Politique de confidentialité

Extension LYRA — mise à jour le 30 octobre 2026

En une phrase

L'extension LYRA n'accède jamais au contenu de vos conversations avec les outils d'IA. Elle analyse le texte localement, sur votre poste, et ne transmet à votre entreprise que des métadonnées : quel outil, quel type d'action, quelle catégorie de risque, quelle taille, quelle date.

Qui traite les données

L'extension est fournie par votre employeur, qui est responsable de traitement. L'éditeur de LYRA agit comme sous-traitant. Les serveurs sont hébergés dans l'Union européenne (Allemagne). Aucun transfert hors UE.

Ce que l'extension collecte

L'outil d'IA utilisé (ChatGPT, Claude, Gemini, Copilot, Mistral, Perplexity) et le type de compte détecté (personnel ou professionnel) ;
pour un autre outil d'IA d'une liste fermée (DeepL, Midjourney, DeepSeek…), son domaine — « deepseek.com » — et jamais l'adresse complète de la page ni son contenu ;
le type d'action : collage de texte, envoi d'un message, dépôt de fichier, ou réponse recopiée depuis l'outil d'IA ;
le format du fichier déposé — « xlsx », « pdf » — et jamais son nom ;
un cas d'usage estimé (rédaction, traduction, code, analyse…), déduit de la forme de votre demande sur votre poste. Votre question n'est jamais transmise. Tout ce qui n'est pas un usage professionnel identifié — y compris un usage personnel — est classé « Autre », sans aucun détail : votre employeur ne peut pas en apprendre la nature ;
si votre entreprise a défini un dictionnaire de termes sensibles (noms de projets, de clients…), le fait qu'un de ces termes ait été détecté — la comparaison a lieu sur votre poste, et le terme lui-même n'est jamais transmis ;
si votre entreprise a défini des règles personnalisées (un format de numéro de dossier, un type de fichier…), quelle règle s'est déclenchée — jamais le texte qui l'a déclenchée ;
la réaction du garde-fou : simple information, avertissement, envoi bloqué, ou avertissement passé outre ;
si vous forcez un envoi malgré un avertissement ou un blocage, le motif que vous choisissez dans une liste fermée (donnée de test ou fictive, autorisé par mon responsable, faux positif, autre motif) — jamais un texte libre. Votre employeur voit combien d'envois ont été forcés et pour quel motif, jamais qui ;
une catégorie de risque calculée sur votre poste (par exemple « données personnelles détectées ») et une taille en caractères ;
la date et l'heure ;
des données techniques : navigateur, version de l'extension ;
un pseudonyme : une empreinte calculée sur votre machine, qui ne contient ni votre nom, ni votre email.

Ce que l'extension ne collecte jamais

Le contenu de vos messages, prompts ou fichiers. L'analyse s'exécute dans votre navigateur ; le texte n'en sort pas. Aucun champ de la base de données ne peut contenir un contenu saisi.
Votre frappe au clavier. L'extension n'écoute que les événements de collage et d'envoi, jamais la saisie caractère par caractère.
Votre navigation. Seuls les outils d'IA d'une liste publiée sont reconnus, et seul leur domaine est relevé : ni l'adresse des pages, ni rien des autres sites. Un domaine absent de la liste n'est jamais enregistré par le serveur.
Votre identité. Votre email et votre nom ne sont jamais transmis par l'extension.

Ce que votre employeur voit

Des statistiques agrégées : « le service commercial a produit 18 alertes cette semaine ». Jamais « Julien a produit 18 alertes ». Aucun groupe de moins de cinq personnes n'est affiché, afin qu'aucune donnée ne puisse être rapportée à un individu.

Pourquoi ces autorisations

Accès aux sites d'IA listés: Pour détecter les collages et les envois, et afficher un avertissement avant qu'une donnée sensible ne parte. C'est la fonction même de l'extension.
Stockage local (storage): Pour conserver le jeton de votre poste, les règles de détection et la file d'attente des métadonnées à transmettre.
Alarmes (alarms): Pour transmettre les métadonnées par lots et récupérer périodiquement la configuration, sans consommer les ressources de votre poste en continu.
Accès au serveur de votre entreprise: Pour transmettre les métadonnées et recevoir la charte, les règles et les sensibilisations. Un seul domaine, celui de votre organisation.

Conservation et droits

Les métadonnées sont conservées pour la durée choisie par votre employeur (6, 12 ou 24 mois), puis supprimées automatiquement. Vous disposez des droits d'accès, de rectification, d'effacement et d'opposition prévus par le RGPD : adressez-vous au référent désigné dans la charte IA de votre entreprise, ou à son délégué à la protection des données. Vous pouvez également saisir la CNIL.

Aucune revente, aucune publicité

Les données ne sont ni vendues, ni transmises à des tiers, ni utilisées à des fins publicitaires, ni pour entraîner des modèles. Elles servent uniquement aux finalités décrites ici, pour le compte de votre employeur.

Une question ? Écrivez à contact@herahub.io.