Politique de confidentialité

Maijin Shield vous permet de confier vos documents Word, Excel, PowerPoint, PDF et XML à une intelligence artificielle (ChatGPT, Claude, Copilot…) sans lui livrer les données personnelles ou sensibles qu'ils contiennent. Cette page décrit exactement ce que nous traitons, où, et pendant combien de temps.

En bref

• Vos documents sont analysés en Suisse ; les originaux ne sont jamais conservés.
• Pour vous permettre de retrouver les vraies valeurs et de retélécharger vos documents anonymisés, nous gardons la table de correspondance entre étiquettes et vraies valeurs et la version anonymisée de chaque document, chiffrées, pendant 90 jours. Vous pouvez les effacer à tout moment.
• En équipe, seule la personne qui a anonymisé un document peut en retrouver les vraies valeurs, tant qu'elle fait partie de l'équipe ; les administrateurs voient le nom anonymisé du fichier, sa date et son auteur, et choisissent les données à masquer.
• Déposé par e-mail, un document est traité de la même façon, en Suisse, et l'e-mail est effacé dès qu'il est traité. La pièce jointe et la réponse restent dans votre propre messagerie.
• Tous nos e-mails partent de la messagerie d'Infomaniak, en Suisse.
• La démo sans compte ne conserve aucun document ; ses tables de correspondance restent en mémoire, chiffrées, jamais en base de données, et sont effacées 1 heure après le dernier document déposé.
• Aucun traceur, aucun cookie publicitaire, aucun outil d'analyse tiers.
• Pour améliorer l'outil, nous mesurons comment il est utilisé (nombre de pages, types de données masquées…), sans jamais enregistrer le contenu de vos documents.
• Le paiement des abonnements passe par Stripe, qui ne reçoit jamais un document.
• Vous pouvez télécharger vos données, les faire corriger ou effacer ; nous répondons à toute demande dans les 30 jours, et vous pouvez vous adresser au Préposé fédéral à la protection des données (PFPDT).
• L'extension du navigateur vérifie un document sur votre ordinateur avant qu'il parte vers ChatGPT, Claude ou une autre IA ; il n'est envoyé à Maijin Shield que si vous choisissez de l'anonymiser.

1. Qui est responsable

Maijin Shield est édité par Maijin Sàrl, Route de Saint-Julien 184, 1228 Plan-les-Ouates, Suisse (CHE-300.778.667). Contact : contact@maijin.ch, +41 22 566 74 60.

Maijin Sàrl est responsable du traitement pour les données de votre compte et de votre équipe (adresses e-mail, sessions, invitations, réglages), la facturation, les statistiques d'usage, le journal d'audit, les formulaires du site et la démo sans compte. Pour les données personnelles contenues dans les documents que vous traitez, dans leurs tables de correspondance et dans leurs versions anonymisées, vous (ou votre organisation) restez responsable du traitement ; Maijin Sàrl agit comme sous-traitant, uniquement pour exécuter l'anonymisation et la restitution que vous demandez. Lorsqu'une organisation utilise Maijin Shield en équipe, c'est elle qui décide qui en fait partie et quelles données sont masquées.

Le contrat de sous-traitance (art. 9 nLPD) s'applique à tout abonnement : il fait partie des conditions générales et il est accepté avec elles à la souscription.

2. Vos documents

Le document d'origine (Word, Excel, PowerPoint, PDF ou XML) que vous déposez est lu en mémoire sur notre serveur en Suisse, le temps de l'analyse et de la génération du document anonymisé. Il n'est jamais enregistré : ni sur disque, ni en base de données, ni dans nos journaux. Il en va de même pour le document retravaillé par l'IA que vous déposez pour retrouver les vraies valeurs. Seule la version anonymisée produite est conservée, chiffrée, dans votre espace (section 3).

Les données à masquer sont repérées en deux temps :

• Identifiants à format fixe (numéro AVS, IBAN, e-mail, téléphone, dates, codes postaux) : repérés par des règles déterministes, sur notre serveur.
• Données contextuelles (noms, adresses, données de santé, opinions…) : le texte du document est transmis, via une connexion chiffrée, à des modèles de langage hébergés par Infomaniak en Suisse (Infomaniak AI Tools), qui nous renvoient la liste des passages à masquer. La requête ne contient ni le nom du fichier ni l'identité de votre compte. Selon Infomaniak, ces données ne sont ni conservées ni utilisées pour entraîner ses modèles.

Par e-mail. Vous pouvez aussi transférer un document à votre adresse de dépôt personnelle (…@depot.maijinshield.ch). L'e-mail arrive dans une boîte du Service Mail d'Infomaniak, en Suisse ; notre serveur le relève aussitôt, traite ses pièces jointes Word, Excel, PowerPoint, PDF et XML en mémoire comme un dépôt dans l'espace, puis l'efface définitivement de la boîte, qu'il ait été traité ou non ; le dossier des indésirables et la corbeille de la boîte sont purgés toutes les heures. Le texte de l'e-mail n'est ni lu ni conservé ; son objet est repris dans la réponse.

Seuls les e-mails envoyés depuis l'adresse de votre compte et authentifiés (contrôles DMARC, DKIM et SPF alignés sur cette adresse) sont traités. La réponse (le document anonymisé, ou le document avec ses vraies valeurs) est envoyée par Infomaniak uniquement à cette adresse.

Votre messagerie. La pièce jointe que vous envoyez et la réponse que vous recevez, y compris un document restitué qui contient les vraies valeurs, restent dans votre propre messagerie, souvent hébergée hors de Suisse (Microsoft 365, Gmail…) et conservées par votre fournisseur d'e-mail selon ses règles. Maijin n'a aucune prise sur elle. Si ce n'est pas acceptable pour vos documents, déposez-les plutôt dans votre espace.

L'extension du navigateur

L'extension Maijin Shield (Chrome, Edge) n'agit que sur les sites d'IA qu'elle connaît (ChatGPT, Claude, Gemini, Copilot, Le Chat, Perplexity, DeepSeek, Grok) et sur maijinshield.ch. Quand vous y déposez un fichier, elle le lit sur votre ordinateur pour y repérer des données personnelles, avant que le site ne le reçoive. À cette étape, rien ne quitte votre ordinateur.

Le fichier n'est envoyé à Maijin Shield, en Suisse, que si vous choisissez « Anonymiser puis envoyer » ou « Vérifier d'abord » ; il est alors traité exactement comme un document déposé dans votre espace (original jamais conservé, table de correspondance et version anonymisée chiffrées 90 jours, ou rien du tout en anonymisation définitive). La fenêtre « Vérifier d'abord » est une page de maijinshield.ch, jamais affichée dans la page du site d'IA. Seule la version anonymisée est remise au site d'IA que vous utilisez ; les vraies valeurs ne lui sont jamais transmises.

L'extension garde dans votre navigateur la clé de l'appareil (que vous pouvez retirer dans vos Paramètres), l'adresse e-mail et le nom de l'équipe du compte relié, la langue et votre choix « Pouvoir retrouver les vraies valeurs ». Pour mesurer son usage, elle nous envoie la décision prise (alerte affichée, anonymisé, envoyé quand même, annulé), le nombre de fichiers et le nombre de données par catégorie, jamais le contenu, le nom du fichier ni le site. Elle ne lit pas vos conversations ni ce que vous tapez, sauf quand vous cliquez « Retrouver les vraies valeurs » : elle prend alors le texte sélectionné, ou la dernière réponse de l'IA qui contient des étiquettes, et l'envoie à Maijin Shield, en Suisse, qui l'affiche avec les vraies valeurs dans sa propre fenêtre, jamais dans la page du site d'IA. Rien n'en est conservé. Elle ne collecte pas votre historique de navigation et ne transmet aucune donnée à des tiers.

3. La table de correspondance et la version anonymisée (espace connecté)

Pour remettre les vraies valeurs dans le document que l'IA vous rend, nous conservons, pour chaque document anonymisé, la table de correspondance qui relie chaque étiquette (par exemple [PERSONNE_1]) à la vraie valeur, ainsi que le nom du fichier d'origine et celui du fichier anonymisé. Nous conservons aussi la version anonymisée du document (celle que vous confiez à l'IA), pour que vous puissiez la retélécharger depuis l'historique ; en anonymisation définitive, ni la table ni cette version ne sont conservées. Ces informations peuvent contenir des données sensibles au sens de la nLPD (par exemple des données de santé).

• Elles sont chiffrées (AES-256-GCM), avec une clé conservée hors de la base de données : une copie de la base seule ne permet pas de les lire.
• Elles sont rattachées à votre compte et ne sont utilisées que pour vous restituer vos valeurs, lorsque vous déposez un document retravaillé, pour afficher votre historique et pour vous remettre la version anonymisée quand vous la retéléchargez.
• Elles sont effacées automatiquement après 90 jours (durée fixée au moment de l'anonymisation). Vous pouvez effacer un document (sa table et sa version anonymisée) à tout moment depuis « Mes documents », ou tout effacer en supprimant votre compte.
• Pour reconnaître automatiquement le document d'origine, nous conservons aussi une empreinte du texte anonymisé : une suite de nombres calculés avec une clé secrète, qui ne permet pas de reconstituer le texte.

Registre des étiquettes. Une même valeur garde la même étiquette dans tous vos documents, pour que l'IA puisse rapprocher des documents anonymisés séparément ; la numérotation est commune à votre équipe, pour qu'une étiquette n'y désigne qu'une seule valeur. Nous tenons pour cela un registre : chaque valeur y est chiffrée et retrouvée par une empreinte à clé, jamais en clair. Une étiquette est effacée avec le dernier document qui l'utilise : une valeur peut donc rester enregistrée au-delà de 90 jours après sa première apparition, si elle figure dans un document plus récent.

En équipe. Le document anonymisé est rattaché à l'équipe. Pour les documents de leurs collègues, les administrateurs voient seulement le nom anonymisé du fichier, sa date et l'adresse e-mail de son auteur, et peuvent les effacer ; ils ne voient jamais les vraies valeurs. Seule la personne qui a anonymisé un document peut en retrouver les vraies valeurs et en retélécharger la version anonymisée, et seulement tant qu'elle est membre de l'équipe : une personne retirée de l'équipe, ou qui la quitte, n'y a plus accès. Les documents qu'elle a anonymisés à titre personnel, hors de l'équipe, restent les siens.

4. La démo sans compte

La démo de la page d'accueil fonctionne comme l'espace connecté, sans compte ; Maijin Sàrl est responsable de ce traitement. Comme dans l'espace, le texte du document est envoyé à l'IA d'Infomaniak, en Suisse : utilisez de préférence un document fictif ou de test. Le document n'est jamais conservé. La table de correspondance est gardée, chiffrée, dans la mémoire du serveur seulement (jamais en base de données), et effacée 1 heure après le dernier document déposé (le délai repart à chaque document) ; un redémarrage du serveur l'efface aussi. Elle est liée à un cookie technique, « shield_demo » : aléatoire, HttpOnly, valable 1 heure, envoyé uniquement aux adresses de la démo et strictement nécessaire pour essayer le retour des vraies valeurs.

Pour protéger le service contre les abus, votre navigateur résout un petit calcul (anti-robot ALTCHA, calculé dans votre navigateur, sans service tiers) et le nombre d'essais est limité par adresse IP. Cette adresse n'est utilisée qu'en mémoire, pour appliquer cette limite : elle n'est jamais enregistrée. Chaque essai laisse une ligne de statistiques, faite de nombres et de codes, sans contenu ni adresse IP.

5. Votre compte

Votre compte est ouvert par l'administrateur de votre équipe, qui vous invite, ou par notre équipe après une démonstration. Nous n'avons besoin que de votre adresse e-mail : vous vous connectez avec un lien reçu par e-mail, sans mot de passe. Ce lien est valable 15 minutes et ne sert qu'une fois. Une session dure 7 jours ; elle est prolongée quand vous utilisez le service (au plus une fois par jour) et prend fin à la déconnexion. Nous n'enregistrons ni l'adresse IP ni le navigateur de vos sessions. Un cookie strictement nécessaire maintient votre connexion ; il ne sert à rien d'autre.

Pour appliquer les limites de votre offre, nous comptons le nombre de pages anonymisées par mois. Ce compteur ne contient ni nom de fichier ni contenu.

Équipes. Si vous créez ou rejoignez une équipe, nous enregistrons son nom, ses membres (adresse e-mail et rôle : propriétaire, administrateur ou membre) et les invitations envoyées (adresse invitée, auteur, date ; valables 7 jours). Les membres d'une équipe voient les adresses e-mail des autres membres. L'offre (choisie selon le nombre de membres, invitations en attente comprises), le compteur de pages du mois et les réglages de masquage (les types de données à laisser en clair) sont ceux de l'équipe.

Abonnement. Le paiement se fait sur la page sécurisée de Stripe : vos données de carte sont saisies chez Stripe et ne nous parviennent jamais. Nous recevons de Stripe l'état de votre abonnement (actif, résilié, échéance) et un identifiant client. Stripe conserve les données de facturation (nom, adresse de facturation, numéro de TVA le cas échéant, e-mail, historique des paiements) pour émettre vos factures. Stripe traite aussi ces données pour ses propres obligations (prévention de la fraude, lutte contre le blanchiment d'argent, obligations légales), sous sa propre responsabilité : voir sa politique de confidentialité (stripe.com/privacy).

6. Hébergement, sous-traitants et destinataires

• Infomaniak Network SA (Rue Eugène-Marziano 25, 1227 Les Acacias, Genève, Suisse) : hébergement du serveur, à Genève, et de la base de données ; modèles de langage de la détection (AI Tools) ; messagerie (Service Mail) : boîte du dépôt par e-mail et envoi de tous nos e-mails (liens de connexion, invitations, notifications, réponses du dépôt). Tout cela en Suisse.
• Stripe Payments Europe, Ltd. (Irlande) et Stripe, LLC (États-Unis) : paiement et facturation des abonnements. Stripe ne reçoit que les données de facturation décrites plus haut, jamais un document ni une donnée traitée par l'outil.
• Les membres de votre équipe voient les adresses e-mail des autres membres ; ce que voient les administrateurs est décrit à la section 3.

Communication de données à l'étranger (art. 16 nLPD). Seules les données de facturation quittent la Suisse, vers Stripe. L'Irlande fait partie des États dont la législation assure un niveau de protection adéquat selon le Conseil fédéral. Stripe, LLC est certifiée selon le Swiss-U.S. Data Privacy Framework, reconnu comme garantissant un niveau de protection adéquat depuis le 15 septembre 2024. Aucun document ni aucune donnée traitée par l'outil n'est communiqué à l'étranger par Maijin (pour votre propre messagerie, voir la section 2).

7. Durées de conservation

• Documents déposés (originaux) : aucune (traitement en mémoire uniquement).
• Tables de correspondance, noms de fichiers, empreintes et versions anonymisées des documents : 90 jours, ou moins si vous les effacez ; rien en anonymisation définitive.
• Registre des étiquettes : jusqu'à l'effacement du dernier document qui utilise l'étiquette.
• Démo sans compte : tables de correspondance en mémoire seulement, chiffrées, effacées 1 heure après le dernier document déposé ; cookie de démo : 1 heure.
• E-mails reçus sur votre adresse de dépôt : effacés de la boîte dès leur traitement ; indésirables et corbeille purgés toutes les heures.
• Compte : jusqu'à sa suppression ; sessions : 7 jours, prolongées à l'usage, ou jusqu'à la déconnexion ; lien de connexion : 15 minutes, usage unique.
• Équipe : jusqu'à sa suppression par son propriétaire ; invitations : valables 7 jours, effacées dans l'heure qui suit leur utilisation, leur refus, leur annulation ou leur expiration.
• Formulaires (contact, demande de démo, retour d'expérience) : 12 mois, puis effacés.
• Statistiques d'utilisation : rattachées au compte pendant 13 mois, puis détachées ; effacées après 25 mois. Pages vues : 25 mois.
• Journal d'audit : 13 mois.
• Sauvegardes : quotidiennes, sur le serveur en Suisse, effacées après 14 jours. Une donnée effacée disparaît donc aussi des sauvegardes dans ce délai. Les tables de correspondance et les versions anonymisées y restent chiffrées.
• Journaux techniques du serveur : limités en volume (les plus anciens sont écrasés), sans adresse IP, sans en-têtes ni paramètres d'adresse.
• Données de facturation (abonnements) : chez Stripe, 10 ans, durée imposée par le droit suisse pour les pièces comptables (art. 958f CO), y compris après la suppression du compte.

8. Statistiques d'utilisation

Pour améliorer l'outil et ajuster nos offres, nous enregistrons, sur notre serveur en Suisse, les actions faites avec votre compte : connexion, analyse, anonymisation et restitution d'un document, effacement d'un document, vie de l'équipe (création, invitation, arrivée, départ), changement des réglages de masquage, souscription ou changement d'offre et résiliation (avec le motif choisi dans la liste de Stripe, jamais un commentaire libre).

Pour chaque action, nous gardons uniquement des nombres et des codes : la date, le format (Word, Excel, PowerPoint, PDF ou XML), le nombre de pages et de caractères, le nombre de données masquées par type (par exemple « 3 noms, 1 IBAN »), le nombre de corrections faites dans l'aperçu, la durée du traitement et, le cas échéant, le motif d'un refus (quota atteint, fichier illisible…). Jamais le contenu d'un document, un nom de fichier ni une valeur détectée.

Ces statistiques sont rattachées à votre compte pendant 13 mois, puis détachées de vous ; elles sont effacées au bout de 25 mois. Si vous supprimez votre compte, elles sont aussitôt et définitivement détachées de vous. Seule l'équipe de Maijin y a accès, dans un tableau de bord interne protégé par mot de passe.

Nous comptons aussi les pages vues du site public (le jour, la page et la langue), sans cookie, sans adresse IP ni identifiant de visiteur. Chaque essai de la démo sans compte laisse une ligne de statistiques, sans contenu ni adresse IP.

9. Journal d'audit

Pour assurer la traçabilité exigée par l'art. 4 OPDo, nous tenons un journal des opérations sur les documents : qui a analysé, créé, restitué, consulté ou effacé quel document, quand, et à quel destinataire le texte a été envoyé pour la détection (Infomaniak AI Tools). Chaque entrée comporte l'adresse e-mail de son auteur, mais jamais de contenu (ni texte, ni nom de fichier, ni valeur). Le journal est tenu en ajout seul et conservé 13 mois ; seules les personnes chargées de la sécurité chez Maijin y ont accès.

10. Sécurité

Connexions chiffrées (HTTPS), tables de correspondance et versions anonymisées chiffrées (AES-256-GCM), base de données inaccessible depuis Internet, pare-feu, accès au serveur par clé SSH uniquement et sans connexion « root », journal d'audit en ajout seul, sauvegardes quotidiennes contrôlées avec alerte en cas d'échec, journaux techniques sans adresse IP, politique de sécurité du contenu stricte (votre navigateur ne communique qu'avec notre domaine), limites de taille et contrôles sur les fichiers déposés. Le détail figure sur la page Sécurité des données.

11. Vos droits

Conformément à la loi fédérale sur la protection des données (nLPD, art. 25 à 32) et, par alignement, au RGPD, vous disposez des droits suivants :

• Accès : savoir si nous traitons des données vous concernant, lesquelles, et recevoir les informations prévues par la loi.
• Remise ou transmission (art. 28 nLPD) : recevoir les données de votre compte dans un format électronique courant, ou les faire transmettre à un autre responsable. Vous les téléchargez vous-même avec le bouton « Télécharger mes données » de vos Paramètres.
• Rectification : faire corriger des données inexactes. Vous modifiez vous-même vos réglages et votre équipe ; pour changer l'adresse e-mail de votre compte, écrivez-nous.
• Effacement : effacer chaque document conservé (table et version anonymisée) depuis « Mes documents », quitter une équipe, supprimer votre compte (avec toutes ses tables et versions anonymisées) depuis vos Paramètres, ou nous le demander. Restent seulement, pour leur durée (section 7), les données de facturation, le journal d'audit et les sauvegardes.
• Opposition : vous opposer à un traitement de vos données.

Nous répondons à toute demande dans les 30 jours. Pour vérifier qu'elle vient bien de vous, nous pouvons vous demander de l'envoyer depuis l'adresse e-mail de votre compte.

Données figurant dans un document. Si votre demande porte sur un document qu'une organisation (cabinet, employeur, assurance…) a traité avec Maijin Shield, c'est cette organisation qui en est responsable : adressez-vous à elle. Si vous nous écrivez, nous lui transmettons votre demande lorsque vous nous l'indiquez, et nous l'aidons à vous répondre.

Plainte. Vous pouvez aussi vous adresser au Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne, www.edoeb.admin.ch.

Pour exercer vos droits : contact@maijin.ch.

12. Après l'anonymisation

Le document anonymisé que vous confiez ensuite à une IA tierce ne contient plus les données masquées. L'usage de cet assistant tiers relève de votre responsabilité et de ses propres conditions. Relisez toujours l'aperçu avant de télécharger : vous pouvez y masquer une donnée oubliée.

13. Limite connue

L'anonymisation réduit fortement le risque d'identification, sans pouvoir le garantir à 100 % : le recoupement de données indirectes (par exemple un code postal, un âge et un diagnostic rare) peut théoriquement permettre une ré-identification. Le contenu des images (photo, texte scanné) n'est pas anonymisé : vous pouvez choisir de retirer les images du document. Masquez généreusement en cas de doute.

14. Modifications

Cette politique peut évoluer avec l'outil. La date de dernière mise à jour figure en haut de cette page.