Politique de confidentialité

1. Qui nous sommes et ce que couvre cette politique

WIRKY Group, Lisbon, Portugal | Casablanca, Morocco (« Qalion », « nous ») édite la plateforme Qalion. Pour les données décrites aux sections 2 à 10 (votre compte, vos connexions, la facturation, nos échanges avec vous, les données techniques du Service), nous sommes responsable de traitement : nous décidons pourquoi et comment elles sont traitées.

Pour le contenu que votre organisation apporte dans Qalion afin de tester ses propres applications (cas de test, jeux de données, environnements, captures d'écran et autres preuves), votre organisation est responsable de traitement et nous sommes sous-traitant, agissant sur ses instructions. La section 11 décrit ce traitement.

Cette politique s'applique au site, à l'application, à l'API, au logiciel de tunnel local et à nos e-mails. Elle ne couvre pas les sites ou services tiers vers lesquels nous renvoyons ou que vous connectez à Qalion.

2. Les données que nous collectons

Données de compte. À l'inscription, nous collectons votre prénom, votre nom, votre adresse e-mail et un mot de passe, que nous ne stockons que sous forme de hachage salé. Vous pouvez ajouter une photo de profil. Si vous vous connectez avec Google ou Microsoft, nous recevons d'eux votre nom, votre adresse e-mail, le fait qu'ils l'aient vérifiée, et un identifiant stable de votre compte chez eux ; nous ne recevons jamais votre mot de passe chez ce fournisseur.

Données de sécurité. Si vous activez l'authentification à deux facteurs, nous stockons son secret, chiffré, et des codes de récupération hachés. Chaque connexion, inscription, réinitialisation de mot de passe, changement de paramètre de sécurité et acceptation de ces documents est enregistré avec la date, l'adresse IP, le navigateur (user agent), l'appareil qu'il indique, et le pays déduit de l'adresse IP avec une base de données hors ligne (aucun service externe n'est appelé). Les sessions sont conservées sous forme de jetons de rafraîchissement.

Données d'organisation et de facturation. Les organisations que vous créez ou rejoignez, votre rôle, les invitations que vous envoyez ou recevez, et, pour le propriétaire de l'organisation, le nom de société, l'adresse et les identifiants fiscaux utilisés sur les factures, le forfait, le solde de crédits et l'historique des paiements. Les données de carte sont collectées et stockées par Stripe, notre prestataire de paiement ; nous ne recevons qu'un jeton, les derniers chiffres de la carte et sa date d'expiration.

Données d'usage et de contenu. Ce que vous faites dans l'application : les projets, cas de test, exigences, plans, exécutions, problèmes et conversations avec Qalion AI que vous créez, les intégrations que vous connectez, les clés d'API que vous émettez, vos préférences de langue et d'affichage. Le contenu de vos tests est décrit à la section 11.

Communications. Les messages que vous nous envoyez (support, demandes de démonstration, inscriptions à la newsletter) et les informations qu'ils contiennent : nom, e-mail, société, message. Une demande de démonstration jamais confirmée par son lien est supprimée une fois le lien expiré.

Données techniques. Les journaux serveur avec l'adresse IP, l'heure, le chemin demandé et le statut de la réponse, conservés pour la sécurité et l'exploitation ; les rapports d'erreur de l'application ; les données nécessaires aux limites de débit (un identifiant réseau haché, de courte durée).

3. Pourquoi nous utilisons ces données et sur quelle base

Nous traitons vos données :

• pour fournir le Service demandé : créer et sécuriser votre compte, vous connecter, exécuter vos tests, facturer votre organisation, répondre à vos demandes (exécution de notre contrat avec vous) ;
• pour garder le Service sûr : détecter les prises de contrôle de compte, les abus et la fraude, appliquer les limites de débit, enquêter sur les incidents, conserver des traces d'audit (notre intérêt légitime à protéger le Service et ses utilisateurs, et nos obligations légales) ;
• pour communiquer avec vous au sujet du Service : e-mails de vérification et de sécurité, notifications que vous avez activées, changements de ces documents, avis opérationnels importants (exécution du contrat et intérêt légitime) ;
• pour vous envoyer les communications marketing que vous avez accepté de recevoir, comme la newsletter ; vous pouvez vous désinscrire à tout moment avec le lien de chaque message (consentement) ;
• pour comprendre comment le Service est utilisé et l'améliorer, avec des données agrégées ou pseudonymisées chaque fois que possible (intérêt légitime) ;
• pour respecter la loi : comptabilité, fiscalité, réponse aux demandes légitimes des autorités (obligation légale).

Nous ne vendons pas de données personnelles et nous n'utilisons pas votre contenu pour entraîner des modèles d'IA.

4. Cookies et stockage local

L’application n’utilise que des cookies strictement nécessaires. Il y en a six, et les voici tous :

• qalion_access_token — identifie votre session à chaque requête ; 15 minutes, illisible par les scripts ;
• qalion_refresh_token — renouvelle la session pour ne pas vous redemander de vous connecter ; 30 jours, illisible par les scripts ;
• qalion_csrf_token — une valeur que l’application lit et renvoie dans un en-tête, pour qu’une requête émise par un autre site ne puisse pas passer pour l’une des vôtres ; 30 jours, et le seul cookie lisible par les scripts, ce qui est précisément sa raison d’être ;
• qalion_oauth_flow — accompagne une connexion Google ou Microsoft pendant sa redirection ; 10 minutes, effacé dès le retour ;
• qalion_mcp_oauth_state — accompagne une connexion à un outil comme Jira ou GitHub pendant sa redirection d’autorisation ; 10 minutes, effacé dès le retour ;
• qalion_consent — mémorise votre réponse au bandeau des cookies, pour ne pas vous la redemander ; 6 mois, lisible par les scripts, c’est son rôle.

Chacun n’est envoyé qu’à l’hôte Qalion qui l’a déposé, avec SameSite=Lax. Là où le Service est servi en HTTPS, leurs noms portent un préfixe __Host-, qui empêche un autre hôte du même domaine d’en déposer un. Ils sont déposés à la connexion et retirés à la déconnexion ou à leur expiration. qalion_consent fait exception : il est déposé quand vous répondez au bandeau et partagé par qalion.ai et ses sous-domaines (l’application et la documentation), pour que vous ne répondiez qu’une fois.

Vous pouvez les supprimer ou les bloquer depuis les réglages de votre navigateur. C’est votre droit dans les deux cas, et dans les deux cas vous serez déconnecté : rester connecté sans le cookie de session est impossible, puisque c’est lui qui identifie la session.

Le stockage local de votre navigateur garde des préférences qui restent sur votre appareil : la langue de l'interface, l'état de la barre latérale et des réglages d'affichage similaires. Elles ne contiennent aucun identifiant vous concernant et ne sont jamais envoyées à nos serveurs.

Nous n'utilisons pas de cookies publicitaires et ne plaçons pas de traceurs d'analyse tiers sur le Service. Si cela change, nous vous demanderons d'abord votre consentement, dans un bandeau, et mettrons cette politique à jour.

5. Traitement par l'IA

Qalion exécute les tests et répond dans Qalion AI avec de grands modèles de langage hébergés par des prestataires tiers (section 6). Pour cela, nous leur envoyons les instructions du test, le contenu des pages que l'agent visite (texte, structure et captures d'écran), les lignes de données qu'un test utilise, et vos messages à Qalion AI, le temps du traitement. Nous choisissons des prestataires dont les conditions interdisent l'entraînement sur les données des clients et qui suppriment la requête une fois traitée ou après une courte période.

Les traces de chaque appel de modèle (ce qui a été envoyé, ce qui est revenu, le coût) sont conservées pour le journal d'agent de l'exécution et pour la facturation, puis archivées après 90 jours (section 8). Évitez de mettre dans vos tests des données personnelles dont le test n'a pas besoin.

6. Avec qui nous partageons les données

Nous ne partageons des données personnelles qu'avec des prestataires qui les traitent pour notre compte, dans le cadre de contrats qui les engagent à la confidentialité, à la sécurité et à nos instructions (nos sous-traitants), et avec les autorités lorsque la loi l'exige. Nos principaux sous-traitants sont :

• Amazon Web Services : hébergement de l'application et de ses bases de données, stockage objet des téléversements et des artefacts d'exécution, sauvegardes, et envoi de nos e-mails transactionnels ;
• Stripe : traitement des paiements, facturation et gestion des litiges de paiement ;
• les fournisseurs de modèles d'IA, comme Anthropic et les autres fournisseurs de notre liste de sous-traitants, pour les fonctions d'IA décrites à la section 5 ;
• Google et Microsoft, lorsque vous choisissez de vous connecter avec eux (identité uniquement) ;
• les outils tiers que votre organisation choisit de connecter (Jira, Linear, Sentry, serveurs MCP…), qui reçoivent ce que l'intégration configurée leur envoie.

Au sein de votre organisation, ses membres voient votre nom, votre photo, votre rôle et le travail que vous y faites, tels que le produit les affiche. Si nous sommes partie à une fusion, une acquisition ou une cession d'actifs, vos données peuvent être transférées au successeur, dans le cadre de cette politique, et vous en serez informé.

7. Où les données sont stockées et transferts internationaux

Les données de votre organisation sont stockées dans la région convenue à la création de l'organisation et nous ne les répliquons pas vers une autre région. Certains sous-traitants, en particulier les fournisseurs de modèles d'IA et les prestataires de paiement ou d'identité, peuvent traiter des données dans d'autres pays. Dans ce cas nous nous appuyons sur les garanties qu'exige le droit applicable de la protection des données, comme les clauses contractuelles types. Vous pouvez nous demander une copie de ces garanties à hello@qalion.ai.

8. Combien de temps nous conservons les données

Nous ne conservons les données personnelles que le temps nécessaire à leur finalité, puis nous les supprimons ou les anonymisons :

• données de compte : pendant la vie du compte, puis supprimées lorsque vous le supprimez, sous réserve des durées ci-dessous ;
• journaux d'audit de connexion et traces des modèles d'IA : 90 jours dans nos systèmes actifs, puis archivés dans le stockage objet pour les enquêtes de sécurité et les litiges de facturation, où ils sont conservés pendant la durée que la loi et nos contrats exigent ;
• sessions : un jeton de rafraîchissement vit 30 jours à compter de sa dernière utilisation ; les jetons expirés ou remplacés sont retirés sous un jour ;
• cas de test, plans et exécutions supprimés : restaurables depuis la Corbeille pendant 30 jours, puis supprimés ;
• pièces de facturation : aussi longtemps que le droit comptable et fiscal l'exige ;
• demandes de démonstration : supprimées si jamais confirmées une fois leur lien expiré ; l'identifiant réseau des autres est effacé après deux jours ;
• sauvegardes de base de données : sauvegardes automatiques avec restauration à un instant donné et instantanés avant déploiement, conservés 30 jours puis expirés ; une donnée supprimée de la base active quitte les sauvegardes à leur expiration.

Lorsque vous supprimez votre compte, vos données personnelles sont retirées de la base active immédiatement, sauf ce que nous devons conserver pendant les durées ci-dessus. Les organisations dont vous étiez l'unique propriétaire doivent d'abord être transférées ou supprimées.

9. Comment nous protégeons les données

Le trafic est chiffré en transit (TLS). Les mots de passe sont hachés avec un algorithme lent et salé et vérifiés contre des listes de mots de passe compromis connus. Les secrets de double authentification, les jetons d'intégration et les autres identifiants sont chiffrés au repos avant d'atteindre la base de données, et ne sont jamais renvoyés au navigateur une fois enregistrés. Les données de chaque organisation sont cloisonnées et chaque requête vérifie que l'appelant est membre de l'organisation qui détient les données. L'accès de notre équipe est limité à ce qu'une demande de support explicite exige et est journalisé.

Les actions sensibles (supprimer un compte, modifier les paramètres de sécurité) exigent une connexion récente. Nous maintenons des sauvegardes, une supervision et une procédure de réponse aux incidents ; si une violation affecte vos données d'une manière qui crée un risque pour vous, nous vous en informerons, ainsi que l'autorité compétente, comme la loi l'exige.

10. Vos droits

En vertu des lois applicables sur la protection des données, comme le RGPD, vous avez le droit d'accéder à vos données, de les faire rectifier ou effacer, d'en limiter le traitement ou de vous y opposer, de les recevoir dans un format portable, et de retirer un consentement à tout moment sans effet sur ce qui a été fait auparavant. Vous pouvez faire beaucoup vous-même : votre profil permet de changer votre nom, votre photo, votre mot de passe et vos paramètres de sécurité, d'exporter les données de votre organisation et de supprimer votre compte.

Pour le reste, écrivez à hello@qalion.ai. Nous répondons sous un mois, prolongeable de deux mois pour les demandes complexes, et nous pouvons vous demander de confirmer votre identité. Si vous estimez que vos droits n'ont pas été respectés, vous pouvez saisir votre autorité de protection des données.

Si vous êtes membre d'une organisation, certaines demandes relatives aux données dont elle est responsable doivent lui être adressées ; nous l'aiderons à y répondre.

11. Les données que votre organisation traite via Qalion

Les applications que votre organisation teste, les données de test qu'elle utilise, les pages que l'agent visite et les preuves qu'il collecte peuvent contenir des données personnelles des utilisateurs ou du personnel de votre organisation. Pour ces données, votre organisation est responsable de traitement et nous ne les traitons que sur ses instructions documentées : exécuter les tests qu'elle configure, stocker et montrer les résultats à ses membres, et garder le Service sûr.

Nous aidons votre organisation à respecter ses obligations : elle peut choisir la région où ses données sont stockées, exporter et supprimer ses données, restreindre qui les voit dans l'organisation, et chiffrer les identifiants de ses environnements de test. Nous lui notifions les violations de données personnelles affectant son contenu, et nous n'engageons que les sous-traitants listés à la section 6 ou notifiés à l'avance. Un accord de traitement des données est disponible sur demande à hello@qalion.ai.

Votre organisation devrait éviter de tester avec de vraies données personnelles lorsque des données de test peuvent être utilisées, et ne devrait pas introduire de catégories particulières de données dans Qalion sans accord écrit avec nous.

12. Mineurs

Le Service est destiné aux professionnels et ne s'adresse pas aux enfants. Nous ne collectons pas sciemment de données de personnes de moins de 16 ans. Si vous pensez qu'un enfant nous a transmis des données personnelles, écrivez à hello@qalion.ai et nous les supprimerons.

13. Modification de cette politique

Nous pouvons mettre à jour cette politique à mesure que le Service, la loi ou nos prestataires changent. La version et sa date figurent en haut de cette page. Pour un changement substantiel, nous vous en informerons dans l'application ou par e-mail avant son entrée en vigueur, et nous vous demanderons de prendre connaissance de la nouvelle version à votre prochaine connexion.