de téléchargement que nous vous envoyons par e-mail cesse de fonctionner après 7 jours, et vous pouvez demander un export par période de 24 heures. L’archive elle-même est supprimée de notre stockage une fois ce lien expiré : ce qui subsiste, c’est l’enregistrement de votre demande et la date à laquelle nous avons supprimé le fichier.

Invitations : une invitation à signer expire après 7 jours, et une inscription autonome expire après 14 jours si personne ne l’accepte. Les codes à usage unique durent 10 minutes et autorisent trois tentatives. Les liens vers un enregistrement, un certificat PDF ou un dossier de preuves sont signés et expirent 10 minutes après leur émission.

Certificats et dossiers de preuves : conservés aussi longtemps qu’ils peuvent être nécessaires à titre de preuve, et en tout état de cause pendant au moins 5 ans à compter du scellement, ce qui est l’objet du produit. Voir le chapitre suivant.

Invitations de réunion envoyées à notre boîte aux lettres, événements bruts de facturation et de réunion et rapports d’erreur : nous n’avons pas encore fixé de durée de suppression automatique pour ces éléments, mais la suppression de votre compte expurge immédiatement le contenu personnel des événements bruts (voir le chapitre suivant). Vous pouvez nous demander de les supprimer à tout moment, et nous le ferons sauf si leur conservation est nécessaire pour rapprocher un paiement ou respecter la loi.

Vous pouvez demander l’accès à vos données, leur rectification, une copie de celles-ci dans un format portable, leur suppression, la limitation du traitement, et vous pouvez vous opposer à un traitement fondé sur notre intérêt légitime. L’accès et la portabilité sont en libre-service : Paramètres → Confidentialité génère une archive ZIP et vous envoie un lien par e-mail.

La suppression de votre compte retire définitivement votre profil, vos protections et vos sessions, ainsi que tout ce qu’elles contiennent : titres, brouillons, transcriptions, résumés et journaux d’événements. Certains éléments subsistent délibérément, et vous devez savoir lesquels.

Les certificats déjà émis subsistent, ainsi que les enregistrements des personnes qui les ont signés : leur nom, leur adresse e-mail, leur société, le moment où elles ont accepté, ainsi que l’adresse IP et l’agent utilisateur capturés à ce moment-là. Un certificat est une preuve qui appartient à chaque partie liée, et pas seulement à vous ; vos contreparties conservent leur accès tant que nous le conservons, et toute personne détenant le code peut encore confirmer qu’il existe et qu’il est intact.

Le dossier de preuves scellé ne peut pas être modifié. Une fois que son empreinte a fait l’objet d’un ancrage sur la blockchain, modifier un seul caractère détruirait la preuve même que le dossier a pour objet de fournir. C’est pourquoi le nom, l’adresse e-mail, l’adresse IP et l’agent utilisateur de chaque signataire, ainsi que la transcription et le journal d’événements d’une réunion protégée, ne peuvent pas être altérés ni effacés d’un dossier déjà fait l’objet d’un ancrage. Les corrections n’écrasent pas : elles produisent un nouveau certificat dans une chaîne de révision documentée.

Ce que nous pouvons toujours faire, c’est détruire l’enregistrement stocké d’une réunion protégée, sur demande et de manière irréversible, tandis que le certificat reste valide : son empreinte demeure comme preuve que l’enregistrement a existé tel que certifié. Notez que la destruction de l’enregistrement ne supprime pas les captures d’écran périodiques ni la transcription, qui font partie du dossier de preuves scellé.

Les événements bruts de facturation et de réunion que nous recevons de Stripe et du témoin d’enregistrement sont conservés sans lien avec votre compte, car ils arrivent avant que nous sachions à qui ils appartiennent et car ce sont eux qui empêchent qu’un même événement soit traité deux fois. Lorsque vous supprimez votre compte, nous les expurgeons : le contenu personnel de l’événement (nom de facturation, adresse e-mail, adresse, numéro de TVA et noms d’affichage des personnes vues dans une réunion) est remplacé, et seuls l’identifiant de l’événement, son type et son horodatage subsistent.

Les fichiers stockés sont traités selon ce dont ils constituent la preuve. La suppression de votre compte supprime votre logo, toute archive d’export de données, ainsi que les enregistrements, captures d’écran et documents NDA téléversés des protections qui n’ont jamais été certifiées : aucun de ces éléments n’est scellé dans quoi que ce soit. Ce qui subsiste est ce vers quoi pointe un certificat : les PDF de certificats, les dossiers de preuves, ainsi que l’enregistrement et le document téléversé d’une protection certifiée. Les supprimer détruirait la preuve même que le dossier a pour objet de fournir, et cette preuve appartient à chaque partie liée, pas seulement à vous. Demandez-le-nous et nous supprimerons tout élément vous appartenant qui n’est pas requis comme preuve.

Si vous estimez que nous avons mal traité vos données, nous souhaitons en être informés d’abord à hub@witup.ai ; vous avez également le droit de déposer une réclamation auprès de votre autorité de contrôle de la protection des données.

Toute personne disposant d’un code de certificat peut le vérifier à l’adresse c-nda.com/verify. Cette vérification ne renvoie que le code, le type de certificat, l’empreinte du dossier, la transaction blockchain, les horodatages et le nombre de parties liées. Aucun nom, aucune adresse e-mail, aucun contenu.

Il existe également un registre public, et il est désactivé par défaut. Un certificat n’y apparaît que si son propriétaire l’active, un certificat à la fois, et seuls trois champs peuvent jamais être publiés : le titre, les noms déclarés des parties et leurs sociétés. Jamais une adresse e-mail, une adresse IP, un document ou une transcription. Il peut être retiré du registre à tout moment.

Les données sont chiffrées en transit, et au repos par nos fournisseurs d’hébergement. Les liens de réunion sont en outre chiffrés dans la base de données avec une clé qui n’est jamais envoyée au navigateur et n’apparaît jamais dans les pages, les journaux ou les messages : un lien n’est déchiffré que lorsque le participant correspondant a signé, de sorte qu’avant cela, il ne peut être lu par personne dans le navigateur, y compris par nous. Les jetons d’invitation et les codes à usage unique sont stockés uniquement sous forme de hachages, jamais sous une forme lisible.

L’accès à la base de données depuis un navigateur est fermé par la sécurité au niveau des lignes sur chaque table ; les tables contenant des données de signataires n’ont aucune politique lisible par le client et ne sont accessibles que par notre serveur, après présentation d’un jeton d’invitation valide.

Si nous modifions ce que nous faisons des données personnelles, nous modifions cette page, et la version et la date en haut changent en conséquence. Les modifications substantielles seront annoncées aux titulaires de compte par e-mail.

La présente politique est rédigée en anglais et traduite pour des raisons de commodité ; en cas de divergence entre une traduction et le texte anglais, le texte anglais prévaut, comme le prévoient les Conditions d’utilisation.

WitUp Ltd : 71–75 Shelton Street, Covent Garden, London WC2H 9JQ, United Kingdom. N° de société 16572774 · TVA GB499506632. Demandes relatives à la confidentialité : hub@witup.ai.