Politique de confidentialité

2. Champ d'application

Cette politique couvre le site web de Mets, l'application web de réunions vidéo et de webinaires, ainsi que vos échanges avec nous (e-mail, formulaires).

Si vous utilisez Mets via un compte d'entreprise (organisation), le responsable du traitement du contenu des réunions est en général votre employeur ou votre organisation, et Mets agit en tant que sous-traitant dans le cadre d'un accord de traitement des données. Voir « RGPD et traitement des données » pour plus de détails.

3. Données que nous traitons

Nous ne traitons que les données nécessaires à la fourniture du service :

• données de compte : nom ou nom d'affichage, adresse e-mail, mot de passe haché, avatar, langue préférée et fuseau horaire ;
• données des invités : le nom d'affichage saisi pour rejoindre une réunion (aucun compte requis) ;
• données de réunion : titre, horaire, code de la salle, liste des participants, heures d'arrivée et de départ, paramètres (salle d'attente, mot de passe, chiffrement) ;
• contenu des réunions — uniquement lorsque l'hôte active la fonctionnalité : messages du chat, enregistrements, transcriptions, traductions, résumés, contenu du tableau blanc ;
• données techniques : adresse IP, type de navigateur et de système d'exploitation, indicateurs de qualité de connexion, journaux d'événements de sécurité ;
• données de facturation pour les offres payantes : nom de l'entreprise, numéro de TVA, adresse, historique des paiements (aucune donnée de carte complète — gérée par le prestataire de paiement).

4. Finalités et bases juridiques

Chaque finalité repose sur une base juridique au titre de l'art. 6, par. 1 du RGPD :

• fourniture du service, gestion de votre compte et hébergement des réunions — exécution d'un contrat (art. 6, par. 1, point b) ;
• enregistrement, transcription et résumés IA — exécution d'un contrat sur instruction de l'hôte ; l'hôte est responsable d'informer les participants et d'obtenir leur consentement lorsque c'est requis ;
• sécurité, prévention des abus et diagnostics — intérêts légitimes (art. 6, par. 1, point f) ;
• facturation, émission de factures et obligations fiscales — obligation légale (art. 6, par. 1, point c) ;
• traitement des demandes de support et des réclamations — exécution d'un contrat et intérêts légitimes ;
• newsletter produit — uniquement avec votre consentement (art. 6, par. 1, point a), que vous pouvez retirer à tout moment.

5. Contenu des réunions, enregistrements et transcriptions

L'audio et la vidéo transitent par notre serveur média (SFU) situé dans l'Union européenne. Le transport est toujours chiffré (DTLS-SRTP). Dans les salles avec chiffrement de bout en bout (E2EE), la clé n'est partagée qu'entre les participants — notre serveur transmet des paquets chiffrés et est techniquement incapable de les lire.

Les enregistrements, transcriptions et résumés ne sont créés que lorsque l'hôte les démarre, et chaque participant voit un indicateur d'enregistrement clair. La transcription s'exécute sur nos serveurs dans l'UE ; les textes ne sont jamais utilisés pour entraîner des modèles d'IA.

Dans les salles E2EE, l'enregistrement et la transcription côté serveur ne sont pas disponibles — conséquence assumée du chiffrement.

6. Destinataires

Nous ne confions des données qu'à des sous-traitants soigneusement sélectionnés, liés par des accords de traitement des données conformes à l'art. 28 du RGPD. La liste complète figure dans « RGPD et traitement des données ». Les principaux prestataires sont :

• Supabase — base de données, authentification et stockage de fichiers dans la région eu-west-1 (Irlande) ;
• LiveKit — serveur média exécuté sur notre propre infrastructure dans l'UE (logiciel open source, aucune donnée partagée avec l'éditeur) ;
• Cloudflare — services DNS ;
• un fournisseur de grand modèle de langage (Anthropic) — uniquement si une organisation active les résumés IA avancés.

7. Transferts hors de l'EEE

Par défaut, toutes les données sont stockées et traitées dans l'Espace économique européen. Un transfert hors de l'EEE ne peut avoir lieu que pour les fonctionnalités d'IA optionnelles activées par le client ou pour l'infrastructure du fournisseur DNS — toujours sur la base des clauses contractuelles types de la Commission européenne (art. 46, par. 2, point c du RGPD) ou d'une décision d'adéquation.

8. Durée de conservation

• données de compte — tant que vous avez un compte, puis jusqu'à 30 jours après sa suppression (sauvegardes : jusqu'à 35 jours) ;
• enregistrements, transcriptions et résumés — jusqu'à leur suppression par l'utilisateur ou selon la politique de conservation de l'organisation ;
• messages du chat — avec la réunion, sauf si l'hôte définit une durée plus courte ;
• journaux techniques et de sécurité — jusqu'à 90 jours ;
• documents comptables — 5 ans à compter de la fin de l'exercice fiscal, comme l'exige la législation fiscale.

9. Vos droits

Vous avez le droit d'accéder à vos données, de les rectifier et de les effacer, de limiter leur traitement, à la portabilité et de vous opposer au traitement fondé sur les intérêts légitimes. Lorsque le traitement repose sur le consentement, vous pouvez le retirer à tout moment, sans que cela remette en cause la licéité des traitements antérieurs.

Vous pouvez télécharger ou supprimer la plupart des données vous-même dans les paramètres de votre compte. Pour tout le reste, écrivez à privacy@mets.ulewicz.space — nous répondons sous 30 jours. Vous avez également le droit d'introduire une réclamation auprès de l'autorité de contrôle polonaise, le Président de l'Office de protection des données personnelles (UODO, ul. Stawki 2, 00-193 Varsovie), ou auprès de l'autorité de votre pays.

10. Cookies

Nous n'utilisons que les cookies strictement nécessaires au fonctionnement du service, c'est pourquoi il n'y a pas de bandeau de consentement. Nous n'utilisons aucun cookie publicitaire, pixel de suivi ni outil d'analyse tiers.

• sb-* — la session de l'utilisateur connecté (Supabase Auth), valable jusqu'à votre déconnexion ou l'expiration de la session ;
• NEXT_LOCALE — la langue de votre interface, jusqu'à 12 mois ;
• theme — le thème choisi (clair, sombre ou système), jusqu'à 12 mois.

11. Sécurité

Nous utilisons TLS pour tout le trafic, DTLS-SRTP pour les flux média, des salles optionnelles chiffrées de bout en bout, le chiffrement au repos, la Row Level Security de la base de données, des jetons d'accès aux salles de courte durée, le hachage des mots de passe et la limitation du débit. L'accès du personnel aux données de production est réduit au strict minimum et journalisé.

12. Modifications de cette politique

Nous pouvons mettre à jour cette politique, par exemple en raison de nouvelles fonctionnalités ou d'évolutions légales. Nous informerons les utilisateurs connectés des modifications importantes par e-mail ou dans l'application au moins 14 jours à l'avance. La date de la dernière mise à jour figure en haut de cette page.