Politique de confidentialité

Version du 11 octobre 2026. Phase de test (pilote sur invitation) : ce texte sera relu par un juriste avant tout recrutement ouvert, et chaque nouvelle version te sera présentée pour que tu l'acceptes.

ELI est un copilote cognitif auto-hébergé : tes données vivent sur la machine qui fait tourner ELI, pas dans un cloud.

Qui est responsable de tes données

Le responsable du traitement est G.ECO (à compléter), qui exploite ce serveur ELI. Adresse postale : à compléter. Site : www.gecolab.fr. Pour toute question sur tes données ou pour exercer tes droits, écris à contact@gecolab.fr.

Ce qu'ELI est — et n'est pas

ELI est une IA : quand il te répond, c'est un programme qui écrit, pas une personne.

ELI est un outil d'aide à l'organisation et de compensation des fonctions exécutives. Il ne fournit pas de soin, de diagnostic ni d'avis médical, et ne remplace pas un suivi par un professionnel de santé. ELI adapte son ton et son rythme à ta façon de fonctionner, telle que tu la lui décris, et selon les préférences qu'il te propose et que tu valides.

Ce qu'ELI enregistre

Ton identifiant Telegram, et ton prénom et ton nom tels que Telegram les transmet ; ce que tu lui confies (messages, vocaux transcrits, photos et documents lus), les tâches, notes et rappels qui en découlent, tes réglages ; la version des textes que tu as acceptée, avec sa date et son canal ; et — si tu connectes Google — des jetons d'accès chiffrés qui lui permettent de lire ton agenda et tes e-mails, et d'écrire seulement dans l'agenda qu'il crée pour toi si tu allumes la synchronisation. Selon ce que tu utilises : ton adresse e-mail et ton identifiant de connexion (le mot de passe n'est gardé que sous forme hachée), ton numéro WhatsApp, les lieux et adresses que tu lui donnes, ton carnet de contacts, les messages reçus pour toi par le Secrétariat, ta voix si tu l'enregistres, et un journal technique des connexions. Ce que tu écris librement peut parler de ta santé (un rendez-vous médical, par exemple) : ELI le garde comme le reste, sur le serveur, sans jamais l'envoyer à un service extérieur.

Pourquoi, et sur quelle base légale

• Te rendre le service (ranger ce que tu confies, te rappeler, te répondre, synchroniser ce que tu as relié) : l'exécution des conditions d'utilisation que tu acceptes (RGPD, art. 6.1.b).
• Ce qui touche à ta santé : ton consentement explicite (art. 9.2.a) — en acceptant, pour ce que tu écris toi-même et qui en parle ; par un accord séparé, que tu peux refuser, pour les cases de « Ton fonctionnement ». Tu peux le retirer à tout moment : en supprimant ce qui en parle, avec « Retirer » dans Ton fonctionnement, ou en effaçant tout avec /supprimer.
• Les sondages et la recherche, s'ils sont ouverts : ton consentement (art. 6.1.a), facultatif et retirable.
• La sécurité du service (journaux techniques, prévention des abus, accès d'urgence en cas d'incident) : l'intérêt légitime de G.ECO à faire fonctionner ELI sans danger (art. 6.1.f).
• Garder la preuve de ton acceptation : l'intérêt légitime de G.ECO à pouvoir la montrer (art. 6.1.f) ; répondre à une réquisition : une obligation légale (art. 6.1.c).

Ce qu'ELI ne fait jamais

Par défaut, l'intelligence d'ELI (classification, réponses, tri des urgences mail) tourne en local, sur le serveur. Pas de publicité, pas de revente, pas de partage. Les messages évoquant une détresse grave reçoivent une réponse fixe et leur contenu n'est jamais gardé.

Si l'administrateur les allume (ils sont éteints au départ) : la météo envoie le nom d'une ville (ou un point à ~10 km près) à Open-Meteo ; la recherche sur internet envoie ta question à quelques moteurs (Qwant, Mojeek, DuckDuckGo, Brave, Wikipédia) — jamais si elle contient un nom, une coordonnée ou de la santé ; l'IA distante (que tu dois aussi allumer toi-même) reçoit tes questions avec les noms et coordonnées masqués, et jamais ce qui parle de santé — chez un seul fournisseur, en France/UE ou hors UE selon le choix de l'administrateur (voir le registre ci-dessous).

Qui reçoit quoi (registre des sous-traitants)

La liste complète des services extérieurs qu'ELI sait appeler, tenue à jour depuis le code. « Allumé » = activé sur ce serveur aujourd'hui. Aucun ne reçoit ce qui parle de santé. L'IA distante n'utilise qu'un fournisseur à la fois, choisi par l'administrateur.

IA distante

• Mistral AI — France (UE) · éteint
  Pour : Réponses de conversation plus riches que le modèle local. Reçoit : La question et le contexte de conversation, noms, e-mails, numéros et adresses remplacés par des jetons ; jamais ce qui parle de santé. Base légale : Consentement (art. 6.1.a RGPD) : allumé par l'admin PUIS par chaque personne pour elle. Garanties : Mistral AI SAS ; pseudonymisation DataShield ; clé chiffrée. Activé par : Capacité « IA distante » + fournisseur choisi par l'admin (un seul à la fois).
• Scaleway Generative APIs — France (UE) · éteint
  Pour : Réponses de conversation plus riches que le modèle local. Reçoit : La question et le contexte de conversation, noms, e-mails, numéros et adresses remplacés par des jetons ; jamais ce qui parle de santé. Base légale : Consentement (art. 6.1.a RGPD) : allumé par l'admin PUIS par chaque personne pour elle. Garanties : Scaleway SAS ; pseudonymisation DataShield ; clé chiffrée. Activé par : Capacité « IA distante » + fournisseur choisi par l'admin (un seul à la fois).
• OVHcloud AI Endpoints — France (UE) · éteint
  Pour : Réponses de conversation plus riches que le modèle local. Reçoit : La question et le contexte de conversation, noms, e-mails, numéros et adresses remplacés par des jetons ; jamais ce qui parle de santé. Base légale : Consentement (art. 6.1.a RGPD) : allumé par l'admin PUIS par chaque personne pour elle. Garanties : OVH SAS ; pseudonymisation DataShield ; clé chiffrée. Activé par : Capacité « IA distante » + fournisseur choisi par l'admin (un seul à la fois).
• Azure OpenAI — région choisie par l'admin (hors profil souverain) · éteint
  Pour : Réponses de conversation plus riches que le modèle local. Reçoit : La question et le contexte de conversation, noms, e-mails, numéros et adresses remplacés par des jetons ; jamais ce qui parle de santé. Base légale : Consentement (art. 6.1.a RGPD) : allumé par l'admin PUIS par chaque personne pour elle. Garanties : Microsoft Ireland Operations Ltd ; pseudonymisation DataShield ; clé chiffrée ; Région et type de déploiement choisis par l'admin : un déploiement « Standard » régional dans l'UE est requis (pas « Global », qui peut traiter partout) ; surveillance des abus possible, avec conservation jusqu'à 30 jours ; Hors UE : transfert (art. 44 s. RGPD) — DPF ou clauses contractuelles types à vérifier. Activé par : Capacité « IA distante » + fournisseur choisi par l'admin (un seul à la fois).
• OpenAI — États-Unis (hors UE) · éteint
  Pour : Réponses de conversation plus riches que le modèle local. Reçoit : La question et le contexte de conversation, noms, e-mails, numéros et adresses remplacés par des jetons ; jamais ce qui parle de santé. Base légale : Consentement (art. 6.1.a RGPD) : allumé par l'admin PUIS par chaque personne pour elle. Garanties : OpenAI (OpenAI Ireland Ltd pour l'UE) ; pseudonymisation DataShield ; clé chiffrée ; Pas d'entraînement sur les données de l'API par défaut ; conservation jusqu'à 30 jours (surveillance des abus) ; Hors UE : transfert (art. 44 s. RGPD) — DPF ou clauses contractuelles types à vérifier. Activé par : Capacité « IA distante » + fournisseur choisi par l'admin (un seul à la fois).
• Anthropic (Claude) — États-Unis (hors UE) · allumé
  Pour : Réponses de conversation plus riches que le modèle local. Reçoit : La question et le contexte de conversation, noms, e-mails, numéros et adresses remplacés par des jetons ; jamais ce qui parle de santé. Base légale : Consentement (art. 6.1.a RGPD) : allumé par l'admin PUIS par chaque personne pour elle. Garanties : Anthropic PBC ; pseudonymisation DataShield ; clé chiffrée ; Pas d'entraînement sur les données de l'API par défaut ; conservation jusqu'à 30 jours (surveillance des abus) ; Hors UE : transfert (art. 44 s. RGPD) — DPF ou clauses contractuelles types à vérifier. Activé par : Capacité « IA distante » + fournisseur choisi par l'admin (un seul à la fois).
• Google Gemini — États-Unis (hors UE) · éteint
  Pour : Réponses de conversation plus riches que le modèle local. Reçoit : La question et le contexte de conversation, noms, e-mails, numéros et adresses remplacés par des jetons ; jamais ce qui parle de santé. Base légale : Consentement (art. 6.1.a RGPD) : allumé par l'admin PUIS par chaque personne pour elle. Garanties : Google LLC ; pseudonymisation DataShield ; clé chiffrée ; Clé d'un projet Google Cloud AVEC facturation obligatoire : sur le palier gratuit, Google peut utiliser les contenus pour améliorer ses produits ; Hors UE : transfert (art. 44 s. RGPD) — DPF ou clauses contractuelles types à vérifier. Activé par : Capacité « IA distante » + fournisseur choisi par l'admin (un seul à la fois).
• OpenRouter — États-Unis (relais) ; hébergeur du modèle : pays variable (hors UE) · éteint
  Pour : Réponses de conversation plus riches que le modèle local. Reçoit : La question et le contexte de conversation, noms, e-mails, numéros et adresses remplacés par des jetons ; jamais ce qui parle de santé. Base légale : Consentement (art. 6.1.a RGPD) : allumé par l'admin PUIS par chaque personne pour elle. Garanties : OpenRouter Inc. ; pseudonymisation DataShield ; clé chiffrée ; Relais vers l'hébergeur du modèle choisi, qui est un sous-traitant ultérieur (pays variable) ; modèles DeepSeek et MiniMax refusés ; Hors UE : transfert (art. 44 s. RGPD) — DPF ou clauses contractuelles types à vérifier. Activé par : Capacité « IA distante » + fournisseur choisi par l'admin (un seul à la fois).
• Groq — États-Unis (hors UE) · éteint
  Pour : Réponses de conversation plus riches que le modèle local. Reçoit : La question et le contexte de conversation, noms, e-mails, numéros et adresses remplacés par des jetons ; jamais ce qui parle de santé. Base légale : Consentement (art. 6.1.a RGPD) : allumé par l'admin PUIS par chaque personne pour elle. Garanties : Groq Inc. ; pseudonymisation DataShield ; clé chiffrée ; Hors UE : transfert (art. 44 s. RGPD) — DPF ou clauses contractuelles types à vérifier. Activé par : Capacité « IA distante » + fournisseur choisi par l'admin (un seul à la fois).
• Cerebras — États-Unis (hors UE) · éteint
  Pour : Réponses de conversation plus riches que le modèle local. Reçoit : La question et le contexte de conversation, noms, e-mails, numéros et adresses remplacés par des jetons ; jamais ce qui parle de santé. Base légale : Consentement (art. 6.1.a RGPD) : allumé par l'admin PUIS par chaque personne pour elle. Garanties : Cerebras Systems Inc. ; pseudonymisation DataShield ; clé chiffrée ; Hors UE : transfert (art. 44 s. RGPD) — DPF ou clauses contractuelles types à vérifier. Activé par : Capacité « IA distante » + fournisseur choisi par l'admin (un seul à la fois).
• Serveur compatible OpenAI — selon le serveur (région inconnue) · éteint
  Pour : Réponses de conversation plus riches que le modèle local. Reçoit : La question et le contexte de conversation, noms, e-mails, numéros et adresses remplacés par des jetons ; jamais ce qui parle de santé. Base légale : Consentement (art. 6.1.a RGPD) : allumé par l'admin PUIS par chaque personne pour elle. Garanties : l'exploitant du serveur saisi ; pseudonymisation DataShield ; clé chiffrée ; Hors UE : transfert (art. 44 s. RGPD) — DPF ou clauses contractuelles types à vérifier. Activé par : Capacité « IA distante » + fournisseur choisi par l'admin (un seul à la fois).

Services internet

• Open-Meteo — Suisse (hors UE) · allumé
  Pour : Météo (« quel temps demain à Cayenne ? »). Reçoit : Le nom d'une ville, ou une position arrondie à ~10 km ; jamais le message. Base légale : Exécution du service demandé par la personne (art. 6.1.b RGPD). Garanties : Service sans compte ; Suisse : décision d'adéquation de la Commission européenne. Activé par : Capacités « Internet » et « Météo ».
• Qwant — France (UE) · allumé
  Pour : Recherche sur internet (« cherche-moi… »), par le relais SearXNG du serveur. Reçoit : La question seule, depuis l'adresse du serveur ; jamais si elle contient un nom, une coordonnée ou de la santé. Base légale : Exécution du service demandé par la personne (art. 6.1.b RGPD). Garanties : Relais auto-hébergé (aucun compte, aucun cookie). Activé par : Capacités « Internet » et « Recherche sur internet ».
• Mojeek — Royaume-Uni (hors UE) · allumé
  Pour : Recherche sur internet (« cherche-moi… »), par le relais SearXNG du serveur. Reçoit : La question seule, depuis l'adresse du serveur ; jamais si elle contient un nom, une coordonnée ou de la santé. Base légale : Exécution du service demandé par la personne (art. 6.1.b RGPD). Garanties : Relais auto-hébergé (aucun compte, aucun cookie) ; Hors UE : transfert (art. 44 s. RGPD) — DPF ou clauses contractuelles types à vérifier. Activé par : Capacités « Internet » et « Recherche sur internet ».
• DuckDuckGo — États-Unis (hors UE) · allumé
  Pour : Recherche sur internet (« cherche-moi… »), par le relais SearXNG du serveur. Reçoit : La question seule, depuis l'adresse du serveur ; jamais si elle contient un nom, une coordonnée ou de la santé. Base légale : Exécution du service demandé par la personne (art. 6.1.b RGPD). Garanties : Relais auto-hébergé (aucun compte, aucun cookie) ; Hors UE : transfert (art. 44 s. RGPD) — DPF ou clauses contractuelles types à vérifier. Activé par : Capacités « Internet » et « Recherche sur internet ».
• Brave Search — États-Unis (hors UE) · allumé
  Pour : Recherche sur internet (« cherche-moi… »), par le relais SearXNG du serveur. Reçoit : La question seule, depuis l'adresse du serveur ; jamais si elle contient un nom, une coordonnée ou de la santé. Base légale : Exécution du service demandé par la personne (art. 6.1.b RGPD). Garanties : Relais auto-hébergé (aucun compte, aucun cookie) ; Hors UE : transfert (art. 44 s. RGPD) — DPF ou clauses contractuelles types à vérifier. Activé par : Capacités « Internet » et « Recherche sur internet ».
• Wikipédia (Wikimedia Foundation) — États-Unis (hors UE) · allumé
  Pour : Recherche sur internet (« cherche-moi… »), par le relais SearXNG du serveur. Reçoit : La question seule, depuis l'adresse du serveur ; jamais si elle contient un nom, une coordonnée ou de la santé. Base légale : Exécution du service demandé par la personne (art. 6.1.b RGPD). Garanties : Relais auto-hébergé (aucun compte, aucun cookie) ; Hors UE : transfert (art. 44 s. RGPD) — DPF ou clauses contractuelles types à vérifier. Activé par : Capacités « Internet » et « Recherche sur internet ».
• Wikidata (Wikimedia Foundation) — États-Unis (hors UE) · allumé
  Pour : Recherche sur internet (« cherche-moi… »), par le relais SearXNG du serveur. Reçoit : La question seule, depuis l'adresse du serveur ; jamais si elle contient un nom, une coordonnée ou de la santé. Base légale : Exécution du service demandé par la personne (art. 6.1.b RGPD). Garanties : Relais auto-hébergé (aucun compte, aucun cookie) ; Hors UE : transfert (art. 44 s. RGPD) — DPF ou clauses contractuelles types à vérifier. Activé par : Capacités « Internet » et « Recherche sur internet ».
• Sites consultés à la demande (« résume ce lien ») — Pays du site (variable) · allumé
  Pour : Lire et résumer la page dont la personne a donné l'adresse. Reçoit : L'adresse de la page, depuis l'adresse du serveur ; jamais le message ni le nom ; jamais une adresse dont les paramètres portent un nom ou une coordonnée. Base légale : Exécution du service demandé par la personne (art. 6.1.b RGPD). Garanties : Aucun compte, aucun cookie gardé ; réseau interne refusé ; page lue et résumée sur le serveur (modèle local). Activé par : Capacités « Internet » et « Lire une page ».
• Annuaire de l'administration (DILA, service-public.fr) et geo.api.gouv.fr (Etalab) — France (UE) · allumé
  Pour : Téléphone, adresse et horaires d'un organisme public (« le numéro de la mairie de … »). Reçoit : Le type d'organisme et le nom ou le code officiel de la commune ; jamais le message, jamais un nom de personne, rien de santé. Base légale : Exécution du service demandé par la personne (art. 6.1.b RGPD). Garanties : Services publics sans compte ; données sous Licence Ouverte, source citée. Activé par : Capacités « Internet » et « Organismes publics (annuaire) » (geo.api.gouv.fr aussi pour « Commerces et artisans »).
• Annuaire des entreprises (recherche-entreprises.api.gouv.fr, DINUM) — France (UE) · allumé
  Pour : SIREN/SIRET, activité, siège et dirigeants d'une entreprise (registre public). Reçoit : La raison sociale ou le numéro SIREN/SIRET dits par la personne ; jamais le message, jamais un nom de personne, rien de santé. Base légale : Exécution du service demandé par la personne (art. 6.1.b RGPD). Garanties : Service public sans compte ; données INSEE Sirene / RNE sous Licence Ouverte. Activé par : Capacités « Internet » et « Entreprises (SIRET, dirigeants) ».
• OpenStreetMap — Overpass (instance publique, puis le miroir public kumi.systems si elle ne répond pas — AFFICHE-1 ; ou miroir réglé par l'admin) — Union européenne (UE) · allumé
  Pour : Commerces et artisans autour d'une commune (« un plombier à Matoury »). Reçoit : Les étiquettes du métier et un point (centre de la commune, ou domicile arrondi à ~1 km) ; jamais le message, jamais un nom de personne, rien de santé. Base légale : Exécution du service demandé par la personne (art. 6.1.b RGPD). Garanties : Service sans compte ; données ODbL, attribution « © les contributeurs d'OpenStreetMap ». Activé par : Capacités « Internet » et « Commerces et artisans (OpenStreetMap) ».
• franceinfo (flux « Les titres ») — France (UE) · allumé
  Pour : Les titres de l'actualité, avec leur lien. Reçoit : Aucune donnée : la lecture d'un flux public, depuis l'adresse du serveur. Base légale : Exécution du service demandé par la personne (art. 6.1.b RGPD). Garanties : Titres et liens seulement (CGU) ; aucun compte, aucun cookie. Activé par : Capacités « Internet » et « Actualités » (un lieu passe par la recherche web, si elle est allumée).
• Wikipédia en français (Wikimedia Foundation, API REST) — États-Unis (UE) · allumé
  Pour : Le début d'un article et son lien (« c'est qui … ? », « le bagne a fermé quand ? »). Reçoit : Le sujet de la question (un titre, un lieu, une personnalité publique) ; jamais le message, jamais un nom de personne, rien de santé. Base légale : Exécution du service demandé par la personne (art. 6.1.b RGPD). Garanties : Service sans compte ; textes sous licence CC BY-SA, article cité avec son lien. Activé par : Capacités « Internet » et « Culture générale (Wikipédia) ».
• MusicBrainz (MetaBrainz Foundation) — États-Unis (UE) · allumé
  Pour : Titre, artiste, année et album d'une chanson (« tu écoutes quoi ? »). Reçoit : Le titre et l'artiste dits par la personne ; jamais le message, jamais un nom de personne, rien de santé. Base légale : Exécution du service demandé par la personne (art. 6.1.b RGPD). Garanties : Service sans compte ; données CC0, une requête par seconde au plus. Activé par : Capacités « Internet » et « Musique (MusicBrainz) ».
• Open Library (Internet Archive) — États-Unis (UE) · allumé
  Pour : Auteur et année d'un livre (« tu lis quoi ? »). Reçoit : Le titre et l'auteur dits par la personne ; jamais le message, jamais un nom de personne, rien de santé. Base légale : Exécution du service demandé par la personne (art. 6.1.b RGPD). Garanties : Service sans compte ; données ouvertes, lien vers la fiche. Activé par : Capacités « Internet » et « Livres (Open Library) ».
• OpenStreetMap — Nominatim (OSMF) — Royaume-Uni (hors UE) · allumé
  Pour : Situer l'adresse d'un rendez-vous sur la carte (calcul du départ). Reçoit : L'adresse seule, depuis l'adresse du serveur ; jamais le titre, la personne ni le message ; rien si l'adresse cite quelqu'un, un numéro ou la santé. Base légale : Consentement (art. 6.1.a RGPD) : allumé par l'admin PUIS par chaque personne pour elle. Garanties : Service sans compte ; réponses gardées en cache 30 jours sur le serveur ; Royaume-Uni : décision d'adéquation de la Commission européenne. Activé par : Capacités « Internet » et « Situer les adresses » (chaque personne pour elle).

Connecteurs

• Google (Agenda, Gmail, connexion) — États-Unis (hors UE) · allumé
  Pour : Lire et écrire l'agenda, lire les e-mails urgents, se connecter avec Google. Reçoit : Ce que Google a déjà ; ELI y écrit les rendez-vous et tâches que la personne synchronise. Base légale : Exécution du service demandé par la personne (art. 6.1.b RGPD) — à la connexion de son compte par la personne. Garanties : Jetons chiffrés, révocables par /deconnectergoogle ; Hors UE : transfert (art. 44 s. RGPD) — DPF ou clauses contractuelles types à vérifier. Activé par : Identifiants OAuth posés par l'admin + connexion par chaque personne.
• Structured (agenda du jour, via son serveur MCP) — selon l'éditeur (à confirmer) (hors UE) · allumé
  Pour : Synchroniser les tâches avec l'application Structured. Reçoit : Titres, dates et durées des tâches synchronisées. Base légale : Exécution du service demandé par la personne (art. 6.1.b RGPD) — si la personne choisit « Direct MCP ». Garanties : Jetons chiffrés ; éteint par défaut pour chaque personne. Activé par : Réglage « Structured » de chaque personne.
• Hébergeur du coffre Obsidian de la personne (serveur WebDAV : Nextcloud…) — Celui que la personne a choisi (souvent son propre Nextcloud) (selon l'hébergeur de la personne) · éteint
  Pour : Écrire dans le dossier ELI/ de son coffre (journal du jour, tâches, notes) et lire les dossiers qu'elle choisit comme connaissances. Reçoit : Ses captures, tâches et notes en Markdown — jamais une crise, jamais la santé sans son choix ; les notes des dossiers choisis sont lues et gardées sur le serveur d'ELI. Base légale : Exécution du service demandé par la personne (art. 6.1.b RGPD) — au branchement de son coffre par la personne. Garanties : Connecteur approuvé par l'admin à l'empreinte de son manifeste (ADR-029) ; mot de passe d'application chiffré (Fernet), jamais réaffiché ; https seulement, adresse publique vérifiée et épinglée ; écriture limitée au dossier ELI/ ; transfert hors UE selon l'hébergeur choisi. Activé par : Capacité « Coffre Obsidian » + connecteur approuvé + coffre branché par la personne.

Canal de discussion

• Telegram — Émirats arabes unis (société), serveurs selon la région (hors UE) · allumé
  Pour : Échanger avec ELI par messages. Reçoit : Les messages échangés avec ELI (y compris vocaux et photos envoyés). Base légale : Exécution du service demandé par la personne (art. 6.1.b RGPD) — la personne choisit d'écrire à ELI sur Telegram. Garanties : Telegram est responsable de son propre traitement (pas un sous-traitant d'ELI). Activé par : Jeton du robot posé par l'admin.
• Meta (WhatsApp) — Irlande (Meta Platforms Ireland), serveurs hors UE possibles (hors UE) · éteint
  Pour : Échanger avec ELI sur WhatsApp ; recevoir et envoyer les messages du WhatsApp Business relié par la personne. Reçoit : Les messages échangés sur WhatsApp (ceux de la personne et, en coexistence, ceux de ses contacts et les réponses envoyées en son nom) — ils transitent forcément par Meta. Base légale : Consentement (art. 6.1.a RGPD) : allumé par l'admin PUIS par chaque personne pour elle. Garanties : Chiffrement de bout en bout jusqu'à l'infrastructure WhatsApp Business ; aucune rédaction par une IA distante, jamais pour la santé ; Hors UE : transfert (art. 44 s. RGPD) — DPF ou clauses contractuelles types à vérifier. Activé par : Capacités « ELI sur WhatsApp » / « ELI dans ton WhatsApp Business » + clé Kapso de l'admin.
• Kapso (relais WhatsApp) — États-Unis (hors UE) · éteint
  Pour : Relier le numéro WhatsApp (inscription Meta), relayer les messages entrants et envoyés. Reçoit : Les messages WhatsApp relayés et les numéros de téléphone — le contenu de santé n'est jamais envoyé à une IA, mais un message reste un message : il passe par le relais. Base légale : Consentement (art. 6.1.a RGPD) : allumé par l'admin PUIS par chaque personne pour elle. Garanties : Clé d'API chiffrée ; webhooks signés et vérifiés ; Hors UE : transfert (art. 44 s. RGPD) — DPF ou clauses contractuelles types à vérifier. Activé par : Capacités « ELI sur WhatsApp » / « ELI dans ton WhatsApp Business » + clé Kapso de l'admin.
• Fournisseur de messagerie du domaine (boîtes e-mail d'ELI) — Celui que l'admin a choisi pour le domaine (à indiquer au registre de l'instance) (selon le fournisseur du domaine) · éteint
  Pour : Recevoir les e-mails écrits à l'adresse d'assistant d'une personne et envoyer les réponses d'ELI (IMAP et SMTP chiffrés). Reçoit : Les e-mails reçus par l'adresse d'ELI (ceux des contacts de la personne) et ceux qu'ELI envoie en son nom — ils sont stockés chez le fournisseur comme tout e-mail ; rien n'est rédigé par une IA distante, jamais pour la santé. Base légale : Consentement (art. 6.1.a RGPD) : allumé par l'admin PUIS par chaque personne pour elle. Garanties : Identifiants chiffrés (Fernet), jamais réaffichés ; TLS obligatoire et certificat vérifié ; lecture seule de la boîte ; transfert hors UE selon le fournisseur choisi. Activé par : Capacité « Ton adresse e-mail d'assistant » + une boîte attribuée par l'admin.
• Google — Gmail (la boîte e-mail de la personne) — États-Unis (hors UE) · éteint
  Pour : Lire la boîte de réception de la personne et envoyer en son nom les réponses qu'elle valide (ou que ses règles prévoient, si elle l'a choisi). Reçoit : Les e-mails de la personne (en-têtes seulement par défaut ; le texte si elle le choisit) et ceux qu'ELI envoie de sa boîte ; rien n'est rédigé par une IA distante, jamais pour la santé. Base légale : Exécution du service demandé par la personne (art. 6.1.b RGPD) — à la connexion de sa boîte par la personne. Garanties : Jeton séparé de l'agenda, chiffré (Fernet), révocable (« Couper tout ») ; lecture seule (rien marqué lu, étiqueté ni supprimé) ; portées restreintes : vérification Google exigée au-delà de 100 utilisateurs ; Hors UE : transfert (art. 44 s. RGPD) — DPF ou clauses contractuelles types à vérifier. Activé par : Capacité « Ta propre boîte e-mail » + Gmail branché par la personne.
• Fournisseur de la boîte e-mail de la personne (IMAP / SMTP) — Celui que la personne a choisi (à indiquer au registre de l'instance) (selon le fournisseur de la personne) · éteint
  Pour : Lire la boîte de réception de la personne et envoyer en son nom les réponses qu'elle valide (ou que ses règles prévoient, si elle l'a choisi). Reçoit : Les e-mails de la personne (en-têtes seulement par défaut ; le texte si elle le choisit) et ceux qu'ELI envoie de sa boîte ; rien n'est rédigé par une IA distante, jamais pour la santé. Base légale : Exécution du service demandé par la personne (art. 6.1.b RGPD) — à la connexion de sa boîte par la personne. Garanties : Mot de passe d'application chiffré (Fernet), jamais réaffiché ; TLS obligatoire et certificat vérifié ; lecture seule (EXAMINE / BODY.PEEK) ; transfert hors UE selon le fournisseur de la personne. Activé par : Capacité « Ta propre boîte e-mail » + une boîte branchée en IMAP par la personne.
• Services de notification des navigateurs (Apple, Google, Mozilla, Microsoft) — États-Unis (hors UE) · allumé
  Pour : Afficher sur l'appareil de la personne qu'ELI lui a écrit dans l'appli web. Reçoit : Une notification chiffrée pour l'appareil (RFC 8291) qui dit seulement son type (« ⏰ Un rappel »…) et mène à 💬 Discuter — jamais le contenu, un nom, la santé ou une crise ; l'adresse d'abonnement de l'appareil. Base légale : Consentement (art. 6.1.a RGPD) : allumé par l'admin PUIS par chaque personne pour elle. Garanties : Contenu chiffré de bout en bout jusqu'à l'appareil ; clé VAPID chiffrée ; Hors UE : transfert (art. 44 s. RGPD) — DPF ou clauses contractuelles types à vérifier. Activé par : Capacité « Notifications de l'appli web » + appareil abonné par la personne.

Téléchargements techniques

• Hugging Face — États-Unis (hors UE) · allumé
  Pour : Télécharger une fois les poids des modèles locaux (mémoire, transcription, voix). Reçoit : Aucune donnée personnelle : l'adresse du serveur et le nom du modèle. Base légale : Intérêt légitime (art. 6.1.f RGPD) : fonctionnement technique, aucune donnée perso. Garanties : Téléchargement seul ; les modèles tournent ensuite sur le serveur. Activé par : Au premier démarrage (poids gardés en cache).

Sur le serveur d'ELI (rien ne sort)

• Modèle d'IA local (Ollama) — serveur d'ELI (serveur d'ELI) · allumé
  Pour : Comprendre, classer et répondre. Reçoit : Tout ce que la personne confie — sans sortir du serveur. Base légale : Exécution du service demandé par la personne (art. 6.1.b RGPD). Garanties : Aucun tiers. Activé par : Toujours.
• Voix d'ELI et voix clonées (service de voix auto-hébergé) — serveur d'ELI (serveur d'ELI) · éteint
  Pour : Lire à voix haute les messages d'ELI à la personne, dans la voix choisie. Reçoit : Le texte lu ; pour une voix clonée, l'enregistrement (chiffré en base, déchiffré seulement vers le service de voix, sur le réseau interne) — rien ne sort. Base légale : Consentement (art. 6.1.a RGPD) : allumé par l'admin PUIS par chaque personne pour elle. Garanties : Aucun tiers ; voix d'un proche = SON accord, dit dans l'enregistrement et vérifié, révocable (supprimer la voix). Activé par : Capacités « Voix d'ELI » et « Voix clonées ».
• Itinéraires (OSRM auto-hébergé) — serveur d'ELI (serveur d'ELI) · allumé
  Pour : Calculer l'heure de départ d'un rendez-vous. Reçoit : Deux positions, sur le réseau interne du serveur — rien ne sort. Base légale : Exécution du service demandé par la personne (art. 6.1.b RGPD). Garanties : Aucun tiers ; positions jamais journalisées. Activé par : Capacité « Trajets et position ».

Ton fonctionnement

Si tu coches des cases de santé dans Réglages → Ton fonctionnement (avec ton accord explicite, demandé avant la première case), ELI les garde chiffrées sur le serveur de l'exploitant, ne les envoie nulle part — ni IA distante, ni service extérieur, ni Telegram/WhatsApp, ni recherche —, ne les montre dans aucune page d'administration et s'en sert pour une seule chose : te proposer des réglages que tu vois et que tu peux refuser. « Retirer mon accord » les efface aussitôt, et leur effacement est demandé aux sauvegardes chiffrées du serveur, qui en sont réécrites dès la nuit suivante — sauf l'image de secours du serveur, qui ne se réécrit pas et les perd au plus 4 semaines après ; une restauration de ton compte ne les fait jamais revenir.

Qui peut voir ton compte

L'équipe d'ELI ne voit que des comptes (activité, erreurs), jamais ce que tu écris. Pour t'aider, elle peut te demander l'accès à tes notes et tâches : c'est toi qui décides, pour 24 h au plus. Exception : le super-administrateur du serveur peut ouvrir un accès d'urgence à ton compte sans te le demander, en cas d'incident technique qui bloque le service, d'enquête ou de réquisition, ou pour la sécurité d'une personne. Cet accès dure 2 heures, renouvelable (chaque renouvellement te sera signalé), son motif et chacune de ses consultations sont inscrits dans un journal qui ne s'efface pas, et tu en es prévenu — sauf enquête en cours.

Les sondages du pilote

Ce serveur pose trois questions facultatives, à boutons, rarement : comment tu as connu ELI (le lendemain de ton arrivée), si ELI a réduit ce que tu as à porter (de 1 à 10, après deux semaines puis tous les trois mois), et à quel prix tu l'utiliserais s'il était payant (après trois mois). Répondre est un choix : « Passer » est toujours là, aucune relance. Ce qui est gardé : le bouton choisi et sa date, jamais un texte. L'équipe n'en voit que des totaux par groupes d'au moins 3 personnes, jamais une réponse seule ; l'accès d'urgence n'y donne pas accès. Conservation : 2 ans, puis effacement automatique. Pour retirer tes réponses à tout moment : Réglages → Ton compte et tes données → Le pilote → éteindre « Sondages du pilote » (efface tout ce que tu as répondu) ; elles partent aussi avec ton compte.

La recherche (seulement si tu le choisis)

Ce serveur a ouvert le module recherche. Par défaut, rien n'est partagé, et ELI ne te le propose jamais de lui-même. Dans Réglages → Mes données et la recherche, tu peux choisir « Améliorer ELI » (des comptes de ta semaine, sans ton nom, lus par l'administrateur) ou « Aider la recherche » (les mêmes comptes et un questionnaire facultatif, confiables à une équipe de recherche, toujours mélangés à ceux d'au moins 5 personnes). Jamais le texte de tes messages, tes e-mails, ton agenda, les noms de tes proches, ni ce que tu confies quand ça ne va pas. Retirer ton accord efface tout, tout de suite ; supprimer ton compte aussi ; l'export de tes données contient ce que la recherche garde sur toi. Seule limite : ce qui a déjà été publié dans une étude, mélangé à d'autres, ne peut plus en être retiré.

Au niveau « Aider la recherche », tu peux en plus cocher, une à une (rien n'est coché au départ) : tes réactions aux messages d'ELI (part répondue, délai par tranches, geste choisi — jamais le contenu) ; des indicateurs sur tes mots, calculés sur ce serveur par un lexique maison et par le modèle d'IA local (des comptes pour 1 000 mots et une tonalité ; aucun mot ni aucune phrase ne sort de la base ; jamais ce que tu confies quand ça ne va pas) ; de courts relevés d'humeur et d'énergie que tu déclares toi-même, à boutons, à la fréquence que tu choisis (tes réponses une à une sont effacées au bout de 5 semaines, seules la moyenne et la médiane de la semaine restent). Aucune émotion n'est jamais déduite de ta voix. Décocher efface tout de suite ce qui avait été compté. Ces données de santé ne sont confiées à une équipe de recherche que dans une étude qui a un promoteur, une analyse d'impact, l'avis d'un comité de protection des personnes et un hébergeur agréé pour les données de santé.

Les études. Une équipe de recherche peut mener sur ce serveur une étude précise (un promoteur, un protocole, l'avis d'un comité, une finalité, une durée, une liste de données). Si tu as choisi « Aider la recherche », ELI te la présente une fois, avec un rappel au plus, et tu décides étude par étude, après avoir lu qui la mène, pourquoi, combien de temps et quelles données exactement ; rien n'est jamais coché d'avance. Seules les données de cette liste lui sont remises, sous un identifiant propre à l'étude, et seule son équipe les voit. Le texte de tes messages n'est partagé que si l'étude le prévoit ET que tu le coches à part, et seulement ce que tu écris après l'avoir coché : pseudonymisé (noms, adresses, numéros, e-mails remplacés par des étiquettes), jamais ce que tu confies quand ça ne va pas, ce qui parle de ta santé, ni tes documents. Te retirer d'une étude arrête tout et efface tout de suite ce qu'ELI garde pour elle ; ce qui a déjà été remis à l'équipe reste chez elle, selon le protocole. À la fin de l'étude, la collecte s'arrête et ses données sont effacées après la durée prévue par le protocole. Chaque étude donne un contact pour exercer tes droits et sa note d'information ; tu peux aussi saisir la CNIL.

Combien de temps

Le journal détaillé et les fichiers audio/photo sont effacés automatiquement après 90 jours. Tes tâches, notes et rappels restent tant que tu ne les supprimes pas ; ce que tu supprimes passe d'abord par une corbeille et en est effacé pour de bon après 30 jours. La preuve de ton acceptation des textes (version, date, canal) est gardée tant que ton compte existe. Les titres, lieux et notes des rendez-vous lus dans Google Agenda et Structured sont gardés 90 jours pour le rapprochement des doublons, puis effacés. Les sauvegardes chiffrées du serveur ne gardent pas plus longtemps : une donnée effacée (automatiquement, ou par toi) peut y subsister au plus 6 mois, puis disparaît ; si tu supprimes ton compte, tes données en disparaissent dès la nuit suivante, sauf de l'image de secours du serveur, qui ne se réécrit pas et les perd au plus 4 semaines après (elle n'est jamais relue sans réappliquer ton effacement).

Tes droits, et comment les exercer

Tu as le droit d'accéder à tes données, de les rectifier, de les effacer, de les emporter (portabilité), de t'opposer à un traitement ou d'en demander la limitation, et de retirer ton consentement à tout moment (sans effet sur ce qui a été fait avant). La plupart se font tout seuls, tout de suite :

• Accès et portabilité : /profil montre ce qu'ELI sait de toi ; sur le web, /app/export (Réglages → Tes données) télécharge toutes tes données dans un fichier lisible, que tu peux restaurer ailleurs.
• Rectification : modifie une tâche, une note ou un réglage là où il s'affiche ; /fonctionnement pour ce que tu lui as dit de ta façon de fonctionner.
• Effacement : /supprimer (ou /oublier) efface tout, immédiatement et définitivement — données, fichiers, rappels, jetons Google ; dès la nuit suivante, tes données sont aussi retirées des sauvegardes (de l'image de secours du serveur : au plus 4 semaines après, voir « Combien de temps »). /fonctionnement effacer retire ce que tu lui as confié sur ta façon de fonctionner.
• Opposition et retrait du consentement : Réglages → Tes fonctions éteint une fonction ; /deconnectergoogle révoque l'accès Google ; retirer ton accord à Ton fonctionnement, aux sondages ou à la recherche efface ce qu'ils gardaient ; /pause fait taire ELI.

Pour tout le reste, ou si un geste ne marche pas : écris à contact@gecolab.fr. Tu reçois une réponse dans un mois au plus.

Réclamation

Si tu estimes que tes droits ne sont pas respectés, tu peux saisir la CNIL (Commission nationale de l'informatique et des libertés) : www.cnil.fr/fr/plaintes.

Hors de l'Union européenne

Telegram (ou WhatsApp, si tu le relies) transporte tes messages : ces sociétés peuvent les traiter hors de l'Union européenne, selon leurs propres règles (voir le registre ci-dessus). Tout autre service hors UE est éteint par défaut ; s'il est allumé, il ne reçoit jamais ce qui touche à ta santé.

Le pilote

ELI est en phase de test : il est ouvert seulement sur invitation, à un petit nombre de personnes, gratuitement. Ce que tu signales dans le carnet de bêta sert à corriger ELI. Le pilote peut s'arrêter : tu en seras prévenu à l'avance et tu pourras télécharger tes données avant.

Hébergement

ELI tourne sur un serveur auto-hébergé en France (Guyane française). Hébergeur : à compléter. Mentions complètes : mentions légales. Voir aussi les conditions d'utilisation.

Retour à ELI