sirenic

Politique de confidentialité

Dernière mise à jour : 21 octobre 2026. Nous ne vendons aucune donnée personnelle, et nous n'en transmettons à un tiers que dans les cas nommés ci-dessous.

Source et nature des données

Sirenic rediffuse des données publiques d'entreprises issues de registres et de sources officiels, notamment la base Sirene (INSEE, fichier stock mensuel, complété par l'API publique recherche-entreprises.api.gouv.fr) et le Registre national des entreprises (INPI, par cette API et par l'API du RNE de l'INPI). Données sous la licence de chaque source : Etalab 2.0, OGL 3.0, CC BY 4.0, NLOD 2.0, CC0 ou conditions propres à la source ; le dictionnaire des registres (GET /v1/provenance/registres, gratuit) donne celle de chacune. Certaines de ces données concernent des personnes physiques (dirigeants d'entreprises) : nom, prénom, fonction et, le cas échéant, année de naissance. Aucune adresse personnelle ni date de naissance complète n'est diffusée par ce service.

Associés : la répartition du capital est lue par un modèle d'IA dans les statuts publics déposés à l'INPI. Un associé personne physique n'y est jamais nommé : il est seulement compté, avec son rôle et sa quote-part, et son nom n'est pas conservé. Une extraction qui compte des associés personnes physiques est effacée au bout de 90 jours, ou dès le dépôt de statuts plus récents, puis refaite à la demande.

Transactions de dirigeants (art. 19 MAR) : Belgique et Allemagne

Le service rediffuse les notifications de transactions de dirigeants publiées par la FSMA (Belgique, licence CC BY 4.0) et par la BaFin (Allemagne, © Federal Financial Supervisory Authority / www.bafin.de). Ces publications sont nominatives à la source : elles nomment le dirigeant qui déclare. Aucun nom n'est conservé ni diffusé par ce service : seule une empreinte cryptographique non réversible en est dérivée, et elle ne sert qu'à compter des déclarants distincts afin de masquer toute ventilation qui désignerait une personne. Ce qui est servi est un agrégat par société cotée, jamais un profil de personne.

Durées : la BaFin retire ces notifications de sa base douze mois après leur première publication, et notre stock allemand est intégralement remplacé à chaque collecte quotidienne : il ne dépasse donc jamais cette fenêtre. Côté belge, chaque notification est conservée cinq ans au plus après sa publication, puis effacée ; la même borne vaut pour l'Allemagne. Une notification que la FSMA retirerait avant ce terme n'est pas retirée automatiquement de notre stock : il suffit de nous écrire (section « Droit d'opposition et droits des personnes ») pour qu'elle le soit.

Base légale

Le traitement repose sur l'intérêt légitime (art. 6.1.f RGPD) : rediffusion de données légalement publiques des registres du commerce, dans les limites fixées par les textes (notamment l'art. A123-96 du Code de commerce) et par les conditions de rediffusion de l'INPI et de l'INSEE. Pour les notifications de transactions de dirigeants, la publication est imposée par l'article 19 du règlement (UE) n° 596/2014 et effectuée par l'autorité de marché elle-même.

Statut « diffusion partielle »

Lorsqu'un dirigeant ou un entrepreneur individuel s'est opposé à la diffusion publique de ses données (statut « diffusion partielle » dans Sirene), ce service respecte ce statut et ne restitue que la fiche minimale légale de l'entreprise, sans aucune donnée du dirigeant.

Droit d'opposition et droits des personnes

Si vous êtes une personne physique dont les données (dirigeant, associé ou entrepreneur individuel) sont rediffusées par ce service, vous pouvez exercer vos droits (opposition, accès, rectification, effacement, limitation) :

Vous disposez également du droit d'introduire une réclamation auprès de la CNIL (cnil.fr).

Données collectées par le service lui-même

Sans compte : le rail x402 n'en demande aucun, l'agent paie à l'appel et aucun cookie ne lui est déposé. Un seul cookie peut l'être avant toute connexion : sirenic_oauth_demande, posé par l'écran d'autorisation du connecteur quand il s'ouvre sans session ; il garde la demande en cours le temps que votre lien de connexion arrive (15 minutes, limité aux adresses /compte), il est strictement nécessaire à ce parcours et ne sert à aucune mesure. Les journaux techniques (adresse IP, user-agent, horodatage) sont conservés à des fins de sécurité et de facturation. Les règlements en cryptoactifs (USDC ou EURC) font l'objet d'un journal comptable conservé conformément aux obligations légales françaises (10 ans, art. L123-22 du Code de commerce) ; il contient l'adresse blockchain du payeur, qui est une donnée pseudonyme.

Mesure de nos canaux d'inscription. Sans cookie ni script, nous lisons l'origine de votre arrivée telle qu'elle nous parvient : le paramètre de campagne de nos propres liens (utm_source, utm_campaign), le domaine de la page précédente (en-tête Referer, jamais conservé) ou l'absence de page précédente. Nous en tirons un canal pris dans une liste fermée (par exemple data.gouv.fr, dev.to, moteur de recherche, accès direct), que nos liens internes portent ensuite dans l'adresse des pages. Si vous créez un compte, le compteur de ce canal pour la semaine augmente d'une unité. Ce compteur ne contient ni votre adresse, ni votre compte, ni l'heure, ni votre adresse IP, et rien n'est ajouté à votre compte. Finalité : savoir quels canaux amènent des inscriptions (mesure d'audience pour notre seul compte, rien n'est transmis à un tiers). Base : notre intérêt légitime (art. 6.1.f du RGPD) ; traceur exempté de consentement au titre de la mesure d'audience (art. 82 de la loi Informatique et Libertés). Les compteurs sont effacés après 25 mois. Si votre navigateur envoie le signal Global Privacy Control ou Do Not Track, rien n'est lu ; vous pouvez aussi vous y opposer à l'adresse ci-dessous.

Badges. Un badge Sirenic affiché sur un autre site est chargé depuis nos serveurs par le navigateur de chaque visiteur (ou par le serveur d'images de ce site), sans cookie, sans script et sans suivi d'un site à l'autre ; l'adresse de la page qui l'affiche (en-tête Referer) n'est pas conservée par nos journaux d'accès. Comme toute requête, ce chargement laisse l'adresse IP de qui le charge dans deux journaux. Le journal de notre serveur frontal note aussi la date et l'adresse du badge ; il change de fichier tous les 20 Mo et, à chaque changement, efface les fichiers fermés depuis plus de 7 jours et ne garde que les 5 plus récents. Le journal système reçoit la ligne de l'application, avec le navigateur (user-agent), la date et l'adresse du badge sans son numéro ; sa taille est limitée, et ses lignes les plus anciennes sont effacées quand il est plein. Pour le badge d'une réponse, l'adresse IP est aussi gardée par le compteur qui limite ses chargements à 60 par minute et par adresse ; ce compteur est effacé par l'entretien quotidien une fois sa minute passée depuis plus d'un jour.

Avec un compte client (clé d'API et crédits prépayés, ouvert aux entreprises comme aux particuliers), nous conservons : l'adresse e-mail qui sert d'identifiant et la langue de vos courriels, l'adresse IP de l'inscription (90 jours, contre l'abus), les informations de facturation que vous saisissez (prénom et nom ou raison sociale, adresse postale, pays, et pour une entreprise le SIREN ou le numéro de TVA), le journal des appels débités et les crédits achetés. Un cookie de session, valable 30 jours, est déposé après avoir cliqué sur votre lien de connexion : il est strictement nécessaire au fonctionnement de l'espace client et ne sert à aucune mesure d'audience. Les paiements par carte sont traités par Stripe, qui reçoit votre adresse e-mail, les données de facturation et de paiement ; aucune donnée de carte ne transite par nos serveurs. Une adresse jamais confirmée est effacée après 7 jours. Un compte est gardé tant qu'il est ouvert ; sa fermeture se demande à rgpd@sirenic.eu. Un compte fermé est anonymisé après 30 jours, à l'exception des écritures comptables que la loi impose de conserver 10 ans.

Parrainage. Si vous indiquez un code de parrainage, nous gardons le lien entre votre compte et celui du parrain : deux identifiants internes, l'état de l'attribution, le motif d'un éventuel refus et des dates au jour. Le parrain ne voit que des nombres par mois ; vous ne voyez pas qui vous a parrainé. Pour décider d'une attribution, nous comparons l'adresse IP d'inscription des deux comptes, déjà gardée 90 jours, et le domaine de leur adresse, au titre de la lutte contre la fraude (intérêt légitime). Le lien est gardé jusqu'à 30 jours après le terme des crédits qu'il a valus, ou 30 jours après un refus ou un délai échu, puis effacé ; il est effacé avec le compte de l'un ou de l'autre. Le jour où vous indiquez un code reste noté sur votre compte, pour qu'un compte n'indique qu'un seul code ; il s'efface avec votre compte. Les lignes de ces crédits restent au journal comptable, comme toute ligne de crédit. Un code tiré au hasard, même retiré, reste réservé pour ne jamais être réattribué, sans lien avec vous une fois votre compte effacé ; un code personnalisé s'efface avec votre compte, et nous n'en gardons qu'une empreinte, qui ne permet pas de le retrouver sans la clé du serveur, pour qu'un lien qui le porte ne crédite jamais un autre compte (intérêt légitime), 36 mois au plus.

Prime aux templates. Si vous demandez la prime pour un template publié, nous gardons, rattachés à votre compte, l'adresse publique du template, sa date et le nombre de crédits offerts. Base : exécution du contrat (art. 6.1.b du RGPD). L'adresse du template est effacée de notre base quand le compte est anonymisé.

Demande d'accès anticipé : tant que l'inscription publique n'est pas ouverte, l'espace client propose de laisser une adresse e-mail. Elle sert uniquement à vous inviter à l'ouverture du service, n'est transmise à personne, et est effacée 30 jours après l'envoi de l'invitation, ou au plus tard 180 jours après la demande si le service n'a pas ouvert entre-temps.

Base légale des données du compte. Exécution du contrat (art. 6.1.b du RGPD) : adresse e-mail, langue, clés, solde, crédits, journal des appels, session, connecteur, surveillance, accès anticipé. Obligation légale (art. 6.1.c) : facturation, écritures comptables. Intérêt légitime (art. 6.1.f) : IP de l'inscription, trace de nos interventions sur un compte.

Courriels. Les courriels du compte et les alertes de surveillance partent par Brevo (Sendinblue SAS, Paris), notre sous-traitant (art. 28 du RGPD) selon l'accord de traitement des données annexé à ses conditions. Il reçoit l'adresse du destinataire et le contenu, qu'il héberge en France et en Belgique. Certains de ses sous-traitants peuvent y accéder hors de l'Union, sous clauses contractuelles types. L'adresse ou le webhook d'une surveillance est effacé 30 jours après sa fin. Vos demandes sur vos droits arrivent à la boîte rgpd@sirenic.eu, hébergée par OVHcloud en France, et nos réponses en partent, sans passer par Brevo.

Courriels reçus à contact@sirenic.eu. La boîte est hébergée par OVHcloud en France. Un programme la lit en lecture seule pour trier les messages et préparer nos réponses : il ne garde ni votre adresse, ni l'objet, ni le contenu de votre message, seulement une empreinte de son identifiant technique, sa date, sa catégorie et son statut, effacés après 90 jours. Rien n'est transmis à un tiers ni envoyé automatiquement. Base : notre intérêt légitime (art. 6.1.f du RGPD), tenir notre boîte de contact et vous répondre ; vous pouvez vous y opposer à l'adresse rgpd@sirenic.eu. Votre courriel lui-même reste dans la boîte, comme toute correspondance.

Règlements x402. Un paiement à l'appel est vérifié puis réglé par le facilitateur de Coinbase Developer Platform, fourni par Coinbase, Inc. (États-Unis) ou une société de son groupe, notre sous-traitant (art. 28 du RGPD) selon ses conditions. Il reçoit l'autorisation de paiement signée, qui porte l'adresse publique du portefeuille payeur et le montant, et l'adresse de la route appelée, sans les valeurs de son chemin. Il vérifie que l'adresse du payeur n'est ni sanctionnée ni à haut risque, et peut refuser le paiement. Le transfert hors de l'Union est encadré par les clauses contractuelles types. Le règlement est ensuite inscrit sur la blockchain publique Base, lisible par tous.

Le connecteur MCP et l'autorisation OAuth

Lorsque vous branchez un assistant (Claude, ChatGPT, Le Chat, Perplexity, n8n…) sur votre compte, ce que nous conservons se limite à ceci :

Ce que l'assistant obtient : le droit d'appeler les routes de données à votre place, sur votre quota puis sur votre solde. Ce qu'il n'obtient pas : votre adresse e-mail, vos factures, le droit de recharger ou de fermer le compte. Vous coupez cet accès quand vous voulez depuis vos clés d'API ; la révocation est immédiate. Les demandes d'autorisation non abouties et les codes à usage unique sont effacés automatiquement passé leur courte durée de vie.

Sous-traitant d'analyse documentaire et transfert hors Union européenne

Deux fonctionnalités font appel à un modèle de langage fourni par Anthropic, dont les serveurs de traitement sont situés aux États-Unis :

Ce traitement est encadré par l'accord de protection des données (DPA) d'Anthropic, qui incorpore les clauses contractuelles types de la Commission européenne pour le transfert ; les documents transmis via l'API ne sont pas utilisés pour l'entraînement des modèles. Détail des flux et garanties : rgpd@sirenic.eu.

Sécurité

Le service n'est joignable qu'en HTTPS (TLS, HSTS). Aucun secret n'est stocké en clair : clés d'API, jetons du connecteur, codes d'autorisation et jetons de session ne sont conservés que sous forme d'empreinte SHA-256 : nous ne pouvons donc ni les relire ni vous les renvoyer. Il n'existe aucune clé privée de portefeuille sur nos serveurs : seule l'adresse publique de réception y figure. L'espace client n'utilise ni mot de passe ni JavaScript ; sa session repose sur un cookie httpOnly, Secure et SameSite, révocable à tout moment. Le journal d'accès du serveur frontal ne conserve aucun en-tête de requête, précisément pour qu'aucune clé ne puisse y apparaître ; il change de fichier tous les 20 Mo et, à chaque changement, efface les fichiers fermés depuis plus de 7 jours et ne garde que les 5 plus récents. En cas de violation de données présentant un risque, nous notifions la CNIL dans les 72 heures et, si le risque est élevé, les personnes concernées.

Hébergement et sauvegardes. Nos serveurs et nos bases de données sont hébergés par OVHcloud. Les sauvegardes, chiffrées, sont gardées dans le stockage objet d'OVHcloud à Strasbourg : 30 jours pour les copies de la base, dix ans pour celle des écritures comptables (article L123-22 du Code de commerce).

Responsable de traitement

Pour toute question relative à vos données personnelles ou à l'exercice de vos droits : rgpd@sirenic.eu. L'identité et l'adresse du responsable de traitement figurent aux mentions légales.