Déclaration de confidentialité

1. Périmètre et contact

Cette déclaration explique comment les données personnelles sont traitées lors de la consultation des sites HOLCO et de l'utilisation de ses applications, assistants, espaces de travail, API et connecteurs qui renvoient à ce texte. Elle s'adresse aux visiteurs, prospects, clients, utilisateurs invités ou inscrits, administrateurs et personnes dont les données figurent dans les contenus traités.

HOLCO INVEST, SIREN 819 582 453, 64 rue du Mont Cenis, 75018 Paris, est votre interlocuteur pour les traitements relevant de HOLCO. Pour toute question ou demande relative aux données personnelles : privacy@holco.co. Ce contact est celui du référent protection des données ; la qualité formelle de DPO n'est pas présumée par cette déclaration.

2. Qui décide des traitements ?

HOLCO est responsable des traitements qu'il détermine pour la gestion de sa relation avec les personnes : demandes d'information, comptes et habilitations relevant de sa gestion propre, contrats, facturation, sécurité de ses services et respect de ses obligations légales.

Pour les contenus confiés par une organisation afin de lui fournir le service, HOLCO agit selon ses instructions comme sous-traitant. Lorsque cette organisation intervient elle-même pour le compte d'un client, HOLCO peut être son sous-traitant ultérieur. Le rôle dépend du traitement, pas uniquement du nom du logiciel ou de la profession du Client.

Les traitements réalisés pour une organisation sont décrits dans le DPA et ses annexes. L'organisation fournit aux personnes concernées l'information adaptée à ses propres finalités. Une demande portant sur un dossier qu'elle administre lui est transmise pour instruction ; HOLCO l'assiste dans les limites de son rôle.

3. Quelles données sont concernées et d'où proviennent-elles ?

Situation	Données susceptibles d'être traitées	Origine
Visite d'un site	adresse IP, informations du navigateur, date, page et événements techniques ; choix relatifs aux traceurs	terminal et navigation
Demande, inscription ou invitation	nom, coordonnées, organisation, fonction, identité professionnelle, statut et habilitations	personne elle-même ou administrateur de son organisation
Gestion contractuelle	offre souscrite, coordonnées de facturation, échanges, versions acceptées et preuves d'acceptation	Client, représentant habilité et service
Connexion d'une source	identifiants du compte et du périmètre, autorisations, jetons nécessaires, état de connexion	fournisseur autorisé et utilisateur habilité
Utilisation d'un service	questions, réponses, documents ou extraits, données métier accessibles, références et résultats nécessaires à la fonction	utilisateur, sources connectées, documents importés ou traitements demandés
Travail conservé dans HOLCO	règles, contexte, décisions, notes, rapports, historique ou mémoire de dossier selon les modules activés	utilisateurs habilités et fonctions du service
Sécurité et assistance	identifiants techniques, dates, opérations, erreurs, signalements, éléments nécessaires au diagnostic	service, utilisateur et prestataires concernés

Seules les catégories utiles à la fonction utilisée doivent être traitées. L'activation d'un connecteur n'autorise pas la collecte générale de tout le compte source. Les informations obligatoires sont indiquées lors de leur demande ; sans elles, HOLCO peut ne pas pouvoir créer l'accès, répondre ou fournir la fonction concernée. Les informations facultatives n'ont pas à être renseignées pour accéder aux fonctions qui n'en ont pas besoin.

Certaines fonctions peuvent exploiter des sources publiques pour un besoin documenté. La provenance et la finalité doivent alors être identifiées dans la fonction ou l'information spécifique applicable ; cela n'autorise pas une collecte indifférenciée de données publiques.

4. Pourquoi HOLCO utilise-t-il les données ?

Pour ses traitements propres, HOLCO retient la base légale adaptée à chaque situation :

Finalité	Base légale et intérêt poursuivi
Répondre à une demande et préparer une prestation	mesures précontractuelles demandées par la personne lorsqu'elle est partie au contrat ; sinon intérêt légitime à traiter les demandes et entretenir une relation avec l'organisation
Fournir un compte, gérer les accès et assister l'utilisateur	exécution du contrat lorsque la personne en est partie ; sinon intérêt légitime à permettre l'usage du service souscrit par son organisation
Gérer la relation commerciale et les preuves contractuelles	contrat pour la personne contractante ; intérêt légitime à administrer et prouver la relation pour les représentants et contacts, dans le respect de leurs droits
Facturer et tenir les pièces légalement requises	contrat et obligations légales applicables, selon l'opération
Prévenir les abus, diagnostiquer et sécuriser	intérêt légitime à protéger les utilisateurs, les données et la continuité du service ; obligations légales lorsqu'elles s'appliquent
Adresser des informations commerciales	consentement lorsque requis ; dans les cas autorisés, intérêt légitime à présenter des services pertinents pour l'activité professionnelle, avec opposition simple et gratuite
Utiliser des traceurs non essentiels	consentement préalable lorsqu'il est requis

Les contenus d'une organisation sont traités selon ses instructions et la base légale qu'elle détermine pour ses finalités. Le DPA encadre la relation de sous-traitance ; il n'est pas, à lui seul, une base légale pour toute utilisation de données personnelles.

HOLCO ne vend pas les contenus confiés pour les besoins du service et n'acquiert aucun droit de les exploiter pour de la publicité ou de l'entraînement de modèles. Les messages indispensables à la sécurité et au fonctionnement du compte sont distincts des messages commerciaux.

5. IA, résultats et conservation du travail

Une fonction d'IA peut nécessiter la transmission d'une question, d'extraits de documents, de résultats d'outils et d'un contexte au fournisseur retenu. Les données transmises doivent être limitées à ce qui est nécessaire. Les mots de passe et secrets de connexion n'ont pas à être introduits dans les conversations.

Lorsque HOLCO choisit et engage le prestataire, les traitements doivent être couverts par les instructions applicables, les contrats et les paramètres du service utilisé. Lorsqu'un utilisateur choisit un assistant externe sous son propre contrat, celui-ci reçoit les informations qu'il lui transmet ou fait retourner par les outils. Ses traitements relèvent aussi de sa propre documentation et du contrat conclu avec le Client.

La lecture d'une source peut être temporaire ; d'autres fonctionnalités conservent des échanges, documents, rapports, références ou éléments de mémoire afin de rendre le travail accessible et traçable. Lecture seule ne signifie pas absence de traitement ou absence de stockage. Les catégories et durées dépendent du module décrit dans le tableau de conservation et, pour les traitements confiés, du DPA.

HOLCO ne destine pas ses fonctions d'aide à l'analyse à prendre seules une décision juridique ou similaire sur une personne. Un usage spécifique comportant une telle décision nécessite une information et des garanties adaptées avant activation. Les contrôles techniques d'accès ne constituent pas, à eux seuls, une validation métier.

6. Qui peut recevoir les données ?

Les données peuvent être accessibles, dans la limite de leurs missions et habilitations, au personnel de HOLCO chargé du service, aux utilisateurs autorisés par le Client et aux prestataires nécessaires à l'hébergement, l'envoi de messages, l'assistance ou l'inférence. Les destinataires expressément choisis pour un export ou un partage reçoivent le contenu correspondant.

Une autorité peut recevoir des données si une obligation légale le requiert. Une demande de support n'autorise pas un accès illimité aux dossiers d'une organisation.

Un fournisseur source choisi par le Client, un assistant contracté directement par celui-ci et un prestataire engagé par HOLCO n'ont pas nécessairement le même rôle. La liste des sous-traitants ultérieurs annexée au DPA identifie ceux auxquels HOLCO confie effectivement des traitements, avec leur fonction et les données concernées. Les changements suivent la procédure d'information et d'autorisation prévue au DPA.

Les services documentés par HOLCO comprennent notamment :

Prestataire ou catégorie	Fonction et données concernées	Périmètre
Scaleway	Hébergement de l'infrastructure HOLCO en France ; messagerie transactionnelle lorsqu'elle est utilisée	Données hébergées pour le service ; adresses et contenu des messages nécessaires à leur acheminement
Resend	Transport transactionnel de secours	Adresses, contenu des messages et métadonnées nécessaires à l'envoi ; prestataire établi aux États-Unis
Fournisseurs d'inférence, dont Anthropic, OpenAI et Mistral AI selon le module	Traitement de questions, de contexte et de résultats nécessaires à la demande	Fournisseur et offre utilisés selon le service convenu ; des traitements hors EEE peuvent être impliqués
Google Analytics et Lemlist sur les pages qui les utilisent après accord	Mesure d'audience et identification de l'origine des visites	Données de navigation et identifiants des traceurs ; règles propres expliquées dans les préférences et les politiques des fournisseurs

Cette présentation identifie les catégories et services de référence ; elle n'implique pas que tous reçoivent les données de chaque utilisateur. La liste contractuelle des sous-traitants du module utilisé peut être obtenue auprès de privacy@holco.co. Les assistants et logiciels directement souscrits par le Client demeurent identifiés séparément.

7. Où les données sont-elles traitées ?

La localisation du serveur HOLCO ne suffit pas à déterminer celle de toute la chaîne de traitement. Un appel d'IA, une prestation de messagerie, un sous-traitant ou un accès distant peut impliquer un traitement hors de l'Espace économique européen.

Lorsqu'un tel transfert relève de HOLCO, celui-ci doit être identifié et encadré par un mécanisme valable pour le destinataire et le service concernés : décision d'adéquation applicable ou garanties appropriées, avec les évaluations et mesures complémentaires nécessaires. Une certification ou un mécanisme de transfert n'est pas présumé applicable à toute une marque.

Les garanties sont déterminées pour le prestataire et le produit effectivement utilisés. Les accès et traitements hors EEE sont documentés dans les annexes applicables au service. Une copie ou une description des garanties peut être demandée à privacy@holco.co, sous réserve des occultations nécessaires pour protéger les secrets et les droits de tiers.

8. Combien de temps les données sont-elles conservées ?

Les données actives sont distinguées des archives nécessaires à une obligation ou à la preuve et des sauvegardes de restauration. Les accès aux archives sont restreints. Une conservation probatoire ne justifie pas le maintien d'un accès actif au système source.

Les règles ci-dessous distinguent la durée d'utilisation courante des critères de fin de conservation. Pour les données traitées sur instruction, les modalités propres au module et au dossier sont précisées dans le DPA applicable ; elles peuvent être demandées à privacy@holco.co.

Catégorie	Durée ou critère de conservation
Compte et habilitations	Pendant l'accès au service. À la fermeture, les habilitations actives sont retirées ; seules les informations nécessaires à la clôture, à une obligation légale ou à la preuve peuvent être archivées.
Demandes d'information et relation commerciale	Jusqu'à trois ans après le dernier contact émanant de la personne, sauf opposition antérieure ; les éléments nécessaires à un contrat suivent son régime de preuve.
Assistance	Pendant la résolution de la demande et son suivi ; si un élément est nécessaire à la preuve d'un engagement ou d'un litige, il relève ensuite de l'archivage probatoire, avec accès restreint.
Contrats et preuves d'acceptation	Pendant la relation, puis pendant le délai de prescription applicable ; le délai de droit commun est de cinq ans, sous réserve du point de départ, des interruptions et des régimes particuliers prévus par la loi.
Facturation propre à HOLCO	Dix ans à compter de la clôture de l'exercice pour les pièces comptables concernées. Ce délai n'autorise pas la conservation générale des dossiers des Clients.
Secrets et jetons de connexion	Pendant l'autorisation utile ; ils sont invalidés ou retirés lors de la déconnexion selon le mécanisme du fournisseur. La preuve d'une autorisation est distincte du secret permettant de l'exercer.
Journaux d'usage H-MCP	Treize mois glissants selon la politique de purge dédiée. Les éléments nécessaires à l'instruction d'un incident ou à une procédure peuvent être isolés et conservés pour ce seul besoin jusqu'à sa clôture et l'expiration du délai de recours applicable.
Conversations, documents, mémoire et rapports	Pendant l'utilisation du module et le besoin de travail du dossier confié, puis pendant les opérations de restitution ou suppression prévues au DPA. Une demande peut être adressée au contact données ; la déconnexion seule ne supprime pas ces contenus.
Fichiers temporaires et caches	Jusqu'à l'achèvement du traitement ou à l'expiration technique du cache concerné ; les résultats volontairement enregistrés suivent le régime des documents et rapports.
Sauvegardes	Jusqu'à l'expiration du cycle de rotation applicable à la copie concernée, précisé dans le plan de sauvegarde du service. Une suppression des données actives n'écrase pas instantanément toutes les sauvegardes. Les copies sont réservées à la restauration et les restrictions doivent être réappliquées en cas de restauration.
Préférences de traceurs	Le choix est mémorisé dans le navigateur et reste modifiable depuis « Préférences cookies ». Sa suppression dans le navigateur entraîne une nouvelle demande sur les pages concernées. Les cookies des outils d'audience ont leurs propres échéances consultables auprès des fournisseurs.

Une conservation exceptionnelle liée à un contentieux ou à une obligation légale est limitée aux données nécessaires et à la durée justifiée. À son terme, les données sont supprimées ou rendues anonymes de manière irréversible. La pseudonymisation seule ne les rend pas anonymes.

9. Sécurité

HOLCO met en œuvre des mesures adaptées aux risques : contrôle des accès, protection des secrets, sécurisation des échanges, limitation des périmètres, traçabilité, maintenance et procédures d'incident. Les mesures applicables et leurs limites sont décrites sur la page Sécurité et dans les annexes contractuelles.

Aucune organisation ne peut promettre une sécurité absolue. Une certification d'un fournisseur ne constitue pas une certification de HOLCO. La description d'une mesure prévue ne doit pas être confondue avec une mesure effectivement mise en œuvre.

10. Vos droits et vos interlocuteurs

Selon le traitement et les conditions légales, vous pouvez demander l'accès, la rectification, l'effacement ou la limitation, vous opposer à certains usages et bénéficier de la portabilité. Vous pouvez retirer un consentement sans remettre en cause la licéité du traitement antérieur. L'opposition à la prospection est possible à tout moment.

Adressez votre demande à privacy@holco.co. HOLCO répond dans un délai d'un mois à compter de sa réception ; une prolongation légale, motivée et annoncée dans ce premier mois, peut être nécessaire pour une demande complexe ou nombreuse. Un justificatif d'identité n'est demandé qu'en cas de doute raisonnable et dans la mesure nécessaire.

Si les données relèvent d'une organisation cliente, HOLCO l'assiste et lui transmet la demande pour traitement selon les instructions applicables. Vous pouvez aussi saisir directement cette organisation. La suppression de votre compte personnel ne permet pas de supprimer les données d'autres personnes ni les documents que votre organisation doit licitement conserver.

Vous pouvez déposer une réclamation auprès de la CNIL ou d'une autre autorité de contrôle compétente. Les droits ne sont pas subordonnés à l'acceptation d'un nouveau contrat.

11. Cookies et stockage sur le terminal

Les éléments strictement nécessaires permettent notamment l'authentification, la sécurité ou la mémorisation d'un choix. Les traceurs non essentiels soumis à consentement ne doivent être activés qu'après un choix positif. Refuser ou retirer ce choix doit être aussi simple que l'accepter.

Le lien « Préférences cookies » permet de consulter et modifier les choix. Les pages concernées indiquent les outils activés. Les politiques de Google et de Lemlist décrivent leurs propres traitements. Le choix enregistré sur un domaine ne modifie pas celui d’un autre site ou d’un assistant externe. L'acceptation des CGU n'autorise pas, à elle seule, les traceurs non essentiels.

12. Mise à jour

La date et la version de cette déclaration sont indiquées en tête de page. Une modification importante est portée à la connaissance des personnes concernées par un moyen adapté. Toute nouvelle finalité ou modification exigeant une information, un consentement ou une instruction supplémentaire est traitée avant sa mise en œuvre.