BiVelio Shield — Politique de confidentialité

1. La version courte

• L'extension a pour seule mission de garder vos données sur votre machine. Dans l'offre gratuite, elle n'envoie rien à BiVelio ni à un quelconque tiers.
• Vos prompts sont inspectés et occultés localement, dans votre navigateur, avant d'atteindre le fournisseur d'IA que vous avez choisi (ChatGPT / Claude). Le fournisseur reçoit des tokens de substitution à la place de vos valeurs sensibles — c'est tout l'intérêt.
• Aucun compte, aucune inscription, aucune analyse d'audience, aucune publicité. Nous ne collectons, ne vendons, ne louons ni ne partageons vos données personnelles.
• Une exception, dans toute offre payante — Pro comme Team : si votre organisation dispose d’un gateway de noms — inclus dans l’offre Team, ou configuré par son administration dans la politique centrale —, le texte de chaque message que vous envoyez — et tout texte de 1 000 caractères ou plus que vous collez dans le champ de saisie du chat, au moment du collage — part vers ce gateway, qui répond par les positions des données personnelles qu’il détecte — noms et lieux, mais aussi coordonnées, identifiants, données financières, adresses réseau, secrets et termes de catégorie particulière de l’art. 9 du RGPD — et ne conserve rien.

Périmètre : quel document vous lisez

• Cette politique couvre l'extension de navigateur BiVelio Shield et rien d'autre. C'est le document vers lequel pointe la fiche du Chrome Web Store.
• Le site web depuis lequel vous l'avez éventuellement téléchargée, le compte, l'offre équipe et le Sandbox sont couverts par la politique de confidentialité distincte du site web et du compte.
• Les documents juridiques sur bivelio.com sont au niveau de la société et décrivent d'autres produits BiVelio. Ils ne décrivent pas l'extension.

2. Quelles données l'extension traite, et où elles restent

Lorsque vous fermez complètement votre navigateur, la clé de chiffrement en mémoire est supprimée, le coffre-fort stocké devient indéchiffrable, et les conversations plus anciennes se dé-identifient d'elles-mêmes pour redevenir des tokens opaques. C'est intentionnel.

3. Ce que l'offre gratuite occulte localement

Avant que votre prompt ne quitte le navigateur, le moteur déterministe détecte et remplace :

• Les e-mails et numéros de téléphone
• Les numéros de carte bancaire (validés par Luhn)
• Les IBAN et coordonnées bancaires (validés par mod-97)
• Les identifiants nationaux — DNI / NIE / CIF espagnols, SSN américain, et d'autres
• Les clés d'API et secrets — OpenAI, AWS, GitHub, Stripe, Slack, et d'autres
• Les adresses IP
• Termes de santé, de religion, biométriques et génétiques — un lexique multilingue curé (catégories particulières de l'art. 9 du RGPD)

Périmètre honnête : pour garder une précision élevée, les identifiants structurés sont validés par leur clé de contrôle ; une valeur bien formée mais invalide peut donc passer, sauf si vous activez « Masquer sur la forme » (ci-dessous). L'offre gratuite masque bien les termes de l'art. 9 de son lexique curé, mais elle NE supprime PAS les noms de personnes, les adresses ni le texte libre en général — il n'existe aucun motif fixe, et une formulation de l'art. 9 absente du lexique passera aussi. Les noms et le contexte ne sont recherchés que par une seule voie : lorsque votre organisation dispose d’un gateway de noms — inclus dans l’offre Team, ou fixé par son administration dans la politique centrale sur toute offre payante, Pro ou Team —, le texte de chaque message est envoyé à ce gateway, qui répond par les positions des données personnelles qu’il détecte — une couche qui réduit la fuite des noms et qui, mesurée, ne l’élimine pas (voir « Noms via le gateway de votre organisation », ci-dessous). Sans gateway par l’une ou l’autre voie, l’extension ne cherche de noms à aucun niveau. L'erreur inverse ne dépend pas de ce réglage : un identifiant est validé après suppression de ses séparateurs, de sorte qu'une correspondance à clé de contrôle valide peut absorber les mots voisins — mesuré, « BTW NL123456789B01 on file » emporte six caractères de votre propre phrase dans le jeton. Rien de plus n'atteint le fournisseur (il en voit moins que ce que vous avez tapé), mais le prompt est modifié sans avertissement.

4. L'option facultative « Occulter selon la forme »

Vous pouvez activer « Occulter selon la forme » dans la fenêtre contextuelle pour masquer également les identifiants qui ressemblent à un IBAN, une carte ou un identifiant mais dont le checksum échoue (par exemple un numéro mal saisi). Elle est désactivée par défaut, s'exécute toujours entièrement en local, et nous vous prévenons clairement qu'elle peut sur-occulter des éléments comme des numéros de commande, des horodatages ou des codes de suivi. À vous de choisir.

5. Ce que l'extension NE fait PAS

• Elle n’envoie à BiVelio ni vos messages, ni les valeurs qu’elle masque, ni les jetons qui les remplacent — avec une exception déclarée : lorsque votre organisation est sur la voie des noms face à un gateway que BiVelio exploite pour elle dans le cadre d’un accord de sous-traitance — inclus dans l’offre Team, ou parce que son administration y a pointé l’extension —, le texte de chaque message atteint ce service tel que vous l’avez tapé, avant que le masquage local ne s’exécute, et il répond par les positions et le texte correspondant des données personnelles qu’il détecte — termes de catégorie particulière de l’art. 9 du RGPD compris — et ne conserve rien. Les valeurs et les jetons restent dans votre navigateur sur toutes les voies.
• Elle n'utilise ni traqueurs, ni cookies, ni SDK d'analyse d'audience, ni publicité.
• Elle ne lit ni n’agit sur aucun site web autre que les sites de chat IA pris en charge (voir Autorisations). Seules trois adresses peuvent recevoir quoi que ce soit d’elle : le point de terminaison de licence où vont la vérification de siège Pro et Team et le rapport agrégé horaire — licensing.bivelio.com, sauf si votre licence porte sa propre adresse de plan de contrôle, auquel cas ils y vont ; privacy.bivelio.com, et uniquement après qu’une vérification a répondu que la licence est révoquée, pour échanger ce jeton révoqué contre la licence que votre organisation détient maintenant — seul le jeton révoqué est envoyé, et au plus une fois par jour ; et le gateway de noms de votre organisation — l’adresse que porte sa licence Team, ou celle que son administration a fixée dans la politique centrale —, et uniquement pour envoyer le texte du message et recevoir des positions. Elle n’accède ni à votre historique de navigation, ni à vos autres onglets, ni à vos fichiers.
• Elle ne vend ni ne partage de données personnelles, et elle n'utilise jamais vos données pour évaluer votre solvabilité ou à des fins de prêt.
• Elle ne protège ni le mode vocal ni le temps réel. Elle expurge le texte que vous tapez ; un tour de parole dans ChatGPT Advanced Voice ou la voix de Claude passe par une connexion audio en direct distincte que l'extension ne voit jamais — et un outil textuel ne peut pas expurger de l'audio. Tapez, ne parlez pas, quand un échange contient des données sensibles.
• Elle ne couvre pas le compositeur « Cowork » de Claude. L'extension occulte l'envoi normal du chat de Claude ; Cowork écrit sur un autre point d'entrée (`PUT /v1/code/sessions/…`) que l'extension laisse volontairement intact, car cette charge utile est du code et de la configuration de session, pas de la prose. Considérez comme non protégé tout ce que vous tapez dans Cowork.
• Il n'inspecte pas les fichiers, images ni pièces jointes dans les offres Gratuit et Pro : un document téléversé, un PDF ou un passeport photographié part chez le fournisseur tel quel, et un avis vous le signale. L'offre Team caviarde les fichiers texte et les documents PDF / Word / Excel / PowerPoint dans votre navigateur avant l'envoi ; les scans, images et autres fichiers illisibles demandent toujours d'abord avant de partir sans protection.

6. Les autorisations, et pourquoi l'extension en a besoin

storage

pour conserver l'interrupteur marche/arrêt, le paramètre « Occulter selon la forme », le compteur sans valeurs et le coffre-fort chiffré (clé conservée en mémoire, jamais sur le disque) décrits ci-dessus.

scripting

pour réinjecter le script de masquage local dans un onglet de chat IA déjà ouvert au moment de l'installation ou de la mise à jour de l'extension. Sans cette permission, ces onglets resteraient non protégés jusqu'à un rechargement manuel. Elle ne peut s'exécuter que sur les sites autorisés listés ci-dessous.

Accès aux hôtes chatgpt.com, chat.openai.com, claude.ai

pour exécuter l'occultation locale uniquement sur ces sites de chat IA.

alarms

(Pro) pour planifier la vérification périodique de siège décrite ci-dessous, environ deux fois par jour. Inutilisé dans l'offre gratuite.

Accès hôte à licensing.bivelio.com

(Pro et Team) là où vont la vérification de siège et le rapport agrégé horaire : licensing.bivelio.com, sauf si votre licence porte sa propre adresse de plan de contrôle, auquel cas ils vont à cette adresse. L’extension ne demande d’autorisation pour aucun autre site — pas même pour le gateway de noms : son worker d’arrière-plan appelle l’adresse sur laquelle se trouve votre organisation — celle que porte sa licence Team, ou celle qu’a fixée son administration —, et seul un gateway qui accepte explicitement l’extension répond. Il en va de même pour privacy.bivelio.com, qui n’exige pas non plus d’autorisation de site : lorsqu’une vérification répond que la licence est révoquée, le worker d’arrière-plan lui demande une fois la licence que votre organisation détient maintenant, en n’envoyant que le jeton révoqué — ainsi une montée en gamme ou un changement d’offre n’a pas à être réactivé à la main sur chaque machine.

7. Les fournisseurs d'IA que vous utilisez

Lorsque vous envoyez un message, l'extension transmet le prompt occulté au fournisseur d'IA que vous avez choisi (OpenAI pour ChatGPT, Anthropic pour Claude). Votre utilisation de ces services est régie par leurs politiques de confidentialité et leurs conditions — l'extension ne modifie pas votre relation avec eux ; elle réduit seulement les données sensibles qu'ils reçoivent.

8. Noms via le gateway de votre organisation (Pro et Team)

L’offre Gratuite est entièrement locale, comme décrit ci-dessus, et ne cherche jamais de noms de personnes. Dans l’offre Team, le gateway vient avec l’offre : l’adresse du service de noms exploité par BiVelio arrive signée dans la licence de votre propre organisation, il n’y a donc rien à installer ni aucune URL à saisir. Dans toute offre payante — Pro comme Team — l’administration de votre organisation peut à la place fixer une adresse de gateway dans la politique centrale gérée, et cette adresse l’emporte : ce que l’extension vérifie avant d’appeler le gateway, c’est que vous avez une licence payante, pas laquelle des offres payantes c’est. Votre tableau de bord génère cette politique dans l’offre Team ; en Pro, une administration peut tout de même écrire la même adresse à la main dans la politique gérée de Chrome. Dès lors, le texte de chaque message que vous envoyez — jamais les pièces jointes — part de votre navigateur vers ce gateway tel que vous l’avez tapé, avant que le masquage local ne s’exécute — de sorte que les identifiants, les secrets et les termes de l’art. 9 que la couche déterministe aurait retirés avant le fournisseur d’IA y arrivent intacts — et le gateway répond par les positions et le texte correspondant des données personnelles qu’il détecte : noms et lieux, mais aussi coordonnées, identifiants, données financières, adresses réseau, secrets et termes de catégorie particulière de l’art. 9 du RGPD ; la substitution et le coffre-fort restent dans votre navigateur, et le gateway ne conserve rien. Coller 1 000 caractères ou plus dans le champ de saisie du chat envoie ce texte collé au même gateway au moment du collage — avant que vous n’envoyiez le message, et même si vous le modifiez ensuite ou ne l’envoyez jamais. Au-delà de 4 000 caractères, le gateway n’est pas appelé du tout. Ce gateway est le BiVelio Privacy Gateway de votre propre organisation, ou le service que BiVelio exploite en Allemagne dans le cadre de l’accord de sous-traitance qui fait partie des conditions de l’offre Team ; en dehors de cela, rien n’est envoyé à BiVelio. Si le gateway ne répond pas dans le budget de temps — injoignable, trop lent, ou sa couche de noms à l’arrêt — ou si le texte dépasse 4 000 caractères, le message part avec la seule couche déterministe et un avis vous le dit à chaque fois ; ces envois sont comptés dans le rapport agrégé de votre organisation comme « envoyés sans vérification des noms ». Cette couche réduit la fuite des noms, et nous ne promettons pas qu’elle les élimine. Lisez les 4,875 % de docs/BENCHMARKS.md pour ce qu’ils sont : ce chiffre mesure la chaîne SANS cette couche (les détecteurs déterministes plus Presidio). Mesuré sur le même corpus avec le modèle que le gateway exécute réellement, aucune des 800 valeurs n’a fui. Ce corpus est synthétique et ne note que les noms et les lieux — il ne dit rien des adresses postales ni des termes de santé —, donc un zéro là-bas n’est pas une promesse de zéro ici. Il n’y a pas d’interrupteur par utilisateur. Lorsque l’adresse arrive avec l’offre Team, un propriétaire ou un administrateur coupe la couche pour toute l’organisation depuis le tableau de bord, et cela met jusqu’à une heure à atteindre un navigateur ; lorsqu’elle vient de la politique gérée centrale — toujours avec Pro, et avec Team partout où une administration en a fixé une —, cette adresse prime, comme indiqué plus haut, et la couche s’éteint en la retirant de cette politique. Sans gateway par l’une ou l’autre voie, rien ne se passe du tout sur cette voie.

9. Base juridique

L'extension traite votre prompt sur votre propre appareil, sur votre instruction, pour faire la seule chose pour laquelle vous l'avez installée. Lorsque le RGPD s'applique, il s'agit de l'exécution du contrat que vous avez accepté en l'installant (art. 6, par. 1, point b). BiVelio lui-même ne traite pas ces données : dans l'offre gratuite, aucune donnée personnelle ne nous parvient, il n'y a donc aucun traitement par BiVelio à justifier. En Pro, la vérification de siège — votre jeton de licence et un identifiant d'appareil aléatoire — est traitée pour faire respecter les sièges que vous avez achetés, également au titre de l'art. 6, par. 1, point b. Lorsque votre organisation est sur la voie des noms — parce que sa licence Team porte l’adresse du gateway, ou parce qu’une administration a configuré un gateway dans la politique centrale gérée — le texte qui y est envoyé est traité sur instruction de votre organisation : votre organisation est le responsable du traitement, et l’exploitant du gateway — votre organisation elle-même, ou BiVelio dans le cadre d’un accord de sous-traitance avec elle (art. 28) — agit comme son sous-traitant.

10. Durée de conservation des données

Sur votre appareil : le coffre-fort chiffré, les paramètres et les compteurs sans valeurs restent dans le stockage d'extension de votre navigateur jusqu'à ce que vous fermiez le navigateur (la clé de chiffrement est supprimée et le coffre-fort devient indéchiffrable) ou désinstalliez l'extension (tout est supprimé). Sur les serveurs de BiVelio : rien du tout dans l'offre gratuite. En Pro, l'enregistrement de vérification de siège — identifiant d'appareil et jour de dernière activité — est conservé tant que le siège est actif et marqué comme désactivé lorsque vous retirez l'appareil ; il n'existe pas de purge automatisée à ce jour, comme l'indique également la politique du site web et du compte. Sur un gateway de noms, qu’il s’agisse de celui de votre organisation ou du service exploité par BiVelio : le texte d’un message n’existe en mémoire que le temps de la requête et n’est jamais écrit sur disque ni dans un journal.

11. Transferts internationaux

Le prompt tokenisé va au fournisseur d'IA que vous avez choisi, selon la politique propre à ce fournisseur ; OpenAI et Anthropic traitent les données aux États-Unis. BiVelio n'est pas partie à ce transfert et ne le modifie pas — l'extension réduit seulement ce que la requête contient. En Pro, la vérification de siège atteint le serveur de licences de BiVelio en Allemagne (Hetzner Online GmbH) et reste dans l'UE. Lorsque votre organisation est sur la voie des noms — parce que sa licence Team porte l’adresse du gateway, ou parce qu’une administration a configuré un gateway dans la politique centrale gérée — le texte du message part vers ce gateway : là où votre organisation l’exécute ou, pour le service exploité par BiVelio, vers Hetzner Online GmbH en Allemagne, dans l’UE.

12. Décisions automatisées

L’extension ne prend aucune décision vous concernant au sens de l’art. 22 et ne constitue aucun profil. Chaque décision d’occultation dans votre navigateur est une règle déterministe — motif, clé de contrôle, action — que vous pouvez examiner dans le Playground de ce site. Les noms qu’un gateway trouve proviennent d’un modèle statistique, au mieux et non exhaustif ; eux aussi ne décident que de ce qui est remplacé dans votre texte, jamais de quoi que ce soit vous concernant.

13. Vos droits

Comme l’extension ne stocke aucune donnée personnelle sur nos serveurs — un service de noms exploité par BiVelio, là où votre organisation l’a choisi, ne garde le texte d’un message qu’en mémoire et seulement le temps de la requête —, il n'y a généralement rien que nous puissions consulter, exporter ou supprimer en votre nom. Les données locales (coffre-fort, paramètres, compteur) sont entièrement sous votre contrôle : l'interrupteur et le compteur se modifient ou se réinitialisent depuis le popup, le coffre-fort se dé-identifie de lui-même lorsque vous fermez le navigateur (sa clé de chiffrement ne quitte jamais la mémoire), et la désinstallation de l'extension supprime tout. En vertu du RGPD et des lois similaires, vous pouvez néanmoins nous contacter pour toute question ou demande.

14. Réclamations et autorité de contrôle

Si vous estimez que l'extension ou BiVelio a traité vos données de manière illicite, vous pouvez introduire une réclamation auprès d'une autorité de contrôle — en particulier dans l'État membre de l'UE de votre résidence habituelle, de votre lieu de travail ou du lieu où la violation aurait été commise (art. 77). Le Comité européen de la protection des données tient la liste de toutes les autorités et de leurs coordonnées. Nous préférerions que vous nous écriviez d'abord, mais vous n'y êtes pas obligé. edpb.europa.eu ↗

15. Délégué à la protection des données

BiVelio n'a pas désigné de délégué à la protection des données : l’extension garde son traitement sur votre appareil ou, avec un gateway de noms, sur instruction de votre organisation, et la petite quantité de données sans valeurs envoyée par Pro ne constitue pas le suivi à grande échelle ou systématique pour lequel l'art. 37 en exige un. Toutes les questions de confidentialité sont traitées directement à privacy@bivelio.com, et cette section changera le jour où cela changera.

16. Les enfants

BiVelio Shield ne s'adresse pas aux enfants de moins de 16 ans et ne traite pas sciemment leurs données.

17. Modifications de cette politique

Nous mettrons à jour cette page et sa date de « Dernière mise à jour » lorsque le comportement de l'extension vis-à-vis des données changera. Les modifications importantes y seront reflétées avant leur entrée en vigueur dans une version publiée.

18. Contact