Sécurité et confidentialité des données

1. Quelles données l’agent traite-t-il ?

Selon les fonctions que vous activez, il peut traiter ou conserver :

• les conversations et les instructions que vous lui donnez ;
• la mémoire métier utile : contacts, décisions, préférences, procédures, actions en cours ;
• les documents ou extraits de documents qu’il consulte pour répondre ;
• les résultats produits par les outils connectés ;
• les données techniques de fonctionnement : sessions, journaux, caches, fichiers temporaires, tâches planifiées ;
• les autorisations techniques des connecteurs que vous activez.

Vos documents métier peuvent rester dans votre Drive ou votre système documentaire, utilisé comme source de référence. La mémoire dont l’agent a besoin pour durer est, elle, enregistrée dans son espace privé. Le traitement produit aussi des extraits, caches et journaux techniques temporaires : s’appuyer sur votre Drive ne veut pas dire qu’il ne se crée rien côté agent.

2. Où les données sont-elles hébergées et traitées ?

Deux choix distincts, qu’on confond souvent :

1. l’hébergement de l’agent et de sa mémoire ;
2. le lieu où le modèle d’intelligence artificielle traite les informations.

Dans la configuration mutualisée, votre environnement applicatif, votre stockage et vos secrets sont dédiés, sur une infrastructure privée exploitée en Alsace, à Griesheim-près-Molsheim.

L’agent peut aussi être installé dans l’infrastructure de votre choix. Cela ne rend pas pour autant le traitement local : si le modèle d’IA reste celui d’un fournisseur externe, vos contenus continuent de lui être transmis. Pour qu’aucun contenu métier ne sorte, il faut que l’agent et le modèle tournent chez vous — c’est la configuration « Tout local ».

3. Qui peut accéder aux données ?

Vous accédez à votre environnement et aux fonctions qui vous sont attribuées.

Côté exploitation, deux accès techniques existent dans la configuration mutualisée :

• l’éditeur-exploitant peut accéder aux données nécessaires à une intervention légitime de maintenance, de sécurité ou de support : lecture et modification des volumes, restauration d’une sauvegarde, administration des secrets et des connecteurs, exécution de commandes dans l’environnement ;
• le partenaire d’infogérance de la plateforme dispose de droits d’opérateur qui lui permettent techniquement d’inspecter, d’exécuter des commandes et de lire ou modifier les volumes. Toute opération destructive requiert l’accord explicite de l’exploitant.

Ces accès sont limités à la finalité de l’intervention, couverts par la confidentialité professionnelle et encadrés par le contrat, l’engagement de confidentialité s’étendant aux intervenants techniques. La journalisation en place ne permet pas d’attester chaque consultation d’administration : nous le disons plutôt que de laisser croire l’inverse.

Quand vos obligations l’exigent, des mesures complémentaires sont définies : restriction des accès, journalisation renforcée, autorisation préalable avant toute intervention, ou déploiement chez vous (configurations « Chez vous » et « Tout local »).

4. Quels services externes reçoivent des données ?

Seuls ceux que vous activez : le fournisseur du modèle d’IA, votre suite bureautique, votre messagerie, les outils métier que vous autorisez.

Quand un modèle externe est utilisé, il reçoit le message et le contexte nécessaire au traitement : extraits de mémoire, résultats d’outils, documents effectivement consultés. Il ne reçoit pas l’intégralité de votre Drive ni toute la mémoire à chaque demande — en revanche, tout ce qui est chargé pour répondre à une demande peut lui être transmis.

Pour un usage professionnel, l’agent s’appuie sur une offre commerciale ou une API documentée, ou se connecte à l’offre d’IA que vous détenez déjà. Au 12 août 2026, les principaux fournisseurs indiquent ne pas utiliser par défaut les données de leurs offres commerciales ou API pour entraîner leurs modèles, hors consentement, retour d’expérience volontaire ou exception contractuelle. Cette garantie relève du fournisseur et dépend de l’offre exacte souscrite : elle est vérifiée avec vous avant tout déploiement.

Dans l’offre standard, c’est moi qui porte le contrat avec le fournisseur du modèle : vous n’avez rien à souscrire pour commencer, et le fournisseur retenu vous est indiqué. Si votre consommation grandit fortement, on bascule sur un compte dédié — je vous en parle avant que cela n’arrive. Vous pouvez aussi brancher votre propre offre à tout moment.

5. Qu’est-ce qui protège ces données ?

• Isolation — environnement, stockage et secrets dédiés par client, exécution des traitements en bac à sable renforcé, aucun volume partagé entre clients.
• Transport — accès web, connexions aux fournisseurs et synchronisation entre environnements chiffrés (TLS).
• Sauvegardes — instantané quotidien de l’infrastructure, rétention de sept sauvegardes quotidiennes, quatre hebdomadaires et trois mensuelles. Une restauration réelle a été testée le 5 août 2026.

Sur l’offre mutualisée, le chiffrement au repos des volumes n’est pas revendiqué : c’est un chantier en cours, et nous préférons ne pas l’annoncer avant qu’il soit complet. L’état des mesures, leur avancement et les limites connues sont communiqués par écrit dans le cadre d’une revue de conformité, puis annexés à votre fiche de configuration.

6. Combien de temps, et comment sortir ?

Vos conversations, votre mémoire et vos fichiers de travail sont conservés jusqu’à modification ou suppression demandée. La durée de conservation des journaux, caches et fichiers temporaires, celle des sauvegardes et la politique du fournisseur d’IA retenu sont fixées dans votre fiche de configuration avant la mise en production. Tant qu’elles ne le sont pas, aucune durée uniforme ne vous est promise.

Vous pouvez demander à tout moment :

• l’export des données disponibles dans votre espace ;
• la révocation des connecteurs et des autorisations externes ;
• la suppression des conversations, de la mémoire, des fichiers et de l’environnement.

La suppression des données actives est réalisée sur demande. Les sauvegardes et les copies détenues par des fournisseurs externes suivent leur propre cycle de rétention : le périmètre, le délai et la preuve d’effacement sont écrits dans le contrat plutôt que promis à l’oral.

7. Rôles et responsabilités

Vous êtes responsable de traitement pour les données métier que vous confiez à l’agent ; nous intervenons en qualité de sous-traitant au sens de l’article 28 du RGPD. Un accord de sous-traitance sera signé avant tout traitement de données réelles, et la liste des sous-traitants ultérieurs — fournisseur du modèle d’IA, hébergement, partenaire d’infogérance, connecteurs activés — annexée à votre fiche de configuration. En cas de violation de données, nous nous engageons à vous informer sans délai injustifié et à vous fournir les éléments nécessaires à vos propres obligations de déclaration.

Pour les avocats, notaires, experts-comptables et professions soumises au secret, l’existence d’un accès technique d’administration doit être arbitrée avec vos obligations déontologiques : selon votre analyse, les configurations « Chez vous » et « Tout local » — ou une clause d’intervention sous autorisation préalable — sont la réponse adaptée.