Politique de confidentialité (RGPD)

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées dans le cadre du service Assoria est Try Again SRL, société à responsabilité limitée de droit belge, dont le siège est établi Rue Georges Jouret 20, 7880 Flobecq, Belgique, inscrite à la Banque-Carrefour des Entreprises sous le numéro 1042.835.320 (RPM Hainaut, division Tournai). Assoria est un produit de Try Again SRL. Pour toute question relative à la présente politique ou à l'exercice de vos droits, vous pouvez nous contacter à l'adresse francois@try-again.be.

2. Données collectées

Nous collectons uniquement les données que vous nous transmettez volontairement, notamment via notre formulaire de contact :

• - votre nom ;
• - votre adresse email ;
• - le contenu de votre message et, le cas échéant, les coordonnées de votre organisation.

Lors de la création d'un compte, nous collectons en outre votre nom, le nom de votre association, un mot de passe conservé uniquement sous forme d'empreinte, et la date à laquelle vous avez accepté les conditions d'utilisation. Tant que l'adresse n'est pas confirmée, ces informations restent dans une demande en attente, avec la question tapée sur l'accueil s'il y en a une (pour vous la rendre dans l'assistant après confirmation). La question est effacée dès que la demande a servi, et la demande au plus tard un jour après l'expiration du lien de confirmation.

Si votre organisation souscrit une offre payante, nous conservons en outre les références de son client et de son abonnement chez notre prestataire de paiement, l'offre souscrite, sa périodicité, sa date de renouvellement et son statut de paiement. Nous ne voyons ni ne conservons les données de carte ou de compte bancaire.

3. Finalités du traitement

Vos données sont utilisées pour fournir le service, répondre à vos demandes, assurer le suivi de nos échanges et améliorer la qualité de l'assistant. Elles ne sont jamais vendues à des tiers ni utilisées pour entraîner des modèles.

4. Base légale

Le traitement repose sur votre consentement (demande de contact, lettre d'information, mesure d'audience), sur l'exécution du contrat (espace de travail) et sur l'intérêt légitime à fournir un service fiable et à le protéger contre les abus.

5. Durée de conservation

Vos données sont conservées pendant la durée nécessaire au traitement de votre demande et à la relation commerciale, puis archivées ou supprimées conformément aux obligations légales applicables.

• -Contenus de l'espace d'une organisation (conversations, documents, tâches et livrables, échéances, personnes sans compte, connexions) : tant que son compte est ouvert et couvert par un essai ou un abonnement.
• -Offre Association, départ d'un membre : ses conversations, tâches, documents préparés et documents personnels restent privés et ne sont transmis à personne, propriétaire compris. Le membre reçoit par email un lien pour les télécharger (format JSON), valable 30 jours. Ils sont effacés 30 jours après son départ. Ses contributions aux documents communs restent à l'organisation.
• -Espace en lecture seule (sans essai ni abonnement) : 12 mois après le début de la lecture seule, effacement définitif des contenus de l'espace, du compte, des journaux de l'assistant et des signalements rattachés. Un email prévient 30 jours avant ; une souscription l'annule. Reste une trace sans nom ni contenu (identifiant technique et dates).
• -Fermeture du compte : un propriétaire peut fermer l'organisation depuis Mon organisation (ou nous le demander). L'accès est coupé aussitôt, les envois et les intégrations s'arrêtent et les accès Google ou Microsoft sont révoqués. Un propriétaire peut télécharger l'export complet de ses données (format JSON) pendant 30 jours. Les données sont conservées 12 mois après la fermeture, pour permettre une réouverture sur demande, puis effacées définitivement : contenus de l'espace, comptes qui y sont rattachés, journaux de l'assistant et signalements qui s'y rattachent. Les propriétaires sont prévenus par email 30 jours avant l'effacement. Seule reste une trace sans nom ni contenu (identifiant technique et dates).
• -Connexion et sécurité du compte : une ligne par session ouverte (date d'ouverture, dernière activité, type de navigateur, sans adresse IP), valable 30 jours au plus après la dernière activité, effacée dès la déconnexion et, à défaut, dans la nuit qui suit son expiration. Le cookie de session (« assoria.session_token », strictement nécessaire, signé et inaccessible aux scripts de la page) dure lui aussi 30 jours ; un second cookie de 10 minutes sert à l'étape du code quand la double authentification est active. Les liens de réinitialisation du mot de passe valent 60 minutes, ne sont conservés que sous forme d'empreinte et sont effacés dans la nuit qui suit leur expiration, comme les liens de confirmation d'un changement d'adresse. Si vous activez la double authentification, la clé de votre application et vos codes de secours sont conservés chiffrés, tant qu'elle reste active ; la retirer les efface. Vous voyez et fermez vos sessions depuis Mon compte.
• -Profil depuis la Banque-Carrefour des Entreprises : quand vous saisissez le numéro d'entreprise de votre association, Assoria lit sa dénomination, sa forme, son siège et sa date de début dans une copie mensuelle des données ouvertes de la BCE (SPF Economie), limitée aux associations et fondations. Vous relisez avant d'enregistrer. Ces données publiques ne servent qu'à pré-remplir votre profil, jamais à de la prospection.
• -Synthèse mensuelle : le 1er du mois, un email récapitule pour les membres qui l'acceptent les échéances à venir, les documents prêts ou en attente et la consommation de l'offre, sans aucun contenu de conversation. Activée par défaut pour les propriétaires, elle se coupe depuis Mon compte ou par le lien présent dans chaque email. La date d'envoi est gardée pour ne pas envoyer deux fois, puis effacée avec l'organisation.
• -Emails de démarrage pendant l'essai et juste après : cinq emails au plus, aux seuls propriétaires de l'organisation. Pendant l'essai, le lendemain de l'inscription, au quatrième et au dixième jour (un premier pas utile, ce que l'assistant peut préparer, la fin de l'essai et les offres). Ensuite, le jour où l'essai se termine (le passage en lecture seule et la date d'effacement sans abonnement) et, dix jours plus tard, si l'organisation n'a ni choisi ni demandé une offre payante, un dernier email avec le nombre de questions posées et de documents préparés. Leur contenu dépend du profil de l'association et de ce qui est déjà fait dans l'espace (profil, calendrier, questions, documents), jamais du contenu des conversations. Aucun email n'est envoyé pour une étape déjà faite, ni après le choix d'une offre payante ou la fermeture de l'organisation. Ils se coupent depuis Mon compte ou par le lien présent dans chaque email. L'étape et la date d'envoi sont gardées pour ne pas envoyer deux fois, puis effacées avec l'organisation.
• -Lettre d'information « L'essentiel du mois pour votre ASBL » : une lettre par mois avec les articles publiés sur le site, les échéances du mois suivant et un guide, envoyée par Brevo. Finalité : vous informer des obligations et des changements qui touchent les associations, et présenter Assoria. Base légale : votre consentement, que vous retirez à tout moment par le lien présent dans chaque lettre ou, si vous avez un compte, dans Mon compte. Membres inscrits : la lettre n'est jamais envoyée par défaut ; vous la demandez en cochant la case proposée à l'inscription (l'abonnement prend effet quand vous confirmez votre adresse) ou dans Mon compte. Nous gardons la date et la version du texte accepté, qui indique aussi où vous l'avez accepté, et la date du retrait, tant que votre compte existe. Sans compte : abonnement par double confirmation ; nous gardons votre adresse, la page d'où vient la demande, le texte accepté, la date de la demande et de la confirmation et une empreinte salée de la connexion utilisée à chaque fois. Une demande non confirmée est effacée après 7 jours. À la désinscription, votre adresse est effacée aussitôt ; seuls restent son empreinte (sha256 de l'adresse) et les éléments de preuve ci-dessus, pendant 3 ans, pour pouvoir démontrer votre consentement en cas de contestation. Le journal d'envoi (empreinte de l'adresse et date, sans l'adresse) est effacé après 90 jours. La lettre ne contient aucune donnée de votre organisation.
• -Suivi des formations (espace Formation à l'IA) : pour chaque personne, les modules ouverts et suivis, la date du suivi, le score aux quiz et le nombre d'essais, avec son nom au moment du suivi ; pour l'organisation, les formations externes saisies par un propriétaire (intitulé, organisme, date, durée, noms des participants, remarque). Ces données sont traitées pour le compte de l'organisation, afin qu'elle puisse documenter les mesures prises pour la maîtrise de l'IA de son équipe (article 4 du règlement (UE) 2024/1689). Chaque personne voit sa propre progression ; seuls les propriétaires de l'organisation voient le registre. Conservation : tant que l'organisation existe, puis effacement avec ses autres données 12 mois après sa fermeture. Un propriétaire peut effacer une ligne du registre à tout moment ; si le compte d'une personne est supprimé, ses lignes restent au registre de l'organisation, avec son nom, sans lien vers le compte. Aucune de ces données n'est transmise à un modèle d'IA.
• -Signalements de bug envoyés depuis l'espace (description, résultat attendu, capture éventuelle de la page, informations techniques du navigateur, nom, adresse et organisation de la personne qui signale) : enregistrés chez Assoria, lus par l'équipe seulement, effacés 12 mois après leur réception.
• -Invitations à rejoindre une organisation, envoyées avant le 6 octobre 2026 ou par l'équipe d'Assoria à l'ouverture d'un espace (adresse invitée, rôle, empreinte du lien) : effacées 30 jours après leur expiration.
• -Demandes envoyées par le formulaire de contact et demandes d'accompagnement envoyées depuis l'espace : effacées 24 mois après leur réception.
• -Avis sur les réponses de l'assistant (pouce, motif et commentaire) : effacés 24 mois après leur envoi. Le journal d'incidents interne, qui ne reprend pas le texte des conversations, est conservé.
• -Sondage de recommandation (« Recommanderiez-vous Assoria à une autre association ? ») : proposé dans l'espace au plus une fois tous les 90 jours, après deux semaines d'usage, jamais obligatoire. Nous gardons la note (0 à 10), le commentaire facultatif, l'offre de l'organisation, la date, et le lien vers votre compte et votre organisation. Finalité : mesurer la satisfaction et savoir quoi améliorer ; base légale : notre intérêt légitime à améliorer le service. Les commentaires sont lus par l'équipe d'Assoria sans le nom de l'association ni celui de la personne. Conservation : tant que l'organisation existe, puis effacement avec ses autres données 12 mois après sa fermeture ; si votre compte est supprimé, la réponse reste sans lien avec vous. La date de la dernière sollicitation est gardée pour ne pas vous le reproposer trop tôt.
• -Consommation de calcul d'intelligence artificielle de l'organisation (modèle, nombre de jetons, coût, sans le texte échangé) : 25 mois, pour appliquer le plafond de son offre.

7. Vos droits

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation et d'opposition au traitement de vos données, ainsi que d'un droit à la portabilité. Vous pouvez exercer ces droits en nous écrivant à francois@try-again.be. Vous avez également le droit d'introduire une réclamation auprès de l'Autorité de protection des données, rue de la Presse 35, 1000 Bruxelles (contact@apd-gba.be, +32 2 274 48 00, www.autoriteprotectiondonnees.be).

8. Assistant IA : ce qui est traité

L'assistant conversationnel est réservé aux titulaires d'un compte. Il traite le texte des questions que vous lui posez et les réponses qu'il produit. Aucune adresse IP n'est conservée en clair : seul un identifiant technique dérivé de celle-ci sert à limiter les abus, par exemple les tentatives répétées d'inscription ou de connexion, ou les essais offerts demandés à la chaîne depuis une même connexion (conservé 31 jours dans ce dernier cas, et jamais copié dans les sauvegardes). Cet identifiant est une empreinte salée, non lisible telle quelle, mais nous ne prétendons pas qu'il soit impossible à rapprocher d'une adresse : il réduit le risque, il ne l'annule pas.

• - Journal de l'assistant : question, longueur de la réponse, horodatage, durée et modèle utilisé, conservés 90 jours pour mesurer la qualité des réponses et détecter les abus. Les questions restées sans fiche dans la base sont relues par l'équipe d'Assoria pour la compléter, sans le nom de l'organisation ni celui de la personne, et après masquage des adresses email, numéros de téléphone et numéros d'identification. Une organisation peut s'y opposer depuis son profil.
• - Compteurs d'usage : nombre de questions et de documents préparés (tâches et ateliers) chaque mois par votre organisation, pour appliquer les limites de son offre.
• - Espace membre : en plus, votre adresse email, votre nom, le profil d'organisation que vous renseignez et l'historique de vos conversations, conservés tant que votre compte existe et supprimables à tout moment depuis l'espace.
• - Retour d'évaluation (pouce haut ou pouce bas) : la note, l'identifiant du message concerné, le motif rapide et le commentaire facultatifs. Chaque réponse est aussi classée automatiquement (sourcée, sans fiche, hors périmètre, refus, salutation, erreur) dans le journal de l'assistant, sans relecture du texte par un modèle. Chaque mois, l'équipe d'Assoria relit les réponses notées d'un pouce vers le bas, avec la question posée, pour corriger l'assistant ; une erreur sérieuse est notée, sans le texte de la conversation si elle n'est pas nécessaire, dans un journal d'incidents interne.
• - Atelier « Attestations fiscales » : le fichier des donateurs importé par une association (nom, adresse, numéro national ou d'entreprise, montants et dates des dons) est lu par l'application, jamais envoyé aux modèles de langage. Seules les colonnes utiles à l'attestation sont gardées, chiffrées, puis effacées 30 jours après l'import ou plus tôt à la demande de l'association, qui reste responsable de ce traitement ; Assoria agit pour elle comme sous-traitant.
• - Calendrier des obligations : les noms et les dates de fin de mandat des administrateurs saisis dans le profil, et les personnes sans compte qu'un propriétaire désigne comme responsables d'une échéance (nom et adresse email). Ces personnes reçoivent les rappels par email et peuvent s'en désinscrire par le lien présent dans chaque rappel. Ces données restent jusqu'à ce qu'un propriétaire les retire ou que l'organisation soit supprimée ; Assoria agit pour l'association comme sous-traitant.
• - Abonnement d'agenda : le lien personnel n'est conservé que sous forme d'empreinte ; le régénérer révoque l'ancien.

La base légale est l'exécution du contrat pour l'usage de l'assistant et de l'espace membre, et l'intérêt légitime à améliorer le service pour la mesure agrégée de sa qualité. Ne communiquez pas de données sensibles ou de données personnelles de tiers dans vos questions : l'assistant n'en a pas besoin pour répondre.

9. Intégrations (facultatives)

Depuis Mon organisation, Intégrations, une organisation et ses membres peuvent relier Assoria à leurs outils. Rien n'est activé par défaut.

• -Adresse de réception. Un email transféré à l'adresse de l'organisation est reçu par Brevo (Sendinblue SAS, France), qui nous le transmet. Nous en gardons le texte comme tâche ou question, et le texte extrait des pièces jointes acceptées dans la bibliothèque ; le fichier lui-même n'est pas conservé. Un journal (expéditeur, objet, résultat) est effacé après 90 jours. Les emails d'un expéditeur non autorisé sont écartés et seule cette trace est gardée. Un email dont l'expéditeur n'a pas pu être authentifié est gardé tel quel en attendant qu'un membre le valide ou le rejette ; sans décision, son contenu est effacé après 30 jours.
• -Comptes Google ou Microsoft. Quand vous connectez votre compte, Google (Google Ireland Limited) ou Microsoft (Microsoft Ireland Operations Limited) reçoit ce que vous demandez d'y déposer : un brouillon d'email (le livrable choisi, et sa version Word si vous la joignez), les titres et dates de vos tâches planifiées dans un agenda « Assoria ». Pour importer un document depuis Google Drive ou OneDrive, nous lisons le seul fichier choisi. Nous ne lisons ni vos emails, ni vos autres agendas, ni vos disponibilités. Ces services relèvent alors des conditions et de la politique de confidentialité de Google ou de Microsoft, qui peuvent transférer des données hors de l'Union européenne dans le cadre du Data Privacy Framework UE-États-Unis et des clauses contractuelles types.
• -Nous conservons l'adresse du compte connecté, les droits accordés et les jetons d'accès, chiffrés, tant que la connexion existe. « Déconnecter » efface ces jetons, retire l'agenda « Assoria » et révoque l'accès chez Google ; chez Microsoft, l'autorisation se retire aussi depuis votre compte.

Finalité : faire entrer vos emails et documents dans votre espace, et en sortir vos livrables et vos échéances. Base légale : l'exécution du contrat, à votre demande ; pour les contenus de l'organisation, Assoria agit comme sous-traitant de celle-ci.

10. Sous-traitants et hébergement

Le site et l'espace membre sont hébergés par Vercel, dans sa région de Francfort (Allemagne). La base de données est hébergée par Neon, dans la région AWS de Francfort. Vercel et Neon sont des sociétés établies aux États-Unis ; leurs coordonnées figurent dans les mentions légales. Les modèles de langage sont appelés via Cortecs GmbH (Vienne, Autriche), passerelle d'inférence qui ne route que vers des fournisseurs établis dans l'Union. Les modèles à poids ouverts (Gemma de Google, GLM de Zhipu AI) y sont exécutés sur des serveurs européens : leurs concepteurs n'ont pas accès aux données. Les emails du service (confirmation, invitations, rappels, avis de livrable, lettre d'information) sont envoyés par Brevo (Sendinblue SAS, France). La mesure d'audience, si vous l'acceptez, passe par PostHog, dans sa région de l'Union européenne (voir Cookies et mesure d'audience). Le contenu éditorial des fiches publiées, sans donnée personnelle ni nom d'auteur, est copié chaque jour dans un dépôt hébergé par GitHub (Microsoft, États-Unis). Une sauvegarde quotidienne de la base y est conservée 30 jours, chiffrée avec une clé que GitHub ne détient pas. Les contrats de sous-traitance excluent la réutilisation de vos contenus pour l'entraînement de modèles. Le détail du fonctionnement de l'assistant est publié sur la page transparence IA.

Paiements. Les offres payantes sont réglées par l'intermédiaire de Stripe Payments Europe, Limited (Irlande). Stripe traite les paiements pour notre compte, et agit aussi comme responsable de traitement distinct pour la prévention de la fraude et le respect de ses propres obligations légales. Stripe reçoit le nom de l'organisation, l'adresse email de la personne qui souscrit, l'adresse de facturation, l'éventuel numéro de TVA et les données de paiement (carte ou compte bancaire). Ces données de facturation peuvent être transférées aux États-Unis et en Inde, dans le cadre du Data Privacy Framework UE-États-Unis et des clauses contractuelles types de la Commission européenne. Aucune question posée à l'assistant, aucune réponse et aucun document de votre organisation n'est transmis à Stripe : l'hébergement du service et les modèles de langage restent ceux décrits ci-dessus.

11. Contact pour la protection des données

Pour toute question relative à la protection de vos données, vous pouvez contacter notre point de contact RGPD à l'adresse francois@try-again.be.