Politique de confidentialité

Dernière mise à jour : 29 octobre 2026

1. Qui sommes-nous et à quoi s'applique cette politique

CONSTELLIA, société par actions simplifiée au capital de 1 000 euros, immatriculée au registre du commerce et des sociétés de Paris sous le numéro 938 577 137, dont le siège social est situé 61 rue de Lyon, 75012 Paris (« CONSTELLIA », « nous »), édite Orion, un service d'assistance à la vente reposant sur l'intelligence artificielle, destiné aux entreprises (le « Service »).

La présente politique décrit la manière dont nous traitons les données à caractère personnel :

des visiteurs de notre site et de nos services en ligne (constellia.ai, cnstl.ai et leurs sous-domaines) ;
des personnes qui créent un compte, administrent ou utilisent le Service (console d'administration et application de bureau Orion) ;
de nos prospects, clients, fournisseurs et partenaires, et de leurs interlocuteurs ;
des personnes en relation avec nos clients, dans la mesure décrite à la section 10.

Elle complète les Conditions générales d'utilisation (« CGU »), les Conditions générales de vente (« CGV ») et l'accord de traitement des données (« DPA ») conclus avec nos clients.

2. Nos deux rôles : responsable du traitement et sous-traitant

Lorsque nous agissons comme responsable du traitement. Nous déterminons nous-mêmes les finalités et les moyens des traitements décrits aux sections 3 à 9 : gestion des comptes, facturation, sécurité, support, relation commerciale, fonctionnement de nos sites. La présente politique s'applique pleinement à ces traitements.

Lorsque nous agissons comme sous-traitant. Les données que nos clients et leurs utilisateurs confient au Service (données synchronisées depuis leur CRM et leurs agendas, documents de leur base de connaissances, conversations avec l'assistant, enregistrements et transcriptions des réunions conservés par leurs utilisateurs) sont traitées pour le compte de nos clients, sur leurs instructions. Chaque client est responsable du traitement de ces données ; nos obligations sont définies dans le DPA. Si vous êtes en relation avec l'un de nos clients, reportez-vous à la section 10.

3. Quelles données nous traitons, pourquoi et sur quel fondement

Création et gestion du compte

Finalité : authentification, attribution des licences, paramètres des administrateurs et des utilisateurs.
Données : nom, prénom, adresse e-mail professionnelle, téléphone professionnel, identifiant du compte CRM utilisé pour la connexion, rôle, langue, fuseau horaire, dates de connexion.
Base légale : exécution du contrat (CGU).
Durée : durée du contrat, puis suppression dans les 90 jours suivant sa fin (même délai après une période d'essai non suivie d'un abonnement).

Preuve de l'acceptation des documents contractuels

Données : identifiant de l'utilisateur, version du document, date et heure, adresse IP, navigateur.
Base légale : intérêt légitime (preuve et défense de nos droits) et obligation légale.
Durée : durée du contrat, plus 5 ans.

Facturation, paiement et recouvrement

Données : raison sociale, numéro d'identification, adresse, numéro de TVA, nom et coordonnées du contact de facturation, historique des factures et des paiements. Les données de carte ou d'IBAN sont collectées et conservées uniquement par notre prestataire de paiement Stripe.
Base légale : exécution du contrat (CGV) et obligations légales (comptables et fiscales).
Durée : 10 ans à compter de la clôture de l'exercice (pièces comptables).

E-mails de service

Finalité : activation, notifications de facturation, alertes de consommation, mises à jour contractuelles.
Données : nom, adresse e-mail, contenu des notifications.
Base légale : exécution du contrat.
Durée : 12 mois pour les journaux d'envoi.

Support, signalement de bugs et réclamations

Données : identité, adresse e-mail, contenu des échanges.
Base légale : exécution du contrat et intérêt légitime (amélioration du Service).
Durée : 3 ans à compter de la clôture de la demande.

Sécurité, prévention de la fraude et des abus, journalisation technique

Données : adresse IP, identifiants techniques, journaux de connexion et d'utilisation.
Base légale : intérêt légitime (sécurité) et obligation légale.
Durée : 12 mois au plus.

Statistiques d'usage et amélioration du Service

Données : données d'utilisation agrégées (fonctionnalités utilisées, volumes, consommation de crédits), sans le contenu des conversations.
Base légale : intérêt légitime (amélioration du Service).
Durée : 12 mois pour les données brutes ; les données agrégées ou anonymisées sont conservées sans limite.

Prospection et relation commerciale avec les professionnels

Finalité : prise de contact, démonstrations, suivi commercial, newsletters.
Données : identité, fonction, entreprise, coordonnées professionnelles, historique des échanges, source du contact.
Base légale : intérêt légitime (développement de notre activité) ; consentement pour les newsletters lorsqu'il est requis.
Durée : 3 ans à compter du dernier contact ou du dernier échange.

Gestion des fournisseurs et partenaires

Données : identité et coordonnées professionnelles des interlocuteurs, données contractuelles.
Base légale : exécution du contrat et intérêt légitime.
Durée : durée de la relation, plus 5 ans.

Fonctionnement de nos sites et de la console

Données et durées : voir la section 6.
Base légale : intérêt légitime (fonctionnement du service demandé) pour les traceurs strictement nécessaires ; consentement pour les autres.

Les données de compte sont collectées, lors de la création du compte, auprès du compte CRM (HubSpot) de la personne qui s'inscrit ou se connecte, avec son autorisation, ou saisies par l'administrateur lorsqu'il invite un utilisateur. Les données de prospection proviennent de nos échanges directs, de nos sites, de nos partenaires ou de sources publiques professionnelles (sites d'entreprises, réseaux sociaux professionnels, annuaires).

Les informations signalées comme obligatoires lors de la création du compte, de la souscription ou dans nos formulaires sont nécessaires pour vous fournir le Service ou traiter votre demande : sans elles, nous ne pouvons pas le faire.

Nous ne prenons aucune décision produisant des effets juridiques ou vous affectant de manière significative sur le seul fondement d'un traitement automatisé.

4. Fonctionnalités d'intelligence artificielle

Le Service utilise des modèles d'intelligence artificielle générative fournis par des tiers et exécutés sur des infrastructures situées dans l'Union européenne. Seules les données nécessaires à chaque requête sont transmises aux modèles. Ni CONSTELLIA ni ses fournisseurs n'utilisent les données de nos clients ou de leurs utilisateurs pour entraîner ou améliorer des modèles d'intelligence artificielle. Les contenus générés sont des aides à la décision destinées à être relues par les utilisateurs.

5. Destinataires et sous-traitants

Les données sont accessibles, dans la limite de leurs attributions, aux membres habilités de l'équipe CONSTELLIA et à nos sous-traitants, liés par contrat :

hébergement, stockage et exécution des modèles d'intelligence artificielle : Amazon Web Services, dans l'Union européenne ;
paiement et facturation : Stripe, dans l'Union européenne, avec des transferts intragroupe encadrés vers les États-Unis ;
envoi des e-mails de service : prestataire d'envoi d'e-mails, dans l'Union européenne ;
recherche web et vérification de coordonnées professionnelles : prestataires spécialisés, dans l'Union européenne ou hors de l'Union européenne avec les garanties décrites à la section 7 ;
hébergement et mesure d'audience du site constellia.ai : Vercel, Google et Microsoft, dans l'Union européenne et aux États-Unis ;
gestion de notre propre relation commerciale : notre CRM et nos outils de messagerie et de visioconférence, dans l'Union européenne et aux États-Unis.

La liste nominative et à jour de nos sous-traitants est communiquée sur simple demande à contact@constellia.ai.

Nous pouvons également communiquer des données aux autorités lorsque la loi l'exige, à nos conseils tenus au secret professionnel et, en cas de fusion ou de cession, au repreneur dans les conditions prévues par la loi.

Nos clients choisissent les services qu'ils connectent au Service (par exemple HubSpot, Google Workspace ou Microsoft 365) ; ces éditeurs traitent les données selon leurs propres conditions. L'utilisation et le transfert par Orion des informations reçues des API Google respectent la Google API Services User Data Policy, y compris ses exigences d'utilisation limitée (« Limited Use »).

6. Cookies et traceurs

Console d'administration et application (orion.constellia.ai). Aucun cookie publicitaire ni outil de mesure d'audience tiers n'y est utilisé. Seuls sont déposés des traceurs strictement nécessaires au fonctionnement du service que vous demandez, dispensés de consentement :

Connexion et sécurité de la session : jusqu'à la déconnexion, au plus 24 heures (7 jours si vous choisissez de rester connecté).
Protection contre les requêtes falsifiées : pour la durée de la session.
Connexion avec votre compte CRM : quelques minutes, le temps de la connexion.
Préférences d'affichage : la langue pendant 1 an ; le thème clair ou sombre reste dans votre navigateur.
Paiement : sur les pages de paiement, notre prestataire Stripe dépose ses propres cookies pour sécuriser le paiement et prévenir la fraude, selon sa politique.

Site constellia.ai. Les outils de mesure d'audience et d'analyse de navigation (Vercel Analytics, Vercel Speed Insights et, via Google Tag Manager, Microsoft Clarity) ne sont chargés qu'après votre consentement, recueilli par le bandeau affiché lors de votre première visite. Vous pouvez retirer ce consentement à tout moment depuis ce bandeau. Google reCAPTCHA Enterprise est chargé sur notre formulaire de contact pour le protéger contre les robots et les abus.

7. Transferts hors de l'Union européenne

Les données du Service sont hébergées dans l'Union européenne. Le site constellia.ai est hébergé par Vercel (États-Unis), et certains de nos prestataires sont établis hors de l'Union européenne ou peuvent y accéder à distance (support, administration). Ces transferts sont encadrés par les mécanismes prévus au chapitre V du RGPD : décision d'adéquation de la Commission européenne (notamment le cadre de protection des données UE-États-Unis pour les organisations certifiées) ou clauses contractuelles types adoptées par la Commission européenne, complétées le cas échéant par des mesures supplémentaires. Vous pouvez obtenir une copie des garanties applicables en nous contactant.

8. Sécurité

Nous protégeons les données par des mesures adaptées aux risques : hébergement dans l'Union européenne, chiffrement des communications et des données stockées, cloisonnement des données de chaque client, contrôle des accès, journalisation et sauvegardes. Les mesures applicables aux données de nos clients sont détaillées dans le DPA.

9. Vos droits

Vous disposez, dans les conditions prévues par la réglementation, d'un droit d'accès, de rectification, d'effacement, de limitation du traitement, de portabilité et d'opposition (notamment à la prospection commerciale, à tout moment et sans motif), ainsi que du droit de définir des directives relatives au sort de vos données après votre décès. Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment.

Pour exercer vos droits ou pour toute question relative à cette politique, écrivez-nous à contact@constellia.ai ou par courrier à CONSTELLIA, 61 rue de Lyon, 75012 Paris. CONSTELLIA n'a pas désigné de délégué à la protection des données, cette désignation n'étant pas obligatoire au regard de ses activités. Nous pouvons vous demander un justificatif d'identité en cas de doute raisonnable sur votre identité. Nous répondons dans un délai d'un mois, prolongeable de deux mois en cas de demande complexe.

Vous pouvez également introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr).

10. Vous êtes en relation avec l'un de nos clients

Nos clients sont des entreprises dont les équipes commerciales utilisent Orion. Si vous êtes en relation avec l'une d'elles (client, prospect, partenaire, participant à une réunion), certaines de vos données peuvent être traitées au moyen du Service pour son compte : données de son CRM, enregistrements, transcriptions et synthèses de réunions, coordonnées professionnelles. Cette entreprise est responsable du traitement ; CONSTELLIA agit comme son sous-traitant et n'utilise pas vos données pour son propre compte. Pour exercer vos droits, adressez-vous à elle ; si vous nous contactez, nous lui transmettrons votre demande.

Une réunion n'est enregistrée qu'avec votre accord, recueilli selon la règle choisie par l'entreprise : à l'oral au début de l'appel, par e-mail avant la réunion ou déclaré par le commercial. Sans accord, rien n'est conservé. Pendant l'appel, le texte de la conversation peut être analysé pour vérifier cet accord et proposer des conseils au commercial. Si le commercial conserve l'enregistrement, l'audio et sa transcription sont stockés dans l'Union européenne pour le compte de son entreprise, jusqu'à ce qu'elle les supprime. Vous pouvez refuser l'enregistrement ou demander son arrêt à tout moment.

11. Application de bureau Orion

L'application enregistre les réunions et les transcrit sur le poste de l'utilisateur ; aucun son n'est envoyé à un service de transcription. Les fichiers audio ne restent sur le poste que le temps de la réunion : à la fin, l'utilisateur choisit de supprimer l'enregistrement ou de le conserver. S'il le conserve, l'audio et la transcription sont envoyés au Service et stockés dans l'Union européenne, jusqu'à leur suppression depuis l'application ou celle des données de son entreprise. Au premier lancement, l'application télécharge son modèle de transcription depuis un dépôt public de modèles, ce qui ne transmet que des données techniques de connexion ; elle vérifie aussi régulièrement auprès de nos serveurs si une mise à jour est disponible (version installée, système d'exploitation). Elle ne contient aucun outil de mesure d'audience ni de suivi publicitaire.

12. Mineurs

Le Service est réservé aux professionnels ; nous ne collectons pas sciemment de données relatives à des personnes de moins de 18 ans.

13. Modifications

Nous pouvons modifier la présente politique pour tenir compte de l'évolution de nos services ou de la réglementation. La version en vigueur, datée, est publiée sur notre site ; les modifications substantielles sont notifiées aux administrateurs de nos clients.