Politique de confidentialité de SWIM AI
Version 0.2 — 2 septembre 2026
Date d’entrée en vigueur : 2 septembre 2026.
1. Responsable du traitement et contact
SWIM AI est édité par SWIM LEGAL, société par actions simplifiée dont le siège social est situé 31 rue de Douai, 75009 Paris, immatriculée au registre du commerce et des sociétés de Paris sous le numéro 949 323 497 (« SWIM »).
Pour toute question ou demande concernant les données personnelles :
- e-mail : contact@swim.legal ;
- courrier : SWIM LEGAL — Données personnelles, 31 rue de Douai, 75009 Paris.
2. Champ d’application
Cette politique concerne les visiteurs, les Utilisateurs professionnels et les personnes dont les données sont présentes dans une conversation, un document ou les informations relatives à une entreprise.
Le Service est actuellement public, gratuit et réservé aux professionnels. Il est en phase pilote.
3. Rôle de SWIM
SWIM agit comme responsable du traitement lorsqu’elle détermine les finalités liées notamment à la gestion des Comptes, à la sécurité, à l’administration du Service, à la preuve des validations et au respect de ses obligations légales.
Lorsque l’Organisation dépose des données concernant des tiers pour ses propres besoins, elle agit en principe comme responsable du traitement et SWIM comme sous-traitant. Les conditions de cette sous-traitance figurent en annexe des CGU.
4. Données traitées
Selon l’utilisation du Service, SWIM peut traiter :
4.1. Compte et accès
- adresse électronique ;
- identifiants techniques d’authentification ;
- dates de création, de confirmation et de connexion ;
- rôle et droits d’accès ;
- versions des documents juridiques validés et horodatage associé.
4.2. Organisation
- SIREN, dénomination et statut de création ;
- forme juridique, activité, siège, SIRET, statut administratif et date de création ;
- source et date des informations publiques ;
- corrections apportées par l’Utilisateur.
4.3. Conversations et dossiers
- questions, messages et réponses ;
- titres, dates et rattachement à un dossier ;
- agent sélectionné par le système et traces techniques de traitement ;
- synthèses ou autres informations produites dans le parcours lorsqu’elles existent.
Dans la version actuelle, les réponses peuvent être déterministes ou simulées. Aucun contenu de conversation ou document n’est envoyé à un fournisseur de modèle d’intelligence artificielle.
4.4. Documents
- fichiers importés ;
- nom, type, taille, date et chemin de stockage ;
- rattachement à l’Organisation, à une conversation ou à un dossier ;
- versions et actions de consultation ou suppression.
La version actuelle conserve les fichiers mais ne réalise pas d’OCR ni d’analyse de leur contenu par un fournisseur d’intelligence artificielle.
4.5. Sécurité et administration
- adresse IP, navigateur, appareil et journaux de connexion ;
- actions sensibles, erreurs et incidents ;
- informations nécessaires au support et à la protection du Service.
5. Sources des données
Les données proviennent :
- de l’Utilisateur ou de son Organisation ;
- de l’utilisation du Service ;
- des documents transmis ;
- de l’API publique Recherche d’entreprises, interrogée à partir du SIREN fourni.
L’Utilisateur vérifie les informations publiques proposées avant leur enregistrement.
6. Finalités et bases juridiques
| Finalité | Base juridique |
|---|---|
| Créer le Compte et fournir les fonctions demandées | Exécution des CGU. |
| Créer et gérer l’espace de l’Organisation | Exécution des CGU. |
| Rechercher et proposer les données publiques de l’Organisation | Exécution des CGU et intérêt légitime à fiabiliser le profil de l’Organisation. |
| Conserver les conversations, dossiers et documents | Exécution des CGU ou instructions de l’Organisation lorsque SWIM agit comme sous-traitant. |
| Sécuriser le Service, prévenir les abus et traiter les incidents | Intérêt légitime de SWIM, des Utilisateurs et des tiers à protéger le Service et leurs données. |
| Conserver la preuve des validations et défendre les droits de SWIM | Intérêt légitime et obligations légales applicables. |
| Répondre aux demandes de droits et aux autorités | Obligation légale. |
SWIM n’utilise pas, dans la version actuelle, les données du Service pour entraîner un modèle d’intelligence artificielle, établir un profil publicitaire ou envoyer de la prospection commerciale automatisée.
7. Destinataires et prestataires
Dans la limite de leurs missions, les données peuvent être accessibles :
- aux personnes habilitées de SWIM pour l’administration, la sécurité ou le support ;
- à Supabase, pour la base de données, l’authentification, l’envoi des e-mails d’accès et le stockage privé des fichiers ;
- à Vercel, pour l’hébergement de l’application et l’exécution des fonctions serveur ;
- aux autorités, conseils ou auditeurs lorsque la loi ou la défense des droits l’exige.
L’API Recherche d’entreprises reçoit le SIREN recherché depuis le serveur SWIM. Les informations retournées proviennent de sources administratives publiques.
Aucun contenu n’est transmis automatiquement à un avocat. Aucun fournisseur de modèle d’intelligence artificielle, prestataire de paiement, outil publicitaire ou outil d’analytics tiers n’est actif dans la version couverte par cette politique.
8. Hébergement et transferts internationaux
La base, l’authentification et le stockage principal Supabase sont configurés dans la région AWS Paris (eu-west-3).
Vercel et certains sous-traitants peuvent traiter des données depuis des pays situés hors de l’Espace économique européen, notamment les États-Unis. Lorsque le RGPD l’exige, ces transferts doivent être encadrés par un mécanisme reconnu, tel que les clauses contractuelles types de la Commission européenne, et par des mesures complémentaires adaptées.
Les listes de sous-traitants et garanties contractuelles de Vercel et Supabase sont consultables auprès de ces prestataires. Une copie des garanties applicables peut être demandée à SWIM, sous réserve des informations confidentielles.
9. Durées de conservation
| Données | Durée ou critère appliqué |
|---|---|
| Compte et profil de l’Organisation | Pendant l’utilisation du Service, puis jusqu’au traitement de la demande de fermeture et des obligations résiduelles. |
| Conversations, dossiers et documents | Pendant la vie du Compte, sauf suppression antérieure déclenchée par l’Utilisateur lorsqu’elle est disponible. |
| Preuves d’acceptation et données nécessaires à la défense des droits | Durée nécessaire à la relation, puis archivage limité à la durée de prescription applicable. |
| Journaux de sécurité et d’accès conservés par SWIM | Au maximum 12 mois, sauf incident nécessitant une conservation plus longue pour sa gestion ou la défense de droits. |
| Données figurant dans les sauvegardes | Jusqu’à leur écrasement selon le cycle du prestataire ; elles restent isolées et ne servent qu’à la restauration. |
SWIM peut conserver plus longtemps les données strictement nécessaires lorsqu’une obligation légale l’impose ou pour constater, exercer ou défendre un droit en justice.
10. Droits des personnes
Selon le traitement et sa base juridique, une personne peut demander :
- l’accès à ses données ;
- leur rectification ;
- leur effacement ;
- la limitation du traitement ;
- la portabilité des données qu’elle a fournies ;
- l’opposition à un traitement fondé sur l’intérêt légitime.
Une demande peut être adressée à contact@swim.legal. SWIM peut demander les informations strictement nécessaires pour vérifier l’identité du demandeur. Elle répond en principe dans un délai d’un mois, avec la prolongation permise par le RGPD lorsque la demande est complexe ou nombreuse.
Lorsque SWIM agit comme sous-traitant, elle transmet la demande à l’Organisation concernée ou l’assiste pour y répondre.
Une réclamation peut être adressée à la Commission nationale de l’informatique et des libertés.
11. Sécurité
SWIM applique des mesures proportionnées aux risques, notamment :
- communications chiffrées ;
- authentification et contrôles d’accès côté serveur ;
- séparation logique des données par Organisation ;
- règles d’accès au niveau de la base ;
- stockage privé des fichiers ;
- liens temporaires pour leur téléchargement ;
- secrets limités aux composants serveur ;
- limitation des informations sensibles dans les journaux techniques.
Aucune mesure ne supprime totalement le risque. L’Utilisateur doit protéger ses identifiants et signaler rapidement toute anomalie.
12. Cookies et traceurs
Le Service utilise uniquement les cookies techniques nécessaires à l’authentification, au maintien de la session et à la sécurité.
Aucun cookie publicitaire ou outil de mesure d’audience tiers n’est actif dans la version couverte par cette politique. Cette section devra être mise à jour et, lorsque la loi l’exige, un mécanisme de consentement devra être installé avant l’activation de nouveaux traceurs.
13. Données concernant des tiers
L’Utilisateur ne transmet que les données nécessaires et s’assure qu’il dispose du droit de les faire traiter. Lorsque l’identité d’une personne n’est pas utile, il doit supprimer les identifiants ou utiliser un pseudonyme.
Le Service n’est pas conçu, dans sa version actuelle, pour recevoir habituellement des données sensibles ou relatives à des infractions. Leur transmission doit rester exceptionnelle, strictement nécessaire et juridiquement justifiée.
14. Évolution de la politique
Chaque version comporte une date et un numéro. Cette politique sera revue avant toute activation substantielle, notamment :
- d’un fournisseur d’intelligence artificielle ou d’un traitement automatisé de documents ;
- d’une offre payante ou d’un prestataire de paiement ;
- d’un outil d’analytics, de publicité ou de nouveaux cookies ;
- d’une transmission de données à un avocat ou à
my.swim.legal; - d’un nouveau prestataire, transfert international ou changement important de conservation.
Une modification substantielle est portée à la connaissance des personnes concernées avant son entrée en vigueur lorsque cela est requis.