Politique de Confidentialité

HEXAR SOFTWARE FACTORY S.R.L. ("Hexar", "nous"), CUIT 30-71907331-6, domiciliée à Las Palmas 2779 Piso 3, Ciudad Autónoma de Buenos Aires, Argentine, est le responsable du traitement pour les données de compte, d'organisation, de facturation et techniques décrites dans cette Politique de Confidentialité.

Pour les données d'infrastructure rapportées par votre propre agent (Section 2) qui proviennent de, ou contiennent, des données personnelles de vos utilisateurs finaux ou de votre personnel, Hexar agit en tant que votre sous-traitant, traitant ces données uniquement sur vos instructions documentées — voir notre Avenant de Traitement des Données ("DPA"), publié à /terms/dpa et incorporé par référence à cette Politique.

Cette Politique de Confidentialité fait partie des Conditions Générales d'Utilisation d'Archynt. Accepter les Conditions signifie donner votre consentement exprès et informé à cette Politique de Confidentialité — requis pour créer un compte Archynt, sans exception.

Cette Politique de Confidentialité est également publiée en anglais à /privacy et en espagnol à /es/privacy. Pour les utilisateurs et organisations domiciliés en Argentine, la version en espagnol est le texte légalement prévalant en cas de divergence entre les versions.

Données de compte que vous fournissez directement : adresse email, et — si vous choisissez l'inscription par email/mot de passe — un mot de passe (géré entièrement par Firebase Authentication ; nous ne le voyons ni ne le stockons jamais en texte clair). Si vous vous connectez avec Google ou GitHub, nous recevons l'adresse email et l'identifiant de profil que ces fournisseurs nous transmettent.

Données d'organisation et de facturation : le nom de votre organisation, son plan, et — pour les plans payants — les données de facturation traitées par Paddle, notre processeur de paiement (Paddle, et non Archynt, détient les données de votre carte/moyen de paiement).

Registre d'acceptation des Conditions : la version des Conditions que vous avez acceptée, la date et l'heure, et l'adresse IP d'où provenait la demande d'acceptation — conservés comme piste d'audit (voir Section 6 pour la durée de conservation).

Données d'infrastructure rapportées par votre propre agent, si vous choisissez de l'exécuter : topologie de services/conteneurs, arêtes de dépendance TCP, métriques de ressources d'hôte et de conteneur, et lignes de log de vos propres systèmes — en lecture seule, envoyées uniquement si vous déployez l'agent, et circonscrites à votre organisation. Les lignes de log de vos propres systèmes peuvent contenir des données personnelles de vos utilisateurs finaux ou de votre personnel (par exemple, une adresse IP ou un identifiant enregistré par votre application) ; Hexar n'inspecte pas les logs pour extraire ou profiler ces données, mais ne peut pas empêcher totalement vos propres systèmes de les enregistrer.

Données dérivées du code : lorsque vous pointez Archynt vers un dépôt, nous l'analysons pour construire un graphe d'architecture (noms de classes, structure des packages, relations) et nous stockons ce graphe — pas une copie de l'arborescence complète du code source.

Données techniques collectées automatiquement : adresse IP, navigateur/user-agent, et logs de requêtes de base, à des fins de sécurité et de prévention des abus.

Pour fournir le Service : vous authentifier, déterminer à quelle organisation et avec quel rôle vous appartenez, construire et stocker votre graphe d'architecture, ingérer et afficher votre topologie et vos métriques de runtime, générer des insights IA, et faire respecter les limites d'utilisation de votre plan.

Pour vous facturer, si vous êtes sur un plan payant, via Paddle.

Pour fonctionner en sécurité : détecter les abus, appliquer l'authentification par clé d'enrôlement et session, et enquêter sur les incidents.

Pour communiquer avec vous au sujet de votre compte, des évolutions du service, ou — avec votre consentement lorsque requis — des nouveautés produit.

Nous ne vendons pas vos données personnelles, et nous n'utilisons pas votre code source ni vos données d'infrastructure pour entraîner un quelconque modèle d'IA.

Firebase Authentication (Google) — vérification d'identité à chaque connexion.

Paddle — traitement des paiements et facturation des abonnements pour les plans payants ; Paddle agit en tant que marchand officiel (merchant of record).

Anthropic (Claude) — notre fournisseur d'IA par défaut ; si une requête vers Anthropic échoue, elle bascule automatiquement vers OpenAI. Dans les deux cas, nous envoyons une représentation dérivée de votre graphe d'architecture (noms de composants, relations, constats détectés), jamais le code source brut, strictement pour générer cette réponse. En vertu de nos accords avec Anthropic et des conditions commerciales de l'API d'OpenAI, aucun des deux fournisseurs n'utilise ces données pour entraîner ses modèles, et chacun applique sa propre fenêtre de rétention limitée aux données d'API, indépendante de la politique de rétention propre d'Archynt.

GitHub — si vous connectez une installation de la GitHub App, pour lire le contenu des dépôts à analyser et publier les vérifications de PR sur GitHub, circonscrit aux dépôts que vous autorisez explicitement.

Fournisseurs d'infrastructure/hébergement — les serveurs et le stockage (Postgres, Neo4j, VictoriaMetrics, Loki) qui font fonctionner Archynt sont les nôtres ; lorsqu'une infrastructure cloud tierce est utilisée, elle agit strictement en tant que sous-traitant sur nos instructions.

Nous ne divulguons des données personnelles aux autorités publiques que lorsque la loi l'exige.

Certains des sous-traitants listés à la Section 4 — dont Firebase/Google, Anthropic et OpenAI — sont situés aux États-Unis, hors d'Argentine. Lorsque le pays destinataire n'offre pas un niveau de protection des données reconnu comme adéquat par l'autorité de protection des données d'Argentine (l'AAIP), nous nous appuyons sur les clauses types approuvées par l'AAIP pour les transferts internationaux de données, ou sur votre consentement informé au transfert spécifique, comme l'exige l'article 12 de la Loi n° 25.326.

Nous tenons à jour dans cette Politique la liste des sous-traitants et de leur localisation ; contactez-nous (Section 9) si vous avez besoin de connaître le mécanisme de transfert spécifique en place pour un sous-traitant donné.

Les données de compte et d'organisation sont conservées tant que votre compte existe, plus une période raisonnable supplémentaire pour se conformer à des obligations légales ou comptables.

Les métriques de runtime et les données de log sont conservées selon les limites de votre plan (voir /pricing) et expirent automatiquement au-delà de cette fenêtre — ceci est appliqué côté serveur, ce n'est pas un simple filtre d'affichage.

Les registres d'acceptation des Conditions/de la Confidentialité sont conservés pendant 5 ans à compter de la date de clôture de votre compte, conformément au délai général de prescription des actions contractuelles prévu à l'article 2560 du Code Civil et Commercial, sauf si une période plus longue est requise pour résoudre une réclamation ou une procédure judiciaire en cours.

À la clôture du compte de votre organisation, les données d'infrastructure sont supprimées ou anonymisées de manière irréversible selon la période de grâce et le processus décrits dans nos Conditions Générales d'Utilisation, Section 9.

Nous appliquons des mesures de protection standard de l'industrie : les mots de passe ne sont jamais gérés par notre propre code (uniquement Firebase Authentication) ; les jetons de session sont signés et de courte durée ; l'agent de runtime s'authentifie avec une clé d'enrôlement par organisation et des jetons porteurs par agent, hachés au repos ; les charges utiles de webhooks sont vérifiées par signature.

Aucun système n'est parfaitement sûr. Lorsque Hexar a appliqué les mesures de protection décrites ici, elle ne sera pas tenue responsable d'une interception illicite ou d'un accès non autorisé à ses systèmes qu'elle n'aurait pas pu raisonnablement prévenir.

Si nous prenons connaissance d'un incident de sécurité ayant compromis la confidentialité, l'intégrité ou la disponibilité de vos données personnelles ou des données d'infrastructure de votre organisation, nous notifierons l'Owner de l'organisation concernée sans retard indu, et dans tous les cas dans les 72 heures suivant la confirmation de l'incident, par email et par notification dans l'application.

Cette notification décrira, dans la mesure connue à ce moment-là : la nature de l'incident, les catégories et le volume approximatif de données affectées, les mesures que nous avons prises ou prévoyons de prendre, et un point de contact pour plus d'informations. Lorsque requis par la Resolución AAIP 47/2018 ou une réglementation équivalente applicable, nous notifierons également l'AAIP.

Selon la loi applicable, vous pouvez avoir le droit d'accéder à, de corriger, de supprimer ou de demander la portabilité de vos données personnelles, et de retirer votre consentement lorsque le traitement en repose. Vous pouvez exercer ces droits en nous contactant à [email protected] ; les données de compte et d'organisation peuvent aussi être gérées directement depuis les pages Organisation et Profil de votre tableau de bord.

Si vous n'êtes pas satisfait de notre réponse, vous avez le droit de déposer une plainte auprès de l'autorité de protection des données d'Argentine, l'Agencia de Acceso a la Información Pública (AAIP), ou auprès de l'autorité de protection des données équivalente de votre propre pays de résidence lorsque la loi applicable vous accorde ce droit.

Supprimer votre compte efface vos données de compte personnelles ; les données appartenant à une organisation dont vous n'êtes pas l'unique propriétaire peuvent nécessiter à la place l'action d'un Owner/Admin de cette organisation.

Archynt est un outil professionnel/de développement et n'est pas destiné à, ni sciemment utilisé par, des personnes de moins de 18 ans — l'âge de pleine capacité contractuelle en vertu des articles 25 à 26 du Code Civil et Commercial, ou l'âge requis par la loi applicable pour consentir soi-même au traitement de données, selon le plus élevé des deux. Nous ne collectons pas sciemment de données personnelles auprès de quiconque en dessous de cet âge.

Archynt utilise un ensemble minimal de cookies : un cookie de session httpOnly qui vous maintient connecté, et aucun cookie publicitaire ou de suivi de tiers. Désactiver le cookie de session dans votre navigateur vous déconnectera.

La relation de sous-traitance décrite à la Section 1 pour les données d'infrastructure — y compris les sous-traitants ultérieurs que nous utilisons pour ces données, le processus de notification des incidents de sécurité, l'assistance aux demandes des personnes concernées de vos propres utilisateurs finaux, et l'export et la suppression des données à la résiliation — est détaillée intégralement dans notre Avenant de Traitement des Données à /terms/dpa, qui fait partie de ces Conditions et de cette Politique.

Nous mettrons à jour cette Politique de Confidentialité au fur et à mesure de l'évolution du Service. Nous vous donnerons un préavis d'au moins 30 jours pour tout changement matériel, par les mêmes canaux que pour les changements des Conditions, et — lorsque la loi l'exige — nous solliciterons votre consentement renouvelé.

Cette Politique de Confidentialité est régie par les lois de la République Argentine. Tout litige lié à son interprétation, sa validité ou son exécution sera soumis aux tribunaux nationaux ordinaires siégeant dans la Ville de Buenos Aires, sous réserve de la même exception de protection des consommateurs décrite dans nos Conditions Générales d'Utilisation, Section 12.