Conditions Générales d'Utilisation (CGU)

Les présentes Conditions Générales d'Utilisation (ci-après "CGU") définissent les règles d'utilisation du service SaaS Omnysia. Elles complètent les Conditions Générales de Vente (CGV) et s'appliquent à tout Utilisateur du service.

L'accès et l'utilisation du service impliquent l'acceptation pleine et entière des présentes CGU.

---

Article 1. Objet et champ d'application

1.1 Objet

Les présentes CGU définissent les règles et conditions dans lesquelles les Utilisateurs peuvent accéder au service SaaS Omnysia et l'utiliser. Omnysia est un assistant professionnel basé sur l'intelligence artificielle, destiné à des usages professionnels (auto-entrepreneurs, TPE, indépendants, professions libérales), et accessible via l'adresse app.omnysia.fr.

1.2 Scope produit V1

La version V1 du service Omnysia comprend les fonctionnalités suivantes :

1. Gestion unifiée d'emails professionnels via connexion à un compte tiers (Google Workspace / Gmail, Microsoft 365 / Outlook, comptes IMAP génériques), à raison d'une Boîte Tierce connectée par compte ;
2. Gestion unifiée de calendriers (Google Calendar, Microsoft Calendar) ;
3. Assistant conversationnel écrit et vocal (dictée, commandes vocales, réponses synthétisées) ;
4. Génération assistée de documents professionnels (brouillons d'emails, devis, factures, courriers, synthèses), incluant l'émission et la réception de factures électroniques conformes à la réglementation française (CGV article 9) ;
5. Gestion native des tâches, des contacts et du suivi des opportunités commerciales ;
6. Priorisation des emails et suivi d'activité ;
7. Base de connaissances alimentée par l'Utilisateur ;
8. Paramétrage par l'Utilisateur de ses préférences, de ses connexions tierces et de ses données.

Exclusions V1 : le service ne comprend pas, dans la version V1, la synchronisation d'étiquettes ou d'archivage avec la boîte email tierce, la suppression automatique d'emails, l'envoi automatique sans validation humaine, ni la synchronisation de tâches avec un gestionnaire tiers (Google Tasks, Microsoft To-Do) (cf. Article 8).

1.3 Distinction CGU / CGV

Les présentes CGU sont distinctes des Conditions Générales de Vente (CGV). Les CGV régissent les aspects commerciaux et contractuels de l'abonnement (prix, paiement, durée, résiliation, droit de rétractation). Les CGU régissent les règles d'utilisation du service (comportement, contenu, limites techniques, doctrine de non-altération, propriété intellectuelle).

1.4 Champ d'application

Les présentes CGU s'appliquent à tout Utilisateur du service Omnysia, qu'il soit Owner (propriétaire du compte) ou, lorsque l'offre destinée aux équipes sera ouverte, Admin (administrateur) ou Member (membre invité), dès lors qu'il accède au service via l'adresse app.omnysia.fr. Dans la version actuelle du service, chaque compte comporte un unique Utilisateur (l'offre Équipe n'est pas ouverte à la souscription, CGV article 4.1).

1.5 Définitions

---

Article 2. Responsable de traitement et coordonnées

2.1 Identité du responsable de traitement

Le responsable de traitement au sens de l'article 4.7 du RGPD est :

• Nom : Warren-Georges Maunier
• Statut : Auto-entrepreneur (micro-entreprise)
• SIRET : 99537687800014
• Adresse postale : 12 rue de la Part-Dieu, 69003 Lyon, France (siège domicilié auprès de Hellodom, SASU, agrément préfectoral n° DOM2022019)
• Email général : contact@omnysia.fr
• Email vie privée / RGPD : privacy@omnysia.fr
• Site web : omnysia.fr

TVA non applicable, article 293 B du Code général des impôts.

2.2 Délégué à la protection des données

Compte tenu de la taille de la structure, Omnysia n'est pas tenu de désigner un délégué à la protection des données au sens de l'article 37 du RGPD. Le point de contact unique pour toute question RGPD est l'adresse privacy@omnysia.fr, avec un engagement de réponse sous soixante-douze (72) heures ouvrées et sous trente (30) jours calendaires pour une réponse complète.

2.3 Information des Correspondants

Les Correspondants (tiers dont les données sont traitées indirectement lorsqu'un Utilisateur utilise le service) peuvent exercer leurs droits RGPD (cf. Article 6) par écrit à privacy@omnysia.fr. Les modalités d'information des Correspondants sont détaillées à l'Article 3 de la Politique de confidentialité.

---

Article 3. Données collectées

3.1 Catégories de données

Omnysia collecte et traite les catégories de données suivantes :

1. Données de compte : nom, prénom, adresse email, mot de passe hashé (argon2), rôle dans le tenant, date de création ;
2. Données de contenu email : expéditeurs, destinataires, objets, dates, corps des messages et métadonnées techniques, récupérés via Unipile à partir de la Boîte Tierce connectée par l'Utilisateur ;
3. Métadonnées et classifications Omnysia-Only : priorités Kanban, tags internes, résumés IA, étiquettes générées par le service, stockés exclusivement dans la base de données Omnysia sans répercussion sur la Boîte Tierce (cf. Article 8) ;
4. Données de calendrier : événements, participants, lieux, descriptions, récupérés via Unipile ;
5. Données de documents : contenu des documents générés ou importés (devis, factures, contrats, courriers, synthèses) ;
6. Données vocales : flux audio capté par le navigateur de l'Utilisateur et traité en streaming temps réel par Deepgram (transcription) et Cartesia (synthèse), avec enregistrements audio bruts non conservés, et transcriptions textuelles conservées 90 jours maximum ;
7. Données de profil et préférences utilisateur : paramètres du service, choix d'interface, historique d'actions ;
8. Données de paiement : identifiant client Stripe, statut d'abonnement, historique de facturation. Omnysia ne stocke aucune donnée de carte bancaire ;
9. Données techniques et logs d'usage : adresse IP, agent utilisateur, horodatage des connexions et actions, tokens OAuth chiffrés (AES-256-GCM).

3.2 Source de collecte

Les données sont collectées directement auprès de l'Utilisateur, à l'exception des données des Correspondants (Article 3.3) qui sont collectées indirectement via la Boîte Tierce connectée par l'Utilisateur.

3.3 Données des Correspondants

Lorsque l'Utilisateur connecte sa Boîte Tierce, Omnysia est amené à traiter les données personnelles des Correspondants (expéditeurs, destinataires, personnes mentionnées dans les emails). Ce traitement est fondé sur l'intérêt légitime d'Omnysia (article 6.1.f RGPD) et de l'Utilisateur à disposer d'un outil de productivité capable d'analyser sa correspondance professionnelle. Une mise en balance avec les droits et libertés des Correspondants a été effectuée et est documentée au registre des traitements. Les Correspondants disposent des droits prévus par le RGPD et peuvent les exercer à privacy@omnysia.fr (cf. politique de confidentialité).

---

Article 4. Bases légales du traitement

Chaque traitement repose sur une base légale conforme à l'article 6 du RGPD :

En cas de traitement fondé sur le consentement, l'Utilisateur peut le retirer à tout moment depuis les paramètres du service ou par demande écrite à privacy@omnysia.fr, sans affecter la licéité des traitements effectués avant ce retrait.

Information spécifique : analyse IA des emails (transparence art. 13 RGPD + réglementation IA). L'analyse et la classification IA des emails reposent sur l'exécution du contrat (cette analyse constitue le cœur du service). Un écran d'information transparent (« acquittement ») est présenté dans le service pour informer l'Utilisateur du fonctionnement de cette analyse, du recours éventuel à un traitement en ligne et du fait qu'aucun contenu de message n'est recopié (seules des références sont conservées). Cet acquittement est consultable à tout moment dans Réglages › Historique des autorisations ; il matérialise l'information et ne conditionne pas l'accès au service.

Transparence IA (règlement européen sur l'intelligence artificielle). L'Utilisateur est informé que l'assistant conversationnel d'Omnysia est un système d'intelligence artificielle : les réponses de l'assistant, écrites ou vocales, sont générées par une IA et présentées comme telles dans l'interface. Les contenus générés (brouillons, documents, synthèses) constituent une assistance que l'Utilisateur doit vérifier avant usage ; ils peuvent comporter des inexactitudes. Aucune action ayant un effet vers l'extérieur (envoi d'email, émission de facture) n'est réalisée sans validation humaine explicite (Article 8).

---

Article 5. Durée de conservation

5.1 Principe

Conformément à l'article 5.1.e du RGPD, les données sont conservées uniquement pendant la durée nécessaire à la finalité du traitement.

5.2 Grille de conservation

5.3 Suppression automatique

Un processus automatisé applique ces politiques de rétention quotidiennement. L'Utilisateur peut demander une suppression anticipée au titre de l'article 17 du RGPD (Article 6), sous réserve des obligations légales de conservation.

5.4 Exceptions obligations légales

Certaines données sont conservées au-delà des durées indiquées ci-dessus lorsqu'une obligation légale l'impose (notamment factures 10 ans, logs de connexion LCEN 12 mois, données nécessaires à la constatation, l'exercice ou la défense de droits en justice).

---

Article 6. Droits de l'Utilisateur et des Correspondants

Conformément aux articles 15 à 22 du RGPD, l'Utilisateur et les Correspondants disposent des droits suivants :

6.1 Droit d'accès (art. 15 RGPD)

Droit d'obtenir confirmation que des données personnelles le concernant sont ou ne sont pas traitées, et d'accéder à ces données. L'Utilisateur peut exporter ses données depuis l'interface du service (paramètres > export de données) ou à l'adresse privacy@omnysia.fr.

6.2 Droit de rectification (art. 16 RGPD)

Droit de faire rectifier les données inexactes ou incomplètes. Rectification en ligne depuis le profil ou par demande à privacy@omnysia.fr.

6.3 Droit à l'effacement (art. 17 RGPD)

Droit d'obtenir l'effacement des données dans les cas prévus par le RGPD. La demande peut être formulée depuis l'interface (paramètres > supprimer mon compte), assortie d'un délai de grâce de trente (30) jours permettant l'annulation ; à l'issue de ce délai, la suppression définitive est exécutée automatiquement. Les données soumises à obligation légale de conservation (factures 10 ans notamment) sont exclues du droit à l'effacement.

6.4 Droit à la portabilité (art. 20 RGPD)

Droit de recevoir les données dans un format structuré, couramment utilisé et lisible par machine (JSON ou CSV). Export accessible depuis l'interface du service incluant : données de compte, métadonnées d'emails Omnysia-Only, événements de calendrier, documents générés, paramètres de configuration, journal d'activité IA.

6.5 Droit d'opposition (art. 21 RGPD)

Droit de s'opposer au traitement lorsqu'il est fondé sur l'intérêt légitime (tokens OAuth, audit trail, données de Correspondants). Demande motivée à privacy@omnysia.fr.

6.6 Droit à la limitation du traitement (art. 18 RGPD)

Droit de demander la limitation du traitement dans les cas prévus par le RGPD (contestation de l'exactitude, traitement illicite, conservation nécessaire pour l'exercice de droits en justice).

6.7 Droit de retrait du consentement

L'Utilisateur peut retirer son consentement à tout moment depuis les paramètres du service, sans affecter la licéité des traitements effectués avant le retrait. Le retrait du consentement au traitement IA ou à la connexion Unipile peut rendre le service inopérant pour les fonctionnalités concernées.

6.8 Droit de ne pas faire l'objet d'une décision automatisée (art. 22 RGPD)

En V1, Omnysia n'effectue aucune décision automatisée produisant des effets juridiques ou affectant de manière significative l'Utilisateur ou les Correspondants. Toutes les actions ayant un effet sur la Boîte Tierce (envoi d'email, création d'événement calendaire) requièrent une action humaine explicite (cf. Article 8). Lorsque des synchronisations étendues seront introduites dans une version ultérieure, elles feront l'objet d'un consentement explicite et d'un droit d'intervention humaine conformément à l'article 22.3 du RGPD.

6.9 Modalités d'exercice

• Contact : privacy@omnysia.fr
• Délai de réponse : accusé de réception sous 72 heures ouvrées, réponse complète sous 30 jours calendaires (prorogeable de 60 jours en cas de demande complexe, avec information préalable de l'Utilisateur)
• Justificatif d'identité : un justificatif peut être demandé en cas de doute raisonnable
• Gratuité : l'exercice des droits est gratuit, sauf demande manifestement infondée ou excessive (art. 12.5 RGPD)

6.10 Réclamation auprès de la CNIL

L'Utilisateur et les Correspondants disposent du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés :

• CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
• Site : https://www.cnil.fr
• Téléphone : 01 53 73 22 22

---

Article 7. Droit de rétractation et renonciation

7.1 Principe du droit de rétractation

Conformément à l'article L221-18 du Code de la consommation, l'Utilisateur non-professionnel ou assimilé dispose d'un délai de quatorze (14) jours à compter de la conclusion du contrat d'abonnement pour exercer son droit de rétractation, sans avoir à justifier de motif ni à supporter d'autres frais que ceux prévus aux articles L221-23 à L221-25 du Code de la consommation.

Les modalités d'exercice (formulaire, délai de remboursement) sont détaillées aux CGV article 7.

7.2 Renonciation au droit de rétractation par activation d'une Synchronisation Étendue

Conformément à l'article L221-28, 1° du Code de la consommation, le droit de rétractation ne peut être exercé pour les contrats de fourniture de services pleinement exécutés avant la fin du délai de rétractation, et dont l'exécution a commencé après accord préalable exprès du consommateur et renoncement exprès à son droit de rétractation.

En conséquence, lorsque l'Utilisateur active, pendant le délai de rétractation de quatorze (14) jours, une fonctionnalité de Synchronisation Étendue entraînant une altération substantielle de sa Boîte Tierce (notamment : tri automatique avec répercussion sur la Boîte Tierce, désabonnement automatisé de mailing lists, archivage miroir programmé), il est considéré, après consentement explicite affiché à l'écran au moment du clic d'activation, comme ayant expressément renoncé à son droit de rétractation pour cette action pleinement exécutée.

7.3 Information préalable au clic

Au moment où l'Utilisateur active une Synchronisation Étendue pendant le délai de rétractation de quatorze (14) jours, un message non dissimulé et non dismissible s'affiche à l'écran avec le contenu suivant :

« Activer cette synchronisation déclenche des actions irréversibles sur votre boîte email. Conformément à l'article L221-28 du Code de la consommation, en cliquant sur "Activer", vous renoncez expressément à votre droit de rétractation de 14 jours pour cette action pleinement exécutée. Cette renonciation est limitée à la présente action de synchronisation et ne remet pas en cause votre droit de résiliation ultérieur (CGV article 8). »

L'Utilisateur doit cocher une case de confirmation « J'ai lu et je renonce expressément à mon droit de rétractation pour cette action » avant validation. La confirmation est journalisée (date, heure, IP, agent utilisateur) et conservée 5 ans.

7.4 Limitation

La renonciation au droit de rétractation de l'Article 7.2 est limitée à la ou aux actions de Synchronisation Étendue effectivement activées. Elle ne s'étend pas :

• Aux autres fonctionnalités du service non encore activées ;
• Au droit de résiliation de l'abonnement pour l'avenir (CGV article 8) ;
• À la garantie satisfait ou remboursé de 30 jours et au droit de rétractation (CGV articles 6 et 7).

7.5 Précision V1

En V1, aucune Synchronisation Étendue n'est disponible (cf. Article 8). Le présent Article 7 entrera en vigueur opérationnellement à compter de la mise à disposition des Synchronisations Étendues en version V1.1.

---

Article 8. Doctrine de non-altération V1

8.1 Principe de non-altération par défaut

Dans sa version actuelle (V1), le service Omnysia adopte un principe de non-altération par défaut des données hébergées par les services tiers connectés (Gmail, Microsoft Outlook, calendriers Google et Microsoft, comptes IMAP génériques, ou autres via connecteur Unipile). Omnysia lit, analyse et affiche ces données au sein de son interface, mais ne modifie pas la structure de la Boîte Tierce (étiquettes, dossiers, statuts lu/non-lu, archivage) en dehors des cas où l'Utilisateur déclenche manuellement et explicitement une action depuis l'interface Omnysia.

Ce principe a pour finalité :

1. De préserver l'intégrité de l'environnement email de l'Utilisateur en cas de résiliation du service, conformément au droit de rétractation (CGV article 7) ;
2. De minimiser la surface d'écriture d'Omnysia sur les données tierces, conformément au principe de minimisation (art. 5.1.c RGPD) ;
3. De garantir la réversibilité totale de l'usage du service à tout moment.

Les classifications, marquages, priorités Kanban et analyses générés par Omnysia sont stockés au sein de la base de données Omnysia (Données Omnysia-Only) sans répercussion sur la Boîte Tierce.

8.2 Actions répercutées en V1

Les actions suivantes, lorsqu'elles sont déclenchées par l'Utilisateur par un clic explicite dans l'interface Omnysia, sont répercutées sur la Boîte Tierce :

1. Envoi d'email : tout email rédigé dans Omnysia et envoyé par clic explicite de l'Utilisateur part via le service tiers (Unipile vers Gmail / Microsoft / IMAP), avec copie dans les éléments envoyés de la Boîte Tierce ;
2. Création, modification et suppression d'événement de calendrier : les événements créés depuis Omnysia sont répercutés sur le calendrier tiers. Cette exception est détaillée à l'Article 8.4.

8.3 Actions interdites à jamais

Les altérations suivantes sont exclues du service Omnysia, en V1 et dans toute version ultérieure, sauf refonte expresse soumise à nouvelle acceptation des CGU :

1. Suppression automatique d'emails sans action humaine explicite per-email : toute suppression d'email dans la Boîte Tierce requiert un clic explicite de l'Utilisateur sur l'email concerné ;
2. Envoi automatique de réponses sans validation humaine : tout email envoyé depuis Omnysia requiert un clic explicite de l'Utilisateur, avec affichage préalable du contenu intégral du message. Omnysia ne déploie pas de capacité d'envoi autonome ni de répondeur automatique IA.

Ces deux exclusions sont fondées sur la nécessité d'éviter toute décision automatisée produisant des effets juridiques ou significatifs au sens de l'article 22 du RGPD (perte de données, engagement contractuel par email).

8.4 Exception applicable aux calendriers

Par dérogation à l'Article 8.1, et en raison de la nature intrinsèquement partagée et synchrone des données calendaires (participants externes, invitations, notifications), les actions suivantes relatives aux événements de calendrier sont répercutées par défaut sur le service tiers connecté :

• Création d'un événement initiée par l'Utilisateur depuis Omnysia ;
• Modification d'un événement créé depuis Omnysia ;
• Suppression d'un événement créé depuis Omnysia.

Omnysia ne modifie jamais, en aucune circonstance, les événements de calendrier qui préexistaient à la connexion du compte ou qui ont été créés en dehors d'Omnysia, sauf action manuelle et explicite de l'Utilisateur dans l'interface Omnysia.

L'Utilisateur est informé de cette exception lors de la connexion de son calendrier via un message explicite de l'interface d'onboarding. Il peut refuser cette connexion, auquel cas les fonctionnalités calendaires d'Omnysia sont inopérantes sans que cela affecte les autres fonctionnalités du service.

8.5 Limitations applicables aux comptes IMAP génériques

Les Utilisateurs connectant une Boîte Tierce via le protocole IMAP générique (hors Google Workspace, Microsoft 365 ou iCloud) sont informés que, dans la version V1 du service :

• Les fonctionnalités de calendrier ne sont pas disponibles pour ces comptes ;
• Les fonctionnalités liées aux méta-emails (classifications, Kanban, priorités IA) sont disponibles normalement ;
• Les Synchronisations Étendues futures (V1.1) pourront être indisponibles ou limitées en raison de la variabilité des implémentations IMAP.

Omnysia s'engage à informer explicitement l'Utilisateur, lors de l'onboarding et dans les paramètres, de toute limitation applicable à son compte spécifique.

8.6 Synchronisations Étendues (V1.1 et ultérieures)

À compter de la version V1.1 du service (non disponible à la date d'entrée en vigueur des présentes), Omnysia mettra à disposition une section dédiée dans les Paramètres intitulée "Synchronisations Étendues", permettant à l'Utilisateur d'activer, de manière granulaire et révocable à tout moment, une ou plusieurs synchronisations entre Omnysia et la Boîte Tierce (par exemple : archivage miroir, synchronisation d'étiquettes, désabonnement automatisé de mailing lists).

Chaque Synchronisation Étendue activée constitue un traitement de données personnelles distinct fondé sur le consentement explicite et éclairé de l'Utilisateur au sens de l'article 6.1.a du RGPD. L'Utilisateur peut retirer ce consentement à tout moment depuis la même section des Paramètres, sans condition de préavis. Le retrait du consentement n'a pas d'effet rétroactif sur les actions déjà répercutées.

L'activation d'une Synchronisation Étendue pendant le délai de rétractation de 14 jours entraîne renonciation au droit de rétractation pour cette action pleinement exécutée, dans les conditions prévues à l'Article 7.

8.7 Droit d'intervention humaine et journal d'activité IA

Conformément à l'article 22.3 du RGPD, dès qu'une Synchronisation Étendue sera activée (V1.1+), l'Utilisateur disposera :

1. D'un droit de révocation de toute synchronisation avec effet immédiat depuis les Paramètres ;
2. D'un droit d'intervention humaine via le "Journal d'activité IA" accessible depuis les Paramètres, permettant de consulter chaque action répercutée sur la Boîte Tierce et d'annuler individuellement chaque action dans la limite de quatre-vingt-dix (90) jours à compter de l'action ;
3. D'un droit de contestation de toute action automatisée à privacy@omnysia.fr, avec engagement de réponse sous 72 heures ouvrées.

En cas de résiliation du service ou de révocation de la connexion Unipile, Omnysia cesse immédiatement toute Synchronisation Étendue active, sans action destructive complémentaire sur la Boîte Tierce.

---

Article 9. Sous-traitants et destinataires des données

Omnysia fait appel à des sous-traitants pour la fourniture du service, avec lesquels des accords de sous-traitance conformes à l'article 28 du RGPD sont conclus ou en cours de finalisation ; un registre interne de ces accords est tenu et peut être consulté sur demande.

La liste à jour des sous-traitants (identité, rôle, localisation du traitement et garanties de transfert) est tenue à l'Article 6 de la Politique de confidentialité, qui constitue la source unique de ce registre. Elle comprend notamment : l'hébergeur (Hostinger, données en France), le fournisseur d'intelligence artificielle (Anthropic), le connecteur emails et calendriers (Unipile), les services vocaux (Deepgram, Cartesia), le prestataire de paiement (Stripe), l'envoi d'emails transactionnels (Resend), la supervision technique (Sentry), la mesure d'audience soumise à consentement (PostHog) et la plateforme de facturation électronique immatriculée (CGV article 9).

9.1 Mise à jour de la liste

Toute modification substantielle de la liste des sous-traitants (ajout d'un nouveau sous-traitant traitant des données personnelles) fait l'objet d'une information préalable aux Utilisateurs avec un préavis de 15 jours permettant de s'opposer à ce changement conformément à l'article 28.2 du RGPD, étant entendu qu'un refus de ce changement peut conduire à la résiliation de l'abonnement.

9.2 Absence de vente de données

Omnysia ne vend pas, ne loue pas et ne communique pas les données personnelles de ses Utilisateurs ou des Correspondants à des tiers à des fins commerciales, publicitaires ou de marketing. Les données sont exclusivement utilisées pour la fourniture du service.

9.3 Engagements spécifiques relatifs à l'IA

Le sous-traitant Anthropic (fournisseur du modèle de langage) est engagé contractuellement à ne pas réutiliser les données envoyées via API pour entraîner ses modèles, conformément à sa politique API en vigueur.

---

Article 10. Transferts de données hors de l'Union européenne

10.1 Transferts réalisés

Certaines données personnelles sont transférées hors de l'Union européenne dans le cadre du traitement par les sous-traitants listés à l'Article 6 de la Politique de confidentialité. Le pays de destination est : États-Unis (Anthropic, Cartesia, Deepgram, Stripe partiellement, Resend partiellement, Google partiellement).

10.2 Garanties de transfert

Tous les transferts hors UE vers les États-Unis sont encadrés par l'une ou plusieurs des garanties suivantes :

1. Data Privacy Framework (DPF) UE-USA : décision d'adéquation de la Commission européenne du 10 juillet 2023. Les sous-traitants inscrits au DPF offrent un niveau de protection équivalent au RGPD ; la certification de chaque sous-traitant concerné est vérifiable sur https://www.dataprivacyframework.gov ;
2. Clauses Contractuelles Types (SCC) adoptées par la Commission européenne (décision 2021/914) : incorporées dans les DPA lorsque la certification DPF n'est pas applicable ou en complément de celle-ci ;
3. Mesures supplémentaires : chiffrement en transit (TLS 1.3), minimisation des données transférées, pseudonymisation lorsque possible, audit des sous-traitants.

10.3 Hébergement principal dans l'UE

L'hébergement de la base de données Omnysia est réalisé en France par Hostinger (serveur KVM 2, localisation Paris). L'ensemble des données persistantes (comptes, métadonnées Omnysia-Only, documents, journaux) est stocké en France. Les transferts hors UE sont limités aux flux de traitement IA et de communication temps réel.

---

Article 11. Sécurité et notification des violations

11.1 Mesures techniques et organisationnelles

Conformément à l'article 32 du RGPD, Omnysia met en œuvre les mesures suivantes :

1. Chiffrement au repos : tokens OAuth et secrets chiffrés en AES-256-GCM ; base de données PostgreSQL 17 avec chiffrement transparent ;
2. Chiffrement en transit : toutes communications en TLS 1.3 (HTTPS), versions TLS 1.0 et 1.1 désactivées ;
3. Isolation multi-tenant : architecture multi-tenant avec filtrage obligatoire par `tenantId` au niveau applicatif et vérification de clé composite (clé primaire + tenantId) à chaque requête ;
4. Contrôle d'accès basé sur les rôles (RBAC) : Owner / Admin / Member avec droits granulaires ;
5. Mots de passe : hashage argon2 (recommandation ANSSI), sel unique par utilisateur, aucun accès en clair côté serveur ;
6. Journalisation et audit : toutes actions critiques tracées (horodatage, utilisateur, IP, agent) dans un audit trail sécurisé non modifiable ;
7. Sauvegardes chiffrées : sauvegardes automatisées chiffrées avec rotation 30 jours et tests de restauration mensuels ;
8. Protection anti-bruteforce : fail2ban, rate limiting, verrouillage après tentatives répétées ;
9. Monitoring continu : surveillance en temps réel des ressources serveur (processeur, mémoire, disque, réseau) et supervision des erreurs applicatives, avec alertes en cas d'anomalie.

11.2 Notification de violation

En cas de violation de données personnelles au sens de l'article 4.12 du RGPD (fuite, accès non autorisé, perte, destruction accidentelle ou illicite), Omnysia s'engage à :

1. Notifier la CNIL dans un délai de soixante-douze (72) heures à compter de la prise de connaissance de la violation, conformément à l'article 33 du RGPD ;
2. Informer les personnes concernées dans les meilleurs délais si la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés, conformément à l'article 34 du RGPD ;
3. Documenter la violation dans le registre interne des violations et mettre en œuvre les mesures correctives nécessaires.

11.3 Signalement par les Utilisateurs

Tout Utilisateur constatant une faille de sécurité ou un incident susceptible de constituer une violation est invité à le signaler sans délai à privacy@omnysia.fr. Omnysia s'engage à accuser réception sous 72 heures et à enquêter diligemment.

---

Article 12. Modifications des CGU

12.1 Droit de modification

Omnysia se réserve le droit de modifier les présentes CGU pour les adapter aux évolutions du service, de la législation ou de la jurisprudence.

12.2 Notification

Toute modification substantielle est notifiée aux Utilisateurs par email au moins trente (30) jours avant son entrée en vigueur. Les modifications mineures (corrections typographiques, clarifications sans impact sur les droits et obligations) peuvent être effectuées sans notification, avec mise à jour de la date de dernière révision.

12.3 Acceptation

L'utilisation continue du service après l'entrée en vigueur des CGU modifiées vaut acceptation des nouvelles conditions. En cas de refus, l'Utilisateur peut résilier son abonnement sans frais ni pénalité conformément aux CGV. Les modifications des sous-traitants ou des transferts hors UE font l'objet d'un droit d'opposition spécifique prévu à l'Article 9.1.

12.4 Historique des versions

La date de dernière mise à jour est indiquée en tête du présent document. Les versions antérieures sont disponibles sur demande à contact@omnysia.fr.

---

Article 13. Droit applicable et juridiction compétente

13.1 Droit applicable

Les présentes CGU sont soumises au droit français. La langue de référence est le français ; toute traduction est fournie à titre informatif et ne fait pas foi.

13.2 Résolution amiable

En cas de litige relatif à l'interprétation ou à l'application des présentes CGU, les parties s'engagent à rechercher une résolution amiable préalablement à toute action judiciaire. L'Utilisateur peut adresser sa réclamation à contact@omnysia.fr ou à privacy@omnysia.fr pour un sujet RGPD. Omnysia s'engage à répondre dans un délai de 30 jours.

13.3 Médiation de la consommation

Conformément aux articles L612-1 et suivants du Code de la consommation, l'Utilisateur consommateur peut recourir gratuitement au service de médiation de la consommation. Le médiateur est en cours de désignation : l'organisme, ses coordonnées et son site web seront publiés dans la présente section avant la première vente à un particulier (voir CGV article 21.3).

13.4 Juridiction compétente

À défaut de résolution amiable, tout litige sera soumis :

• Pour les Utilisateurs consommateurs : à la juridiction du lieu de résidence du demandeur ou du domicile du défendeur, au choix du demandeur, conformément au droit consumériste français ;
• Pour les Utilisateurs professionnels : à la compétence exclusive des tribunaux du ressort du siège social d'Omnysia, sauf dispositions légales impératives contraires.

---

Dispositions finales

Intégralité

Les présentes CGU, conjointement avec les CGV, la Politique de confidentialité et la Politique de cookies, constituent l'ensemble de l'accord entre l'Utilisateur et Omnysia concernant l'utilisation du service.

Nullité partielle

Si l'une des stipulations des présentes CGU est déclarée nulle ou inapplicable, les autres stipulations demeurent en vigueur.

Renonciation

Le fait pour Omnysia de ne pas exercer un droit prévu par les présentes CGU ne constitue pas une renonciation à ce droit.

Cession

L'Utilisateur ne peut céder ses droits et obligations au titre des présentes CGU sans l'accord préalable écrit d'Omnysia.

---

Omnysia · Warren-Georges Maunier, auto-entrepreneur SIRET : 99537687800014 Adresse : 12 rue de la Part-Dieu, 69003 Lyon, France (siège domicilié auprès de Hellodom, SASU, agrément préfectoral n° DOM2022019) Contact : contact@omnysia.fr | Vie privée : privacy@omnysia.fr Sites : omnysia.fr | app.omnysia.fr TVA non applicable, article 293 B du Code général des impôts.