Politique de confidentialité
Version du 19 août 2026
Art. 1 — Responsable du traitement
Le responsable du traitement au sens du Règlement (UE) 2016/679 (« RGPD ») est De Buck Technologies SRL, société de droit belge, joignable à l'adresse contact@elephantpool.ai. La présente politique couvre le site elephantpool.ai, l'application app.elephantpool.ai, l'API d'inférence et l'agent hôte mahout.
Art. 2 — Données traitées
| Catégorie | Détail |
|---|---|
| Données de compte | Adresse e-mail (obligatoire), nom ou raison sociale (facultatif), persona choisi (builder / hôte / les deux). Aucun mot de passe n'est stocké : l'authentification se fait par lien magique ou connexion Google. |
| Données de paiement | Traitées par Stripe (paiements des Builders, vérification d'identité et versements des Hôtes) ; nous ne conservons que des références tokenisées et le statut des transactions — jamais de numéro de carte. |
| Données d'usage API | Métadonnées agrégées et quantitatives : nombre de tokens, modèle utilisé, horodatages, latence, empreintes cryptographiques des reçus — nécessaires à la facturation, aux versements et à la prévention de la fraude. |
| Télémétrie des machines hôtes | Inventaire matériel (modèle de GPU, VRAM), résultats de benchmark, signaux de disponibilité (« heartbeats »), température et charge — nécessaires pour router les tâches et rémunérer le travail. |
| Contenu des prompts / réponses | Non collecté. Le contenu existe uniquement de manière transitoire en mémoire vive (RAM) sur la passerelle et la machine d'exécution ; il n'est jamais journalisé, jamais conservé et jamais utilisé pour entraîner des modèles. |
Art. 3 — Finalités et bases légales
- Exécution du contrat (art. 6.1.b RGPD) : création et gestion du compte, fourniture de l'API, routage des tâches, facturation, rémunération des Hôtes.
- Obligation légale (art. 6.1.c RGPD) : comptabilité, fiscalité, obligations de lutte contre la fraude et le blanchiment via notre prestataire de paiement.
- Intérêt légitime (art. 6.1.f RGPD) : sécurité du réseau, prévention des abus et de la fraude, statistiques agrégées et anonymisées, communications de service.
Aucune décision entièrement automatisée produisant des effets juridiques n'est prise à votre égard. Aucune donnée n'est vendue.
Art. 4 — Destinataires et sous-traitants
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Stripe | Paiements, vérification d'identité (KYC) des Hôtes, versements SEPA | Entité européenne (Stripe Payments Europe, Irlande) |
| Mailgun (région EU) | Envoi des e-mails transactionnels (liens magiques, notifications) | Infrastructure européenne |
| Hébergement | Plan de contrôle, site web et base de données | Serveurs situés dans l'Union européenne |
Chaque sous-traitant est lié par un contrat conforme à l'article 28 RGPD.
Art. 5 — Transferts hors Union européenne
Le plan de contrôle, le site et les e-mails sont opérés depuis l'Union européenne. Pour le niveau de service EU-Sovereign, l'exécution des requêtes d'inférence est restreinte à des machines situées physiquement dans l'UE : aucun transfert de données hors UE n'a lieu pour ce niveau. Pour le niveau standard, une requête peut être exécutée sur la machine d'un hôte situé hors UE ; seul le contenu transitoire en mémoire est concerné, aucune donnée personnelle de compte n'étant transmise aux hôtes.
Art. 6 — Durées de conservation
| Données | Durée |
|---|---|
| Données de compte | Durée de vie du compte, puis suppression ou anonymisation dans les 12 mois suivant la clôture |
| Métadonnées de facturation et reçus | 7 ans (obligations comptables et fiscales belges) |
| Télémétrie des machines hôtes | 12 mois glissants (données techniques détaillées), agrégats conservés à des fins statistiques |
| Journaux techniques de sécurité | 12 mois maximum |
| Contenu des prompts / réponses | Aucune conservation (mémoire vive uniquement) |
Art. 7 — Vos droits
Conformément aux articles 15 à 21 du RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition. Pour les exercer, écrivez à contact@elephantpool.ai ; nous répondons dans un délai d'un mois.
Vous pouvez également introduire une réclamation auprès de l'Autorité de protection des données belge (APD) : www.autoriteprotectiondonnees.be.
Art. 8 — Cookies et stockage local
Le site n'utilise aucun cookie publicitaire et aucun traceur tiers. Le stockage local du navigateur (localStorage) conserve uniquement des préférences fonctionnelles : thème d'affichage (clair/sombre), langue, et jeton de session pour l'application. Ces éléments, strictement nécessaires au fonctionnement, ne requièrent pas de consentement et ne servent à aucun profilage.
Art. 9 — Sécurité
Les échanges sont chiffrés en transit (TLS), l'accès aux systèmes est restreint et journalisé, et les reçus de travail sont signés cryptographiquement. Les moteurs d'inférence s'exécutent chez les Hôtes dans des conteneurs isolés sans sortie réseau, garantissant que le contenu traité ne peut être exfiltré ni conservé.
Art. 10 — Accord de traitement des données (DPA)
Un accord de traitement des données conforme à l'article 28 RGPD est disponible sur simple demande pour les clients entreprises : contact@elephantpool.ai.
Art. 11 — Modifications
La présente politique peut être mise à jour ; la date en tête de page fait foi. Toute modification substantielle est notifiée par e-mail ou via le tableau de bord avant son entrée en vigueur.
English summary
De Buck Technologies SRL (Belgium) is the data controller for elephantpool.ai. We process only account data (email, optional name, persona), aggregated API usage metadata, and host machine telemetry (GPU model, heartbeats); prompt and output content lives only transiently in RAM, is never logged, never stored and never used for training. Legal bases are contract, legitimate interest and legal obligation. Processors: Stripe (payments/KYC), Mailgun EU (emails) and EU hosting; the EU-Sovereign tier involves no data transfer outside the EU. Billing metadata is kept 7 years (Belgian accounting law), telemetry 12 months. You may exercise your GDPR rights (access, rectification, erasure, portability, objection) via contact@elephantpool.ai or complain to the Belgian DPA (www.autoriteprotectiondonnees.be). The site uses localStorage only for theme, language and session — no advertising cookies, no third-party trackers. A GDPR art. 28 DPA is available for business customers. Only the French version above is binding.