Dernière mise à jour : 5 novembre 2026.
Qui est responsable
A-REX (société en cours de constitution) exploite ce site, platform.a-rex.org, ainsi qu’A-REX Platform, le service de traçabilité que les entreprises utilisent via la console, l’API et l’assistant. Jusqu’à la constitution d’A-REX, ses fondateurs agissent pour son compte. Pour toute question ou demande concernant vos données personnelles, écrivez à [email protected].
Cette politique applique la loi générale de protection des données du Brésil, la loi brésilienne 13.709/2018 (LGPD), le règlement général sur la protection des données (RGPD) pour les personnes situées dans l’Espace économique européen, et les lois sur la protection de la vie privée des consommateurs des États américains qui en sont dotés. Elle s’applique à tous, où qu’ils se trouvent.
Le standard ouvert A-REX et son site, standard.a-rex.org, sont gérés par l’A-REX Foundation, qui a sa propre politique de confidentialité.
Deux rôles
- A-REX décide (responsable du traitement). Pour ce site, le formulaire de contact, votre compte utilisateur, la sécurité du service, les demandes d’assistance et la facturation, A-REX détermine pourquoi et comment vos données sont traitées.
- A-REX agit pour le compte d’une entreprise (sous-traitant, ou operador au sens de la LGPD). Les enregistrements qu’une entreprise tient dans A-REX Platform (ses lots, ses livraisons, ses certificats, ainsi que les personnes et les entreprises de son annuaire, comme les fournisseurs, les agriculteurs et les acheteurs) appartiennent à cette entreprise. L’entreprise décide de ce qu’elle enregistre et pourquoi ; A-REX ne traite ces enregistrements que sur ses instructions. Si une entreprise détient vos données, adressez-vous d’abord à cette entreprise ; nous l’aidons à vous répondre.
Sur ce site
Le site ne dépose aucun cookie et n’utilise aucun outil de mesure d’audience ni aucun traceur publicitaire. Votre navigateur conserve le thème de couleur que vous avez choisi dans son stockage local ; il ne quitte jamais votre appareil.
Cloudflare héberge le site. Pour le diffuser et le protéger, Cloudflare traite des données techniques telles que votre adresse IP, votre navigateur et les pages que vous demandez.
Lorsque vous nous écrivez via le formulaire de contact, nous conservons votre nom, votre adresse e-mail professionnelle, votre entreprise, son activité, votre pays, vos produits, votre message, l’offre sur laquelle vous nous interrogez et la langue de la page. Pour limiter les abus, nous conservons pendant une journée une empreinte de votre connexion, jamais l’adresse elle-même. Cloudflare Turnstile vérifie que c’est bien une personne qui a envoyé le formulaire ; il traite des données techniques sur votre navigateur et votre connexion, et nous ne recevons que le résultat.
Dans A-REX Platform
Votre compte. Votre nom, votre adresse e-mail, votre langue, les entreprises et les rôles qui vous ont été attribués, vos méthodes de connexion (clés d’accès (passkeys) et second facteur, jamais de mot de passe en clair), vos sessions, et un historique de ce que vous avez fait dans la console : chaque proposition, approbation, téléchargement et modification garde la trace de son auteur. La connexion utilise des cookies strictement nécessaires au service.
Les enregistrements d’une entreprise. Ce que l’entreprise enregistre : lots, quantités, livraisons, certificats, documents, événements au champ et les personnes et entreprises de son annuaire. Les noms, numéros fiscaux, données de contact, adresses et coordonnées des parcelles sont stockés chiffrés, avec des clés conservées dans un service de gestion des clés.
L’assistant, Humboldt et les agents. Lorsque vous posez une question à l’assistant, ou qu’un agent travaille pour votre entreprise, la question et les enregistrements nécessaires pour y répondre sont envoyés à Anthropic, qui fournit les modèles d’IA. Les numéros fiscaux et les identifiants similaires sont remplacés par des marqueurs avant d’atteindre le modèle. Anthropic traite ces données en tant que notre sous-traitant ultérieur et ne les utilise pas pour entraîner ses modèles. L’assistant ne fait que préparer des propositions ; des personnes approuvent chaque modification.
Assistance. Ce que vous écrivez dans une demande d’assistance, et ce que vous choisissez d’y joindre. L’assistance ne voit jamais une conversation avec l’assistant, sauf si vous l’incluez dans un signalement de problème.
Facturation. Le nom de l’organisation, le contact de facturation et l’offre. Stripe traite les paiements ; A-REX ne voit jamais les numéros de carte. Pendant l’alpha, la facturation fonctionne dans le mode test de Stripe et rien n’est facturé.
Cartes et météo. Pour afficher la météo d’un événement au champ, son emplacement et sa date, sans aucun nom, sont envoyés à OpenWeather et à Copernicus (ERA5). Lorsque vous ouvrez une carte avec des images satellite d’Esri, votre navigateur demande les images à Esri, qui voit votre adresse IP.
Messages. Si une entreprise connecte son propre canal e-mail ou WhatsApp, les messages envoyés à ce canal sont traités pour le compte de l’entreprise, qui en est responsable. Les messages WhatsApp transitent par Meta.
Registres publics : ce qui reste pour toujours
Les enregistrements de chaque entreprise sont aussi inscrits sur des registres publics, afin que chacun puisse les vérifier sans avoir à faire confiance à A-REX : le registre propre à l’entreprise sur un réseau compatible EVM, et des empreintes quotidiennes publiées sur Hedera et sur Bitcoin (via OpenTimestamps). Pendant l’alpha, seuls des réseaux de test sont utilisés.
Ce qui est inscrit sur un registre public ne peut être ni modifié ni supprimé par personne, y compris A-REX. C’est pourquoi le registre ne contient ni noms, ni numéros fiscaux, ni données de contact, ni adresses, ni coordonnées, ni documents : seulement des enregistrements de lots sans données personnelles, des empreintes, et les adresses publiques des clés qui approuvent. Ces adresses ne portent aucun nom, mais l’entreprise et A-REX peuvent relier une clé au membre qui la détient. Si vous nous demandez d’effacer vos données, nous supprimons ce lien et tout ce que nous détenons par ailleurs ; l’adresse elle-même reste sur le registre, sans votre nom.
Pourquoi nous les utilisons, et sur quelle base
| Finalité | Base légale |
|---|---|
| Fournir le service auquel une entreprise a souscrit : comptes, enregistrements, approbations, rapports | Exécution d’un contrat (LGPD art. 7, V ; RGPD art. 6(1)(b)) |
| Traiter les enregistrements d’une entreprise sur ses instructions | La base propre à l’entreprise, A-REX agissant comme son sous-traitant (LGPD art. 39 ; RGPD art. 28) |
| Assurer la sécurité du service, garder la trace de qui a fait quoi, prévenir les abus | Intérêt légitime (LGPD art. 7, IX ; RGPD art. 6(1)(f)) |
| Répondre au formulaire de contact et aux demandes d’assistance | Mesures précontractuelles prises à votre demande, ou le contrat (LGPD art. 7, V ; RGPD art. 6(1)(b)) |
| Facturation, factures et documents fiscaux | Obligation légale et contrat (LGPD art. 7, II et V ; RGPD art. 6(1)(b) et (c)) |
| Se conformer à une décision de justice ou à une demande légitime d’une autorité | Obligation légale (LGPD art. 7, II ; RGPD art. 6(1)(c)) |
Nous ne vendons pas de données personnelles, ne les partageons pas à des fins de publicité comportementale inter-contextes et ne les utilisons pas à des fins publicitaires. Nous ne prenons à votre égard aucune décision produisant des effets juridiques ou similaires sur le seul fondement d’un traitement automatisé : des personnes approuvent chaque modification.
Qui nous aide (sous-traitants ultérieurs)
- Cloudflare : hébergement de ce site, base de données du formulaire de contact, Turnstile.
- Anthropic : les modèles d’IA de l’assistant, d’Humboldt et des agents.
- Stripe : facturation et paiements.
- Resend : envoi des e-mails.
- Esri : images satellite pour les cartes.
- OpenWeather et Copernicus (ERA5) : météo des événements au champ.
- Meta : messages WhatsApp, uniquement pour les entreprises qui connectent ce canal.
- Hedera, Bitcoin (OpenTimestamps) et réseaux compatibles EVM : les registres publics décrits ci-dessus.
Avant le démarrage du service de production, cette liste indiquera aussi où sont hébergées la console, sa base de données et ses clés. Nous mettons cette liste à jour avant d’ajouter un sous-traitant ultérieur.
Transferts hors de votre pays
Certains de ces prestataires traitent des données hors du Brésil et de l’Espace économique européen, notamment aux États-Unis. Lorsque la loi l’exige, nous nous appuyons sur des clauses contractuelles types (celles de la Commission européenne et celles approuvées par l’ANPD brésilienne dans la résolution CD/ANPD 19/2024) ou sur un autre mécanisme de transfert autorisé par la loi.
Durée de conservation
- Formulaire de contact : douze mois après notre dernier message, sauf si votre entreprise devient cliente.
- Compte : tant que le compte existe. Lorsque vous quittez une entreprise, votre accès prend fin ; votre nom reste dans l’historique des approbations que vous avez données, car cet historique constitue la preuve de l’entreprise.
- Enregistrements d’une entreprise : aussi longtemps que l’entreprise les conserve et que son contrat est en vigueur, puis supprimés après que l’entreprise a eu la possibilité de les exporter, sauf ce que la loi nous oblige à conserver.
- Demandes d’assistance : trois ans après leur clôture, sauf si une conservation est imposée pour des raisons juridiques.
- Documents de facturation : aussi longtemps que l’exige la loi fiscale.
- Registres publics : de façon permanente, comme expliqué ci-dessus, sans données personnelles.
Vos droits
Vous pouvez nous demander de confirmer si nous traitons vos données, de vous y donner accès ou de vous en remettre une copie, de les rectifier, de les supprimer, de les anonymiser, d’en limiter l’utilisation ou de vous y opposer, de les transférer à un autre prestataire, et de savoir avec qui nous les avons partagées. Vous pouvez retirer votre consentement à tout moment lorsque nous nous fondons sur celui-ci. Écrivez à [email protected] ; nous répondons dans un délai de 15 jours et pouvons vous demander de confirmer votre identité.
Si vos données figurent dans les enregistrements d’une entreprise, nous transmettons votre demande à cette entreprise et l’aidons à y répondre.
Aux États-Unis, en vertu des lois sur la protection de la vie privée des consommateurs d’États comme la Californie, la Virginie, le Colorado, le Connecticut et le Texas, vous pouvez demander à connaître vos informations personnelles, à y accéder, à les rectifier et à les supprimer, et vous opposer à leur vente, à leur partage ou à leur utilisation à des fins de publicité ciblée (nous ne faisons rien de tout cela). Vous pouvez recourir à un mandataire autorisé, et nous vérifierons la demande. Nous ne vous traitons jamais différemment parce que vous exercez ces droits. Si nous refusons une demande, vous pouvez faire appel en répondant à notre réponse.
Vous pouvez aussi introduire une réclamation auprès d’une autorité de protection des données : au Brésil, l’ANPD (Autoridade Nacional de Proteção de Dados) ; dans l’Espace économique européen, l’autorité de votre pays ; aux États-Unis, le procureur général (attorney general) de votre État ou, en Californie, la California Privacy Protection Agency.
Sécurité
Chaque modification est une proposition qu’une personne approuve avec un second facteur. Les enregistrements de chaque entreprise sont séparés de ceux de toutes les autres. Les champs sensibles sont chiffrés, et l’accès de notre personnel est limité et journalisé. La page sécurité explique comment.
Enfants
Le site et le service sont destinés aux entreprises et aux professionnels. Nous ne collectons pas sciemment de données concernant des personnes de moins de 18 ans.
Modifications de cette politique
Lorsque cette politique change, nous mettons à jour cette page et sa date. Si une modification affecte la manière dont nous utilisons des données que nous détenons déjà, nous en informons les personnes concernées par e-mail ou dans la console avant son entrée en vigueur.
Délégué à la protection des données
Jusqu’à ce qu’A-REX soit constituée et désigne un délégué à la protection des données (encarregado au sens de la LGPD), les demandes relatives aux données personnelles sont à adresser à [email protected].