Politique de Confidentialité

Nous sommes la société EMBER ORIGIN SAS, au capital social de 1 000 euros, dont le siège social est situé 16 Place des Quinconces, 33000 Bordeaux, immatriculée au Registre du Commerce et des Sociétés de Bordeaux sous le numéro 103 569 901 et identifiée à la TVA sous le numéro FR91103569901 (« Nous »). Nous éditons et exploitons la plateforme Ember, accessible depuis le site Internet www.ember.do (le « Site Internet »), depuis app.ember.do et depuis les applications mobiles Ember, qui Vous permet d'utiliser un copilote stratégique basé sur l'intelligence artificielle pour structurer, piloter et développer votre activité professionnelle (la « Plateforme »). Cette politique décrit la manière dont Nous collectons, utilisons, conservons, partageons et supprimons les informations permettant d'identifier directement ou indirectement une personne (les « Données Personnelles ») : les vôtres lorsque Vous visitez le Site Internet ou utilisez la Plateforme (« Vous »), et celles des personnes dont les données passent par la Plateforme sans qu'elles l'utilisent elles-mêmes (prospects, participants à une réunion enregistrée, membres d'Ember Community, cabinets partenaires). Le traitement repose sur le règlement (UE) 2016/679 du 27 avril 2016 (le RGPD) et la loi Informatique et Libertés modifiée. Nous n'avons pas désigné de délégué à la protection des données. Pour toute question relative à cette politique ou à l'exercice de vos droits, écrivez à support@ember.do.

Les Données Personnelles traitées par la Plateforme ont quatre origines. Celles que Vous Nous fournissez : votre adresse e-mail à l'inscription (seule donnée obligatoire), puis votre profil, vos messages, vos fichiers et ce que Vous saisissez dans les modules que Vous utilisez. Celles que Nous recevons des applications que Vous connectez (par exemple Google, Microsoft, Meta, LinkedIn ou Slack), uniquement à votre demande et dans les limites décrites aux articles 4.5 à 4.8. Celles que la Plateforme produit à partir de votre usage : mémoire du Second Cerveau, comptes rendus, journaux techniques. Enfin, des données concernant d'autres personnes que Vous : les prospects que Vous recherchez avec Lead Intelligence (article 2.1), les participants des réunions que Vous enregistrez (article 2.2), les autres membres d'Ember Community (article 2.3), les cabinets partenaires et les entrepreneurs qui leur écrivent (article 2.4), ainsi que toute personne citée dans les contenus que Vous Nous confiez. Nous ne Vous demandons jamais de données dites « sensibles » au sens du RGPD (santé, opinions politiques, convictions religieuses, origine ethnique, orientation sexuelle, etc.). Aucun mécanisme ne les détecte ni ne les efface automatiquement : si Vous en saisissez, elles sont conservées avec la conversation dans laquelle Vous les avez écrites et peuvent nourrir la mémoire du Second Cerveau, jusqu'à ce que Vous supprimiez cette conversation, votre mémoire ou votre compte. Nous Vous recommandons donc de ne pas en saisir. Les Données Personnelles sont accessibles en interne aux seules personnes habilitées, dans la limite de leurs missions.

Avec Lead Intelligence, Ember recherche pour Vous des entreprises et des personnes susceptibles de devenir vos clients. Les données des prospects proviennent : de LinkedIn, lu avec votre propre compte LinkedIn connecté via notre prestataire Unipile (profil, poste, entreprise, publications) ; de recherches web et de pages publiques lues par nos agents via le service Serper (sites d'entreprise, presse, publications publiques sur LinkedIn, Reddit ou X) ; des fichiers que Vous importez (par exemple des exports Apollo, lemlist, Clay, HubSpot, Salesforce ou Pipedrive) ; de vos saisies manuelles ; et, lorsque ce service est activé, de l'enrichissement de coordonnées professionnelles par FullEnrich. Les données traitées sont : nom, poste, ancienneté, entreprise, ville et pays, adresse e-mail et téléphone professionnels, profil et publications LinkedIn, signaux d'activité de l'entreprise, messages échangés avec Vous et leur statut de lecture. Pour préparer vos messages, nos modèles d'intelligence artificielle produisent aussi une analyse du style de communication du prospect (profil de type DISC) à partir de ses informations publiques. Lorsque Vous l'approuvez ou le programmez, Ember envoie des invitations et messages LinkedIn, et des e-mails depuis la boîte Gmail ou Outlook que Vous avez connectée à Lead Intelligence via Unipile ; Ember reçoit les réponses LinkedIn et leurs accusés de lecture. Ces données sont conservées tant que la mission de prospection existe : l'archivage d'une mission ne les supprime pas, et aucune suppression automatique après une durée n'est en place aujourd'hui. Elles sont supprimées avec les missions lors de la suppression du compte de l'utilisateur qui les a créées. L'information complète des prospects, leurs droits et la liste à ne pas contacter sont décrits sur la page Données et droits des prospects.

Lorsque Vous activez le preneur de notes pour une réunion Google Meet, Zoom ou Microsoft Teams, un robot opéré par notre prestataire Recall.ai rejoint l'appel, enregistre l'audio et la vidéo de tous les participants et transcrit les échanges avec le nom des intervenants. Dès son arrivée, il publie et épingle dans la discussion de l'appel un message indiquant qu'il prend des notes pour Vous et que l'hôte peut le retirer comme n'importe quel participant ; s'il est retiré avant la fin, rien n'est conservé. En mode automatique, il ne rejoint vos réunions qu'après que Vous avez confirmé avoir lu cet avertissement. Il Vous appartient d'informer les participants avant la réunion et de recueillir leur accord lorsque la loi l'exige. Ember conserve le nom et l'adresse e-mail des participants, la transcription et le compte rendu. Les fichiers audio et vidéo sont effacés chez Recall.ai dès la transcription reçue, ou dès que le robot est retiré. Les transcriptions reçues depuis le 10 octobre 2026 sont effacées 12 mois après la réunion (et au moins 30 jours après leur réception) ; les transcriptions plus anciennes, les comptes rendus et la liste des participants sont conservés tant que la réunion existe dans votre compte, que Vous pouvez supprimer à tout moment. Un participant peut exercer ses droits (accès, opposition, suppression) en écrivant à support@ember.do.

Ember Community met en relation les membres invités. Votre fiche de membre est proposée sous forme de brouillon, rédigé par l'intelligence artificielle à partir de votre profil et des fichiers « profil » et « activité » de la mémoire de votre Second Cerveau ; rien n'est visible avant que Vous ne la publiiez, et la date de votre accord est enregistrée. Une fois publiée, les autres membres qui Vous sont proposés, ceux d'un cercle que Vous avez rejoint et, si Vous l'activez, ceux qui recherchent des membres depuis Lead Intelligence voient votre prénom, l'initiale de votre nom, votre poste, votre secteur, votre zone, ce que Vous cherchez, ce que Vous apportez et vos thèmes ; jamais votre mémoire, vos conversations, vos documents ni vos chiffres. Les mises en relation proposées chaque semaine par l'intelligence artificielle ne se font qu'avec l'accord des deux membres ; un e-mail de mise en relation peut alors Vous être adressé à tous deux, chaque adresse étant visible de l'autre. Les deux premières sélections hebdomadaires sont relues par l'équipe Ember. Ember conserve les mises en relation, les messages échangés entre membres (visibles de Vous deux seulement), vos inscriptions aux rencontres, vos réponses « Utile ? » (visibles de Vous seul), ainsi que les signalements et blocages ; un membre signalé n'en est pas informé et l'équipe Ember examine le signalement. Retirer votre fiche la rend invisible pour les nouvelles propositions, mais ne l'efface pas : son texte et les mises en relation déjà faites restent visibles des membres concernés. Toutes ces données sont supprimées avec votre compte. La base légale est votre consentement pour la publication de la fiche et l'exécution du contrat pour le reste.

Lorsque Vous envoyez votre dossier à un cabinet partenaire (expert-comptable, avocat, financeur, réseau d'accompagnement, etc.), celui-ci reçoit la synthèse de votre projet et les seules pièces que Vous cochez, par un lien d'accès que Vous pouvez retirer à tout moment. Rien ne part sans votre accord, dont la date est enregistrée. Avant d'ouvrir le dossier, le cabinet ne voit qu'un aperçu sans votre nom. Le cabinet devient alors destinataire de ces données et les traite sous sa propre responsabilité pour Vous répondre et Vous accompagner ; ce qu'il a déjà téléchargé reste chez lui après le retrait de l'accès. Après un échange, Vous pouvez noter le cabinet de 1 à 5 étoiles et laisser un commentaire : seuls la moyenne et le nombre d'avis sont affichés, le commentaire n'est visible que de Vous et n'est jamais transmis à un modèle d'intelligence artificielle. Pour les cabinets qui candidatent, Nous traitons l'identifiant légal de la société (vérifié auprès du registre public des entreprises), les coordonnées de la personne de contact (nom, prénom, e-mail, téléphone facultatif), la présentation, les critères proposés et l'acceptation de la charte, ainsi que les invitations envoyées aux membres de leur équipe. Lorsque les crédits Meet sont activés, le cabinet utilise un crédit par dossier reçu ; ces crédits sont achetés via Stripe et l'entrepreneur ne paie rien. La fiche d'un cabinet est conservée tant que le partenariat existe.

Vous pouvez partager par lien une conversation, une image, un tableur, un résultat, une présentation, un document, une salle de données ou une demande de signature. Toute personne qui possède le lien peut alors lire le contenu partagé : ne partagez un lien qu'avec des personnes de confiance. Ces pages ne sont pas indexées par les moteurs de recherche et aucune mesure d'audience n'y est faite. Vous pouvez retirer le partage d'une conversation, d'un résultat, d'un tableur, d'une présentation, d'un document ou d'une salle de données ; certains liens expirent aussi automatiquement. Sur le Site Internet, les simulateurs Ember Community et Partenaires permettent de partager un résultat : le lien contient seulement les réponses saisies dans le simulateur, rien n'est enregistré chez Nous, la page n'est pas indexée et le lien ne peut pas être retiré.

Le tableau ci-dessous rassemble, pour chaque finalité, les données concernées, la base légale et la durée de conservation réellement appliquée. Lorsque la durée indique « jusqu’à votre demande », aucune suppression automatique n’est en place : écrivez-Nous et Nous supprimons les données concernées.

Pour fournir la Plateforme, Nous faisons appel à des sous-traitants au sens de l'article 28 du RGPD. La base de données de la Plateforme est opérée par Supabase et hébergée sur AWS en région Paris (France) ; celle du moteur de prospection en région Irlande. Le tableau ci-dessous présente nos destinataires, leur rôle, leur pays et, pour ceux situés hors de l'Union européenne, la garantie encadrant le transfert : Clauses Contractuelles Types de la Commission européenne (« CCT ») et, lorsque le prestataire y est certifié, le Data Privacy Framework UE-États-Unis (« DPF »). Les modèles d'intelligence artificielle accessibles via OpenRouter sont couverts par le contrat conclu avec OpenRouter.

Vous pouvez connecter votre compte Google au Second Cerveau (l'application Google « Ember Second Brain »), et déposer un fichier dans votre Google Drive avec « Ouvrir avec ». Cet article décrit précisément comment Nous accédons aux données utilisateur Google, les utilisons, les stockons, les partageons, les protégeons, les conservons et les supprimons. L'utilisation par Ember, et son transfert à toute autre application, des informations reçues des API Google respecte la Google API Services User Data Policy, y compris les exigences d'usage limité (Limited Use). La connexion d'une boîte Gmail à Lead Intelligence passe par notre prestataire Unipile et est décrite à l'article 2.1.

Lorsque Vous utilisez une fonctionnalité d'intelligence artificielle, une partie de vos contenus est transmise aux fournisseurs nommés dans le tableau de l'article 4, uniquement pour produire ce que Vous demandez (réponses, documents, présentations, images, vidéos, fiches Community, messages de prospection). Selon la fonctionnalité utilisée, il peut s'agir de :

• Vos messages et vos instructions
• Les fichiers, images et notes que Vous joignez
• Une photo que Vous fournissez pour créer une vidéo, envoyée via OpenRouter d'abord à xAI (Grok Imagine Video 1.5, États-Unis) puis, si Grok refuse la demande, à Black Forest Labs (FLUX 3 Video, Allemagne) : n'utilisez que des photos de Vous ou de personnes qui ont donné leur accord
• Vos notes vocales de prospection (audio), analysées par Google Gemini
• Les éléments de votre mémoire utiles à la réponse
• Le contenu de vos e-mails, agendas, documents et applications connectés, lu à votre demande
• Les transcriptions de vos réunions, si Vous activez cette fonction
• Pour Lead Intelligence, les informations professionnelles de vos prospects, traitées notamment par DeepSeek et MiniMax, dont les modèles peuvent être hébergés en Chine

Vous pouvez connecter au Second Cerveau une Page Facebook que Vous administrez et un compte Instagram professionnel. La connexion Meta Ads n'est pas encore ouverte ; lorsqu'elle le sera, elle suivra les règles de cet article. Cet article décrit les données que Nous recevons des plateformes Meta, la manière dont Nous les utilisons, les conservons et les supprimons. Il complète le reste de cette politique et les Conditions de la plateforme Meta.

Le Second Cerveau peut aussi se connecter, via Composio et à votre demande, à d'autres applications proposées dans Réglages, Intégrations (par exemple Outlook, Excel, Slack, Notion, HubSpot, Salesforce, Pipedrive, LinkedIn pour votre propre profil, GitHub). Chaque application est lue à votre demande ; toute création ou modification (brouillon Outlook, événement d'agenda, message Slack, fichier) n'est faite qu'après votre confirmation explicite, et aucune n'envoie d'e-mail. Pour Outlook et l'agenda Microsoft, Nous demandons la lecture des e-mails et des agendas (Mail.Read, Calendars.Read), le profil (User.Read), l'accès hors connexion (offline_access) et, pour les brouillons et événements confirmés, Mail.ReadWrite et Calendars.ReadWrite ; Ember ne demande pas l'autorisation d'envoi Mail.Send.

Vos Données Personnelles sont accessibles uniquement aux destinataires suivants, dans la limite de leurs missions :

• Nos équipes internes habilitées, strictement dans le cadre de leurs fonctions (support, facturation, maintenance, sécurité, relecture des mises en relation et des signalements Ember Community)
• Nos sous-traitants listés à l'article 4, agissant pour notre compte
• Les autres membres d'Ember Community, pour votre fiche publiée et les échanges que Vous acceptez (article 2.3)
• Les cabinets partenaires auxquels Vous envoyez votre dossier, qui deviennent responsables des données reçues (article 2.4)
• Les personnes à qui Vous transmettez un lien de partage (article 2.5) et les prospects à qui Vous écrivez
• Les autorités administratives ou judiciaires, lorsque la loi l'exige ou en cas de demande formelle
• Les officiers ministériels ou auxiliaires de justice, dans le cadre du recouvrement de créances
• Un acquéreur potentiel ou repreneur, en cas d'opération de cession, fusion ou restructuration

Oui. Nos bases de données sont hébergées dans l'Union européenne, mais une grande partie de nos prestataires sont des sociétés établies hors de l'Union européenne, principalement aux États-Unis. Le tableau de l'article 4 indique pour chacun le pays et la garantie qui encadre le transfert : Clauses Contractuelles Types adoptées par la Commission européenne, et adhésion du prestataire au Data Privacy Framework UE-États-Unis lorsqu'il y est certifié. Pour deux prestataires américains (Composio et LangSmith), la garantie de transfert est en cours de formalisation. Aucune de vos données n'est envoyée à un fournisseur ou à un hébergeur situé en Chine. Pour toute information complémentaire : support@ember.do.

Nous mettons en œuvre des mesures techniques et organisationnelles destinées à garantir la sécurité et la confidentialité de vos Données Personnelles. Ces mesures visent à empêcher toute perte, destruction, accès non autorisé, divulgation ou altération de vos données.

• le chiffrement des données en transit (HTTPS/TLS)
• le chiffrement (AES-256-GCM) des jetons d'accès aux applications connectées directement
• la séparation des environnements techniques selon les niveaux d'accès
• la gestion stricte des habilitations internes, limitée aux seules personnes dont les missions l'exigent
• des contrôles d'accès renforcés pour l'administration de la Plateforme
• la surveillance de l'infrastructure afin de détecter d'éventuelles anomalies ou activités suspectes
• des sauvegardes régulières permettant d'assurer la continuité de service

En cas d'incident de sécurité, Nous pouvons notamment : identifier le problème grâce à nos outils de surveillance ; suspendre temporairement tout ou partie du service pour éviter des dommages plus importants ; corriger les failles et renforcer nos systèmes ; Vous informer si vos Données Personnelles sont concernées ; coopérer avec les autorités compétentes. En cas de violation de Données Personnelles présentant un risque élevé pour vos droits et libertés, Nous Nous engageons à Vous informer dans les meilleurs délais et à notifier cette violation à la CNIL dans un délai de 72 heures à compter de sa découverte, conformément au RGPD.

Vous disposez, dans les conditions prévues par la réglementation applicable, des droits suivants sur vos Données Personnelles :

Vous pouvez également définir des directives relatives au sort de vos Données Personnelles après votre décès (conservation, effacement et, le cas échéant, communication de ces données).

Vous pouvez exercer vos droits à tout moment en écrivant à support@ember.do. Nous traitons vos demandes gratuitement, sauf en cas de demandes manifestement infondées ou excessives, et Nous Vous répondons dans un délai maximum d'un mois à compter de leur réception. Ce délai peut être prolongé de deux mois en cas de demande complexe ou de multiplicité de demandes ; dans ce cas, Nous Vous informons de cette prolongation et de ses raisons. Lorsque Nous avons un doute raisonnable sur votre identité, Nous pouvons Vous demander des informations complémentaires. Lorsque le traitement repose sur votre consentement, Vous pouvez le retirer à tout moment ; le retrait ne remet pas en cause la licéité des traitements effectués avant. Si Vous estimez, après Nous avoir contactés, que vos droits ne sont pas respectés, Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr) ou saisir une juridiction compétente.

Si Vous Vous trouvez au Brésil, au Japon, en Corée du Sud ou en Inde, vos Données Personnelles sont aussi protégées par la loi de votre pays, dans les conditions et à partir des dates d'entrée en vigueur qu'elle prévoit. EMBER ORIGIN SAS reste le responsable du traitement décrit dans la présente politique : les finalités, les durées de conservation, les destinataires et les mesures de sécurité sont ceux indiqués aux articles 3, 4 et 7. Selon votre pays, Vous disposez notamment des droits suivants.

• Brésil : loi générale sur la protection des données personnelles (LGPD, loi n° 13.709 de 2018)Vous pouvez obtenir de notre part : la confirmation de l'existence d'un traitement ; l'accès à vos données ; la correction des données incomplètes, inexactes ou périmées ; l'anonymisation, le blocage ou l'effacement des données inutiles, excessives ou traitées en violation de la loi ; la portabilité de vos données vers un autre prestataire, dans les conditions fixées par l'autorité nationale ; l'effacement des données traitées sur la base de votre consentement ; des informations sur les entités avec lesquelles Nous partageons vos données ; des informations sur la possibilité de refuser votre consentement et sur les conséquences d'un refus ; la révocation de votre consentement ; et le réexamen des décisions prises uniquement sur la base d'un traitement automatisé qui affectent vos intérêts. Vous pouvez aussi saisir l'Autorité nationale de protection des données (ANPD).
• Japon : loi sur la protection des informations personnelles (APPI)Vous pouvez demander, dans les cas et les conditions prévus par la loi, la communication des informations personnelles Vous concernant que Nous détenons, leur rectification, leur complément ou leur suppression lorsqu'elles sont inexactes, la cessation de leur utilisation ou leur effacement, ainsi que la cessation de leur communication à des tiers. Vous pouvez Vous adresser à la Commission pour la protection des informations personnelles (PPC).
• Corée du Sud : loi sur la protection des informations personnelles (PIPA)Vous pouvez demander l'accès à vos informations personnelles, leur rectification ou leur effacement et la suspension de leur traitement, et retirer votre consentement. Dans les conditions prévues par la loi, Vous pouvez aussi refuser une décision prise de manière entièrement automatisée ou en demander l'explication. Vous pouvez saisir la Commission pour la protection des informations personnelles (PIPC).
• Inde : loi de 2023 sur la protection des données personnelles numériques (DPDP Act)En tant que personne concernée (Data Principal), Vous pouvez obtenir un résumé des données personnelles traitées, l'identité des entités avec lesquelles elles sont partagées et les informations liées au traitement ; demander la correction, la complétion, la mise à jour et l'effacement de vos données ; retirer votre consentement ; adresser une réclamation à notre service d'assistance ; et désigner une personne qui pourra exercer vos droits en cas de décès ou d'incapacité. Si votre réclamation n'est pas résolue, Vous pouvez saisir la Commission de protection des données de l'Inde (Data Protection Board of India).

Vous pouvez supprimer votre compte Vous-même, sur le web comme dans l'application mobile, depuis Réglages, Profil, Supprimer le compte, ou le demander par e-mail en suivant les instructions de suppression des données. La suppression est immédiate et définitive. Elle est refusée tant que Vous êtes le dernier propriétaire d'une équipe ou que Vous possédez des présentations ou des missions partagées avec d'autres membres : transférez-les ou retirez le partage d'abord.

Oui. Nous pouvons modifier cette politique pour refléter l'évolution de la Plateforme ou de la réglementation. La date d'entrée en vigueur indiquée en haut de cette page est celle de la version en ligne. Nous informons les utilisateurs de la Plateforme des modifications importantes par e-mail ou dans la Plateforme. Si Nous souhaitons utiliser vos Données Personnelles pour une finalité différente de celles indiquées au moment de la collecte, Nous Vous en informons au préalable et, lorsque c'est nécessaire, sollicitons votre accord.