En bref
• Nous n'entraînons jamais de modèles d'IA avec vos données. Enregistrements, transcriptions, notes et comptes rendus ne servent jamais à entraîner les modèles de Noota ni ceux d'un tiers, quel que soit le plan, y compris Free.
• Vos données de réunion sont hébergées dans l'UE. Sur Google Cloud en Belgique et aux Pays-Bas, ou sur Scaleway à Paris avec notre offre souveraine.
• Vous maîtrisez la conservation. Une réunion supprimée est effacée de la production et des sauvegardes en moins de 24 heures. Les administrateurs Enterprise fixent la durée de conservation, de 1 jour à 3 ans.
• Vos données sont chiffrées au repos (AES-256) et en transit (TLS 1.2+). Noota est certifié ISO 27001.
• Pour le contenu des réunions, c'est votre organisation qui décide. Noota agit en tant que sous-traitant pour son compte, dans le cadre de notre accord de traitement des données (DPA).
• Questions ou demandes : dpo@noota.io. Réponse sous 30 jours maximum.
1. Qui sommes-nous
Noota est exploitée par NOOTA SAS, société par actions simplifiée immatriculée au RCS de Toulouse sous le numéro 888 965 951, dont le siège social est situé 13 rue Sainte Ursule, 31000 Toulouse, France.
Cette politique explique comment nous traitons les données personnelles lorsque vous visitez noota.io, créez un compte ou utilisez la plateforme, les applications, le bot, les intégrations et l'API Noota (les « Services »).
Notre Délégué à la protection des données (DPO) est un cabinet externe, BOLD, joignable à dpo@noota.io.
2. Notre rôle : responsable de traitement ou sous-traitant
Noota joue deux rôles distincts au sens du RGPD, selon les données.
• Sous-traitant, pour le contenu des réunions : audio, vidéo, transcriptions, notes, comptes rendus, résultats IA, noms et voix des participants, fichiers importés, emails et événements d'agenda connectés. C'est le client (votre organisation, ou vous si vous utilisez Noota seul) qui décide. Nous traitons ces données uniquement sur instruction documentée, dans le cadre du DPA.
• Responsable de traitement, pour les données de compte et de facturation, les données d'usage du site et du produit, les conversations support et les contacts commerciaux et marketing.
Lorsque Noota est sous-traitant, le client doit disposer d'une base légale pour enregistrer et traiter les réunions, et en informer les participants. La section 10 explique comment nous l'y aidons. Notre accord de traitement des données (DPA) encadre ce traitement et est disponible sur demande dans notre Trust Center (trust.noota.io).
3. Données collectées
• Données de compte : nom, email professionnel, entreprise, fonction, mot de passe (haché) ou identité SSO, langue et paramètres.
• Contenu des réunions (traité pour le compte du client) : enregistrements audio et vidéo, transcriptions, identification des intervenants, notes, comptes rendus, tâches et autres résultats IA, titre, date, durée et liste des participants.
• Données des services connectés : événements d'agenda, emails, fiches CRM ou ATS que vous choisissez de synchroniser (Google Workspace, Microsoft 365, Salesforce, HubSpot, etc.).
• Données de facturation : contact de facturation, adresse, numéro de TVA, factures. Les données de carte sont gérées par notre prestataire de paiement ; Noota ne les stocke jamais.
• Données d'usage et techniques : adresse IP, type d'appareil et de navigateur, journaux, usage des fonctionnalités, rapports d'erreur.
• Échanges : conversations support, emails et retours que vous nous envoyez.
• Données du site et marketing : formulaires, inscriptions newsletter, demandes de démo, cookies (voir notre Politique cookies).
4. Finalités et bases légales
• Fournir les Services (enregistrement, transcription, comptes rendus, fonctionnalités IA, intégrations) : contrat avec le client ; Noota agit en sous-traitant pour le contenu des réunions.
• Créer et gérer votre compte, support : contrat.
• Facturation, comptabilité, obligations fiscales : obligation légale.
• Sécurité, prévention de la fraude et des abus, fiabilité du service : intérêt légitime.
• Amélioration du produit à partir de statistiques d'usage agrégées et désidentifiées (jamais le contenu des réunions) : intérêt légitime.
• Emails produit et service aux clients : intérêt légitime (désinscription possible à tout moment).
• Newsletters et marketing aux prospects, cookies non essentiels : consentement.
• Réponse aux demandes légales, défense de nos droits : obligation légale ou intérêt légitime.
Nous ne vendons pas de données personnelles et ne les partageons pas avec des tiers pour leur propre prospection.
5. Intelligence artificielle et engagement de non-entraînement
Noota utilise l'IA pour transcrire les réunions et générer comptes rendus, notes, tâches, emails et autres contenus. Noota ne construit ni n'entraîne ses propres modèles de fondation : elle utilise des modèles tiers via des fournisseurs sécurisés et contractuellement encadrés.
• Les enregistrements, transcriptions, notes, comptes rendus, emails et tout autre contenu de réunion ne sont jamais utilisés pour entraîner, affiner ou améliorer un modèle d'IA, de Noota ou d'un tiers, quel que soit le plan, y compris Free.
• Nos fournisseurs d'IA sont tenus contractuellement à une rétention zéro : ils traitent le contenu uniquement pour renvoyer un résultat, puis le suppriment, sans pouvoir l'utiliser à leurs propres fins.
• Dans l'environnement standard, les modèles avancés (Anthropic Claude, Google Gemini, Mistral, etc.) sont utilisés uniquement via Google Cloud Vertex AI dans l'UE, jamais via des API grand public. La transcription est réalisée par Gladia, en Europe.
• Dans l'environnement souverain, le traitement IA repose sur Mistral AI et des modèles open-weight hébergés en France.
• Les équipes Noota ne lisent pas le contenu de vos réunions. Le support n'y accède que si vous lui transmettez explicitement un identifiant d'accès dédié, le temps de traiter votre demande.
Les résultats générés par l'IA peuvent contenir des erreurs : relisez-les avant de vous y fier pour une décision importante. Les clients peuvent désactiver certaines fonctionnalités IA, comme l'analyse de sentiment, pour leur organisation.
API Google Workspace. L'utilisation et le transfert par Noota des informations reçues des API Google respectent la Google API Services User Data Policy, y compris les exigences de Limited Use. Les données obtenues via les API Google Workspace ne sont pas utilisées pour développer, améliorer ou entraîner des modèles généralistes d'IA ou de ML.
6. Lieu d'hébergement
Tout le contenu des réunions est stocké et traité dans l'Union européenne, dans les deux environnements.
• Environnement standard : hébergement sur Google Cloud Platform en Belgique et aux Pays-Bas ; modèles d'IA via Google Vertex AI (UE) et Mistral AI ; bot de réunion Noota avec Recall.ai en Europe ; sous-traitants européens.
• Environnement souverain : hébergement sur Scaleway à Paris ; Mistral AI et modèles open-weight hébergés en France ; bot de réunion développé et opéré par Noota sur Scaleway ; sous-traitants français et européens uniquement.
L'environnement souverain s'adresse au secteur public et aux organisations réglementées. Contactez l'équipe commerciale pour l'activer.
7. Sous-traitants et transferts internationaux
We use a limited number of subprocessors, each bound by a written agreement with GDPR-level obligations, security requirements and, for AI providers, zero data retention. The up-to-date list is published in our Trust Center (trust.noota.io). We notify customers before adding a subprocessor that processes meeting content, so they can object.
• Google Cloud Platform, including Vertex AI: hosting and AI models, EU (Belgium, Netherlands).
• Scaleway: hosting (sovereign environment), France.
• Mistral AI: language models, France.
• Gladia: transcription, EU.
• Recall.ai: meeting bot infrastructure (standard environment), EU.
• Telnyx: telephony (sovereign environment), EU.
• Twilio: telephony and optional phone recording (standard environment), EU / US.
• Brevo: transactional email, France.
• Intercom: customer support, EU / US.
• Stripe: payments, EU / US.
• Bastion Technologies: security and compliance management, France.
International transfers. Meeting content is stored in the EU. One exception: in the standard environment, the optional feature that records calls from your own phone number routes those calls through Twilio, which may process call data in the US. Payment and support providers may also process limited account or contact data outside the EU. Such transfers rely on the European Commission's Standard Contractual Clauses or the EU-US Data Privacy Framework, with additional safeguards where needed. In the sovereign environment, no data is transferred outside the EU.
8. Retention and deletion
• Meeting content on paid plans: as long as the account is active, or the period set by the admin (1 day to 3 years on Enterprise).
• Meeting content on the Free plan: archived after 30 days.
• A meeting you delete: erased from production and backups in under 24 hours.
• Account closure or end of contract: meeting content deleted in under 24 hours; account data deleted within 30 days.
• Backups: metadata backed up every 4 hours and kept 1 year at most. Audio and transcripts are excluded from routine backups unless agreed by contract.
• Billing and invoices: 10 years (French Commercial Code).
• Prospect and marketing contacts: 3 years after the last contact.
• Security logs: 12 months.
You can delete a meeting, a folder or your whole account at any time from your settings, or by writing to dpo@noota.io.
9. Security
• Encryption: AES-256 at rest, with keys managed in Google Cloud KMS; TLS 1.2 or 1.3 in transit.
• Access control: owner, admin and member roles; SSO and SAML on Enterprise; mandatory MFA for Noota staff; least-privilege access to production.
• Certifications and audits: ISO 27001 certified; SOC 2 Type II certified; annual independent penetration tests; internal audits every six months.
• Resilience: physically and logically separate backups, tested restore procedures, business continuity and disaster recovery plans.
• Incidents: if a breach affects your data, we notify affected customers without undue delay, in line with the GDPR and the DPA.
Details and evidence are available on our Security page (noota.io/security) and in our Trust Center (trust.noota.io).
10. Recording consent and meeting participants
Recording a conversation requires a legal basis and a clear notice to participants. The customer is responsible for both. Noota helps by design:
• Participants are automatically told that the meeting is recorded.
• The host or any admin can remove the bot or stop the recording at any time, and can exclude specific meetings or calendars.
• A text-only mode keeps the transcript without storing audio or video.
If you were a participant in a meeting recorded with Noota, the organisation that recorded it is the controller of that data. Send your request to them first. You can also write to dpo@noota.io: we will forward your request to the customer and help them answer it.
11. Your rights
Under the GDPR you have the right to access, rectify, erase, restrict, object to the processing of your data, and to data portability. You can withdraw consent at any time. You can also give instructions on what happens to your data after your death.
To exercise your rights, write to dpo@noota.io from the email linked to your account. We answer within one month, extendable by two months for complex requests. We only ask for additional identification if we have a reasonable doubt about your identity.
You may lodge a complaint with the French data protection authority, the CNIL (cnil.fr), 3 place de Fontenoy, 75007 Paris.
12. Changes to this policy
We will notify customers by email and in the app at least 30 days before any material change takes effect. The date at the top of this page shows the latest version.
13. Contact
• Data Protection Officer: dpo@noota.io
• Security issues: security@noota.io
• General questions: contact@noota.io
• Postal address: NOOTA SAS, 13 rue Sainte Ursule, 31000 Toulouse, France