IA et données : nos engagements

Confier ses processus, c'est confier ses données. Cette page explique en toute transparence quand nous utilisons l'IA, comment vos données circulent dans les automatisations, et les règles que nous nous imposons.

Toutes les automatisations n'utilisent pas l'IA. Beaucoup de processus se règlent par des règles simples et déterministes (transferts, rapprochements, notifications), plus fiables et moins coûteuses. Nous réservons l'IA aux tâches où elle apporte une vraie valeur : lecture de documents, compréhension de texte libre, détection d'anomalies.

• L'IA propose, elle ne décide pas : les résultats sensibles sont signalés pour validation humaine.
• Chaque automatisation définit explicitement ce qui part tout seul et ce qui attend votre feu vert.
• Les traitements sont journalisés : vous pouvez toujours voir ce qui a été fait, quand, et sur quelles données.

Une automatisation ne voit que les données strictement nécessaires à sa tâche. Nous ne constituons aucune base de données à partir des données de nos clients à d'autres fins que leur propre usage, et nous ne les utilisons jamais pour entraîner des modèles.

Voici, nommément et sans exception, tous les prestataires qui interviennent sur notre infrastructure, y compris ceux qui ne voient aucune de vos données. Nous préférons publier la chaîne complète plutôt qu'une liste partielle qui aurait meilleure allure :

Par défaut, aucun prestataire traitant vos données personnelles n'est soumis au CLOUD Act américain. La distinction mérite d'être précise, car beaucoup l'esquivent : nos serveurs, notre messagerie, vos documents, l'acheminement de vos messages et nos traitements par IA sont en France, chez des entreprises françaises. Seul notre code source (les programmes que nous écrivons, pas vos données) est versionné chez GitLab, aux États-Unis. GitLab n'a accès ni à vos documents, ni à vos fichiers, ni à vos échanges.

Certains prestataires hors UE peuvent être activés à votre initiative (opt-in) pour répondre à vos besoins. Par exemple, si votre organisation utilise déjà Google Drive pour stocker ses documents, Essorvia peut y déposer les fichiers de vos licenciés dans le dossier que vous désignez. Cette connexion est un choix de votre club, pas une décision d'Essorvia : sans activation, aucune donnée ne transite vers Google.

Nous aurions pu ne pas mentionner GitLab : il ne traite aucune donnée personnelle, rien ne nous y obligeait. Nous préférons que vous puissiez vérifier nos affirmations plutôt que d'avoir à nous croire sur parole. Une promesse de conformité qui ne supporte pas l'examen n'en est pas une.

Selon les besoins du projet, une automatisation peut s'appuyer sur d'autres fournisseurs. Nos règles :

• La liste exacte des sous-traitants de votre projet vous est communiquée et figure au contrat, avant signature.
• Aucun nouveau sous-traitant n'est introduit sur votre projet sans vous en informer.
• Nous privilégions des options d'hébergement en Union européenne lorsque c'est possible, et nous vous disons explicitement quand ce ne l'est pas.
• Des accords de traitement des données (DPA) encadrent chaque fournisseur qui traite des données pour votre compte.

Vous restez propriétaire de vos données et des résultats produits par vos automatisations. À tout moment, vous pouvez en demander une copie dans un format structuré, ou leur suppression.

• Communications chiffrées (HTTPS) de bout en bout.
• Secrets et accès stockés chiffrés, jamais en clair.
• Accès restreints par rôle, comptes nominatifs.

Ces engagements sont contractuels sur demande. Pour en discuter : contact@essorvia.com.