Politique de confidentialité
En vigueur au 23 octobre 2026. Concerne le site tacio.ai et le portail app.tacio.ai (ainsi que l'application mobile, lorsqu'elle sera publiée).
1. Qui est responsable
Romain Méresse, entrepreneur individuel exerçant sous le nom commercial « Tacio.ai », SIRET 131 830 655 00018, 37 avenue du Général Leclerc, 78220 Viroflay, contact : contact@tacio.ai (ci-après « Tacio », « nous »).
Pas de délégué à la protection des données désigné, cette désignation n'étant pas obligatoire pour Tacio. Pour toute question : contact@tacio.ai.
2. Ce que couvre cette politique, et ce qu'elle ne couvre pas
Cette politique décrit les traitements dont Tacio est responsable : le site, la liste d'attente, la prospection, la gestion des comptes des utilisateurs, la sécurité du portail, la facturation et le support.
Elle ne couvre pas les documents et contenus que les cabinets chargent dans le portail (dossiers de leurs clients, questions, réponses produites). Pour ces données, le cabinet est responsable du traitement et Tacio agit comme sous-traitant pour son compte, selon l'accord de sous-traitance (article 28 du RGPD) signé avec chaque cabinet. Les personnes concernées par ces documents doivent s'adresser au cabinet. En résumé : ces documents sont traités en France sur une machine dédiée de Tacio, ne sont envoyés à aucune IA tierce et ne sont jamais utilisés pour entraîner un modèle.
3. Les données que nous traitons, pourquoi et sur quelle base
| Traitement | Données | Finalité | Base légale (art. 6 RGPD) | Durée de conservation |
|---|---|---|---|---|
| Comptes utilisateurs | Nom, adresse e-mail professionnelle, cabinet, rôle (membre, responsable, administrateur), métier ; mot de passe sous forme d'empreinte (jamais en clair) ; secret de double authentification (TOTP) et codes de secours ; date de création et de dernière connexion ; préférences de rédaction | Donner accès au portail et le sécuriser | Exécution du contrat conclu avec le cabinet ; intérêt légitime de Tacio à sécuriser l'accès des utilisateurs nommés par le cabinet | Durée du compte ; suppression du compte à la demande du cabinet ou au plus tard 30 jours après la fin du contrat, puis purge des sauvegardes sous 3 mois |
| E-mails d'activation et d'invitation | Nom, adresse e-mail, lien d'activation à usage unique | Permettre à un utilisateur invité par son cabinet de créer son mot de passe et sa double authentification | Exécution du contrat | Lien valable 72 heures ; e-mails envoyés conservés 3 mois dans la boîte d'envoi de noreply@tacio.ai |
| Sessions de connexion | Identifiant de session (stocké sous forme d'empreinte), adresse IP, navigateur (« user-agent »), heures de création et de dernière activité | Maintenir la connexion, détecter les accès anormaux | Intérêt légitime (sécurité) ; exécution du contrat | Session close après 8 heures au plus ou 30 minutes d'inactivité, et à la déconnexion |
| Journal de sécurité et d'administration | Date, utilisateur, cabinet, action (connexion, échec de connexion, verrouillage, invitation, suppression d'un dossier, création ou suppression d'un cabinet…), adresse IP ; pour un échec avec une adresse inconnue, l'adresse e-mail saisie | Sécurité du service, preuve des actions d'administration, traçabilité des suppressions | Intérêt légitime (sécurité, preuve) ; obligation de sécurité (art. 32 RGPD) | 12 mois, puis effacement automatique |
| Journaux techniques du serveur web | Adresse IP, date, chemin demandé, code de réponse, navigateur ; jamais le contenu des documents | Fonctionnement et sécurité du serveur | Intérêt légitime | Rotation automatique, 90 jours au plus |
| Statistiques d'usage | Cabinet, utilisateur, usage (« recette ») utilisé, durée de traitement, avis 👍/👎 et commentaire saisi | Mesurer la fiabilité et l'usage, améliorer les consignes du service, préparer le rapport d'usage au cabinet | Intérêt légitime ; exécution du contrat | 12 mois, puis effacement automatique |
| Support | Nom, e-mail, contenu des échanges | Répondre aux demandes | Exécution du contrat ; intérêt légitime | 3 ans après le dernier échange |
| Liste d'attente | Nom et prénom, cabinet, métier, ville, nombre d'utilisateurs prévus, e-mail professionnel, date et heure d'inscription | Gérer votre inscription, attribuer les places au tarif fondateurs par ordre d'arrivée, vous recontacter à l'ouverture | Mesures précontractuelles prises à votre demande | Jusqu'à votre souscription ; sinon 6 mois après l'ouverture des inscriptions, et au plus tard 12 mois après votre inscription |
| Prospection et contacts commerciaux | Nom, fonction, cabinet, coordonnées professionnelles, historique des échanges | Présenter Tacio à des professionnels, organiser des démonstrations | Intérêt légitime (prospection B2B, en lien avec la profession de la personne) | 3 ans après le dernier contact |
| Facturation et comptabilité | Raison sociale, adresse, contact de facturation, factures, paiements | Facturer, tenir la comptabilité | Obligation légale | 10 ans (art. L. 123-22 du code de commerce) |
| Formulaire de contact du site (si mis en place) | Nom, e-mail, cabinet, message | Répondre à la demande | Intérêt légitime ; mesures précontractuelles | 3 ans après le dernier contact |
Nous ne pratiquons aucun profilage publicitaire, ne vendons ni ne louons aucune donnée, et ne prenons aucune décision automatisée produisant des effets juridiques à votre égard.
4. Cookies et stockage dans le navigateur
Aucun cookie publicitaire, aucun cookie de mesure d'audience, aucun traceur tiers (pas de Google Analytics, pas de réseaux sociaux, pas de police de caractères chargée depuis un service externe). Le portail n'appelle aucune ressource extérieure.
Le portail utilise uniquement les éléments suivants, strictement nécessaires au service demandé, exemptés de consentement (art. 82 de la loi Informatique et Libertés) :
| Nom | Type | Rôle | Durée |
|---|---|---|---|
im_etape | Cookie de session (HttpOnly, SameSite=Strict, Secure en HTTPS) | Relier l'étape « mot de passe » à l'étape « code de double authentification » lors de la connexion | 5 minutes, supprimé dès la connexion réussie |
im_session | Cookie de session (HttpOnly, SameSite=Strict, Secure en HTTPS) | Vous garder connecté | 8 heures au plus (fermeture après 30 minutes d'inactivité côté serveur), supprimé à la déconnexion |
im_metier | Stockage local du navigateur (localStorage) | Mémoriser le métier choisi sur la page d'accueil | Jusqu'à effacement par l'utilisateur |
im_recents | Stockage local du navigateur (localStorage) | Afficher vos 8 derniers usages | Jusqu'à effacement par l'utilisateur |
im_depart | Stockage de session du navigateur (sessionStorage) | Transmettre la demande saisie de la page d'accueil à la page de l'usage | Effacé dès sa lecture, et à la fermeture de l'onglet |
tacio_theme | Stockage local du navigateur (localStorage) | Mémoriser le thème choisi (jour ou nuit) | Jusqu'à effacement par l'utilisateur |
tacio_epingles_… | Stockage local du navigateur (localStorage) | Mémoriser les usages que vous avez épinglés | Jusqu'à effacement par l'utilisateur |
tacio_bienvenue_… | Stockage local du navigateur (localStorage) | Ne plus afficher le message d'accueil déjà vu | Jusqu'à effacement par l'utilisateur |
tacio_durees | Stockage local du navigateur (localStorage) | Estimer la durée d'attente d'une réponse à partir des précédentes | Jusqu'à effacement par l'utilisateur |
L'application mobile n'utilise pas de cookie : le jeton de session est conservé dans le coffre sécurisé du téléphone.
Le site tacio.ai n'utilise aucun cookie ni aucun traceur.
5. Destinataires
- Tacio (une seule personne habilitée à ce jour).
- L'administrateur ou le responsable de votre cabinet, pour les comptes et journaux de son cabinet.
- Sous-traitants de Tacio, tous en France : OVH SAS (OVHcloud) pour le serveur relais d'accès (Strasbourg, sans accès au contenu chiffré), le stockage des sauvegardes chiffrées (Gravelines) et la messagerie (envoi des e-mails d'activation et d'alerte, support). Pour la facturation : notre banque et, le cas échéant, notre expert-comptable.
- Les autorités, uniquement sur demande légale.
6. Transferts hors de l'Union européenne
Aucun. Toutes les données sont traitées et stockées en France. Si un outil ajouté plus tard y dérogeait, cette politique serait mise à jour avant sa mise en service.
7. Sécurité
Mots de passe stockés sous forme d'empreinte, double authentification obligatoire, sessions courtes, verrouillage après 5 échecs (15 minutes), cookies HttpOnly et SameSite=Strict, chiffrement des échanges (HTTPS), sauvegardes chiffrées avant envoi, cloisonnement par cabinet. Détails : fiche sécurité de Tacio.
8. Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition (notamment, sans motif, à la prospection) et de portabilité, ainsi que du droit de définir des directives sur le sort de vos données après votre décès. Écrivez à contact@tacio.ai ; nous répondons dans un délai d'un mois. Une pièce d'identité ne vous sera demandée qu'en cas de doute raisonnable sur votre identité.
Si votre compte a été créé par votre cabinet, certaines demandes (suppression de votre compte, par exemple) sont traitées en lien avec lui.
Vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr).
9. Modifications
Toute modification substantielle est annoncée aux utilisateurs par e-mail ou sur le portail au moins 30 jours avant son entrée en vigueur. Version en vigueur : 23 octobre 2026.