Confidentialité des données et conformité RGPD - Mis à jour

Aperçu

ISMS Copilot est entièrement conforme au Règlement Général sur la Protection des Données (RGPD) et suit des principes stricts de confidentialité des données. Cet article explique vos droits en matière de respect de la vie privée, la manière dont nous traitons vos données et les contrôles dont vous disposez sur vos informations.

À qui s'adresse cet article

Cet article s'adresse aux :

• Utilisateurs basés dans l'UE concernés par la conformité au RGPD

• Délégués à la Protection des Données (DPO) évaluant ISMS Copilot

• Consultants en conformité gérant les données de clients sous le RGPD

• Toute personne souhaitant comprendre ses droits en matière de confidentialité

Aperçu de la conformité au RGPD

Comment ISMS Copilot répond aux exigences du RGPD

Minimisation des données (Article 5(1)(c))

ISMS Copilot ne collecte que le minimum de données nécessaires à la fourniture du service :

• Adresse e-mail pour l'identification du compte, l'authentification et les communications essentielles

• Identifiants d'authentification (mots de passe hachés ou jetons OAuth)

• Historique des conversations pour fournir des réponses IA contextuelles

• Documents téléchargés pour l'analyse et l'évaluation des écarts de conformité

• Métadonnées d'utilisation pour la facturation et l'amélioration du service

• Données d'engagement e-mail (ouvertures, clics) pour l'onboarding et les mises à jour produit (les utilisateurs peuvent se désabonner)

Limitation des finalités (Article 5(1)(b))

Vos données sont utilisées exclusivement pour :

• Fournir une assistance à la conformité propulsée par l'IA

• Gérer votre compte et votre abonnement

• Améliorer les performances et la fiabilité du service

• Se conformer aux obligations légales

Limitation de la conservation (Article 5(1)(e))

Vous avez un contrôle total sur la durée de conservation de vos données :

• Définissez des périodes de rétention de 1 jour à 7 ans, ou conservez-les indéfiniment

• La suppression automatique des données expirées s'exécute quotidiennement

• Demandez la suppression immédiate du compte et des données à tout moment

Protection des données dès la conception (Article 25)

La sécurité et la confidentialité sont intégrées à chaque fonctionnalité d'ISMS Copilot :

• Chiffrement de bout en bout pour toutes les données

• Sécurité au niveau des lignes (Row-level security) empêchant les accès non autorisés

• Isolation des espaces de travail pour séparer les données des clients

• Authentification sécurisée avec support OAuth

Vos droits au titre du RGPD

Droit d'accès (Article 15)

Vous avez le droit d'accéder à toutes vos données personnelles stockées dans ISMS Copilot.

Ce à quoi vous pouvez accéder :

• Vos informations de compte (e-mail, paramètres)

• Tout l'historique des conversations à travers les espaces de travail

• Documents et fichiers téléchargés

• Métadonnées d'utilisation et horodatages

Comment accéder à vos données :

1. Connectez-vous à votre compte ISMS Copilot

2. Naviguez dans vos espaces de travail pour consulter les conversations

3. Consultez les fichiers téléchargés dans chaque fil de conversation

4. Pour une exportation complète des données, contactez le support via le Centre d'aide

Droit de rectification (Article 16)

Vous pouvez mettre à jour ou corriger vos informations personnelles à tout moment.

Comment mettre à jour vos informations :

1. Cliquez sur l'icône du menu utilisateur (en haut à droite)

2. Sélectionnez Paramètres

3. Votre adresse e-mail est affichée (pour la modifier, contactez le support)

4. Mettez à jour vos préférences de rétention des données

5. Cliquez sur Enregistrer les paramètres

Résultat attendu : La boîte de dialogue des paramètres se ferme et vos modifications sont enregistrées immédiatement.

Droit à l'effacement / « Droit à l'oubli » (Article 17)

Vous pouvez demander l'effacement complet de votre compte et de toutes les données associées.

Comment supprimer vos données :

1. Cliquez sur l'icône du menu utilisateur

2. Sélectionnez Centre d'aide → Contacter le support

3. Soumettez une demande de suppression de données

4. Le support vérifiera votre identité et confirmera la demande

5. Toutes les données sont définitivement supprimées sous 30 jours

Ce qui est supprimé :

• Votre compte et votre adresse e-mail

• Tous les espaces de travail et l'historique des conversations

• Tous les documents et fichiers téléchargés

• Les instructions personnalisées des espaces de travail

• Les métadonnées d'utilisation et les journaux

Ce qui peut être conservé :

• Enregistrements de facturation anonymisés (requis pour la conformité fiscale et comptable)

• Données analytiques anonymisées (aucune information personnellement identifiable)

Droit à la portabilité des données (Article 20)

Vous avez le droit de recevoir vos données dans un format structuré et lisible par machine.

Comment exporter vos données :

1. Contactez le support via le Centre d'aide

2. Demandez une exportation de données

3. Le support fournira vos données au format JSON contenant :

   • Informations de compte

   • Historique des conversations

   • Configurations des espaces de travail

   • Métadonnées des fichiers téléchargés

4. Téléchargez le fichier d'exportation pour l'utiliser dans d'autres systèmes

Droit à la limitation du traitement (Article 18)

Vous pouvez demander la suspension temporaire du traitement des données pendant la résolution d'un litige.

Quand pouvez-vous limiter le traitement :

• Vous contestez l'exactitude des données personnelles

• Le traitement est illicite mais vous ne voulez pas la suppression des données

• Vous avez besoin des données pour des réclamations juridiques

• Vous vous êtes opposé au traitement en attendant la vérification

Comment demander la limitation :

1. Contactez le support via le Centre d'aide

2. Expliquez le motif de la limitation

3. Le support examinera et mettra en œuvre les restrictions appropriées

Droit d'opposition (Article 21)

Vous pouvez vous opposer à certains types de traitement de données.

Ce à quoi vous pouvez vous opposer :

• Traitement à des fins de marketing direct (ISMS Copilot n'effectue pas de traitement marketing)

• Traitement fondé sur des intérêts légitimes

• Prise de décision automatisée (non utilisée actuellement par ISMS Copilot)

Comment s'opposer :

1. Contactez le support via le Centre d'aide

2. Spécifiez le traitement auquel vous vous opposez

3. Le support examinera et répondra sous 30 jours

Détails du traitement des données

Base légale du traitement

ISMS Copilot traite vos données selon les bases légales suivantes :

Exécution du contrat (Article 6(1)(b))

• Traitement nécessaire pour fournir le service de conformité par l'IA

• Gestion de votre compte et de votre abonnement

• Livraison des fonctionnalités que vous avez demandées

Intérêts légitimes (Article 6(1)(f))

• Amélioration des performances et de la fiabilité du service

• Détection et prévention de la fraude ou des abus

• Garantie de la sécurité du système

• Envoi de mises à jour produit et conseils d'onboarding pour améliorer l'expérience sur la plateforme

Obligation légale (Article 6(1)(c))

• Conservation des dossiers de facturation pour la conformité fiscale

• Réponse aux demandes légales des autorités

Transferts de données

Résidence des données dans l'UE

Tous les stockages de bases de données d'ISMS Copilot s'effectuent exclusivement dans l'Union européenne :

• Stockage principal : AWS Francfort, Allemagne

• Fournisseur de base de données : Supabase (région UE)

• Historique des conversations : Stocké dans l'UE quel que soit le fournisseur d'IA

Lieu de traitement de l'IA (contrôlé par l'utilisateur)

Le lieu de traitement de l'IA dépend de votre paramètre Mode de Protection avancée des données :

• Protection avancée des données DÉSACTIVÉE (par défaut) : Le traitement IA s'effectue aux États-Unis via xAI/OpenAI avec une rétention de 30 jours

• Protection avancée des données ACTIVÉE : Traitement 100% UE via Mistral AI avec zéro rétention

Sous-traitants tiers

Les services tiers suivants ont un accès limité aux données :

Fournisseurs de traitement d'IA (Configurables par l'utilisateur avec basculement automatique)

Vous pouvez contrôler quel fournisseur d'IA traite vos conversations via le paramètre Mode de Protection avancée des données et le choix du fournisseur d'IA. ISMS Copilot inclut désormais plusieurs options de modèles d'IA et un basculement automatique pour assurer la continuité du service en cas d'interruption d'un fournisseur :

• Mode par défaut (Protection avancée DÉSACTIVÉE) : xAI (Grok), OpenAI et Anthropic Claude avec basculement vers Mistral

  • Lieu : États-Unis (avec basculement dans l'UE)

  • Rétention : 30 jours (cache de traitement temporaire) ; zéro rétention lors du basculement vers Mistral

  • Entraînement : Les données API ne sont PAS utilisées pour l'entraînement des modèles d'IA

  • Cas d'usage : Travail de conformité standard avec fiabilité accrue

  • Basculement automatique : Si OpenAI subit une panne, vos requêtes basculent automatiquement vers Mistral AI (basé dans l'UE, zéro rétention) sans interruption de service

• Mode de Protection avancée des données (ACTIVÉ) : Mistral AI

  • Lieu : Union européenne

  • Rétention : Zéro (aucune conservation des données)

  • Entraînement : NON utilisé pour l'entraînement des modèles d'IA

  • Cas d'usage : Confidentialité maximale, exigences de souveraineté des données de l'UE

Autres services tiers

• Stripe (Traitement des paiements) : Informations de paiement et de facturation uniquement. Conforme au RGPD avec un accord de traitement des données dans l'UE.

• PostHog (Analytique) : Données d'utilisation anonymisées uniquement. Hébergé dans l'UE. Aucune conversation ni aucun document personnel partagé.

• Sentry (Suivi des erreurs) : Journaux d'erreurs, traces de pile et identifiants d'utilisateurs (UUID uniquement, en production) pour le dépannage. Basé en Allemagne. Les adresses e-mail, le contenu des conversations et autres données personnelles sont filtrés avant l'envoi.

• Communications par e-mail : SendGrid et Kit gèrent les e-mails transactionnels, les mises à jour juridiques et les séquences d'onboarding. Basés aux États-Unis avec des clauses contractuelles types. Les utilisateurs peuvent se désabonner des e-mails non essentiels.

Mode de Protection avancée des données

ISMS Copilot vous donne le contrôle sur le lieu de traitement de vos conversations IA et sur la durée de conservation de vos données par les fournisseurs d'IA.

Deux options de traitement :

1. Mode par défaut (Protection avancée DÉSACTIVÉE) : xAI/OpenAI traitent les conversations aux États-Unis avec une rétention de 30 jours

2. Mode UE uniquement (Protection avancée ACTIVÉE) : Mistral AI traite les conversations dans l'UE avec une rétention nulle

Quand activer la Protection avancée des données :

• Votre organisation a des exigences obligatoires de résidence des données dans l'UE

• Vous manipulez des données clients hautement sensibles

• La conformité au RGPD exige de minimiser les transferts de données hors de l'UE

• Les contrats clients interdisent le traitement des données basé aux États-Unis

• Vous souhaitez une confidentialité maximale avec zéro rétention de données par le fournisseur d'IA

Distinction importante :

La Protection avancée des données contrôle la rétention du fournisseur d'IA (30 jours contre zéro). La rétention de votre historique de conversations ISMS Copilot est contrôlée séparément via vos paramètres utilisateur (de 1 jour à 7 ans). Les deux paramètres de rétention fonctionnent de manière indépendante.

Transferts de données internationaux

L'approche d'ISMS Copilot concernant les transferts de données internationaux dépend de votre configuration :

Traitement des données centrales

• Stockage en base de données : Toujours dans l'UE (Francfort, Allemagne)

• Traitement IA : UE ou États-Unis selon le paramètre du mode de Protection avancée des données

• Analytique : Points de terminaison UE uniquement (PostHog UE, Sentry Allemagne)

• Conversion de fichiers : Point de terminaison UE (ConvertAPI)

Communications par e-mail (basées aux États-Unis avec garanties)

Les adresses e-mail et les données d'engagement sont transférées à des fournisseurs de services de messagerie basés aux États-Unis (SendGrid et Kit) pour les e-mails transactionnels, les mises à jour juridiques et les séquences d'onboarding. Ces transferts sont protégés par des clauses contractuelles types approuvées par la Commission européenne.

Pour les organisations ayant des exigences strictes de résidence des données exclusivement dans l'UE, vous devriez :

• Activer le mode de Protection avancée des données pour garder le traitement IA dans l'UE (élimine les exigences de TIA pour l'IA)

• Se désabonner des e-mails marketing/produits pour minimiser les transferts vers les États-Unis

• Documenter les transferts restants liés aux communications par e-mail dans vos registres de traitement de données

• Consulter notre Évaluation de l'impact des transferts pour comprendre les mesures de protection des transferts

Délais de rétention des données

Données actives

• Historique des conversations : Basé sur votre période de rétention définie par l'utilisateur (1 jour à 7 ans, ou indéfiniment)

• Documents téléchargés : Identique à l'historique des conversations

• Informations de compte : Conservées tant que le compte est actif

Après suppression du compte

• Données personnelles : Supprimées sous 30 jours

• Enregistrements de facturation anonymisés : 7 ans (exigence de conformité fiscale)

• Sauvegardes de données : Érasées sous 90 jours

Fonctionnalités de confidentialité dès la conception (Privacy by Design)

Mode Réduction des PII

ISMS Copilot propose une anonymisation automatique des PII (Informations Personnellement Identifiables) pour protéger les données personnelles sensibles avant qu'elles n'atteignent le traitement par l'IA. Lorsqu'il est activé, le système détecte et masque les schémas de PII courants dans vos messages et documents téléchargés.

Ce qui est masqué :

• Noms de personnes (ex: « Jean Dupont » → « [REDACTED_NAME] »)

• Noms d'entreprises et d'organisations

• Adresses e-mail (ex: « [email protected] » → « [REDACTED_EMAIL] »)

• Numéros de téléphone sous divers formats

Comment activer la réduction des PII :

1. Allez dans Paramètres → Confidentialité ou Protection des données

2. Activez « Activer la réduction des PII »

3. Consultez la fenêtre de confirmation expliquant les limitations liées aux schémas de détection

4. Vérifiez la présence de l'icône de bouclier vert dans votre champ de saisie de chat pour confirmer l'activation

Lorsque la réduction des PII est active, une icône de bouclier vert s'affiche dans le champ de saisie du chat, confirmant visuellement que l'anonymisation fonctionne.

Limitations importantes :

• Détection basée sur des schémas : La réduction des PII utilise des expressions régulières (regex) et peut ne pas capturer toutes les informations sensibles

• Pas précis à 100% : Certaines PII peuvent passer au travers ; du texte légitime peut être masqué par erreur

• Ne remplace pas la minimisation des données : Examinez toujours les données avant de les télécharger et évitez d'inclure des PII inutiles

• S'applique avant le traitement IA : Le masquage se produit avant que les données n'atteignent les fournisseurs d'IA

La réduction des PII est une amélioration de la confidentialité, pas une garantie d'anonymisation complète. Vérifiez toujours les résultats par rapport aux normes officielles et évitez de télécharger des données personnelles inutiles. Cette fonctionnalité fonctionne de manière optimale comme couche de protection supplémentaire aux côtés des pratiques de minimisation des données.

Cas d'usage :

• Traitement des rapports d'audit client contenant des noms d'employés

• Analyse de politiques de conformité incluant des informations de contact

• Travail sur des politiques RH ou des rapports d'incidents

• Ajout d'une protection de confidentialité supplémentaire lors de l'utilisation du mode de Protection avancée des données

Combinaison avec la Protection avancée des données :

Pour une confidentialité maximale, activez les deux fonctionnalités :

• Réduction des PII : Masque les données personnelles avant le traitement IA

• Mode de Protection avancée des données : Garantit un traitement uniquement dans l'UE avec zéro rétention par le fournisseur d'IA

Ensemble, ces fonctionnalités offrent de solides garanties de confidentialité pour les travaux de conformité sensibles.

Isolation des espaces de travail

Les espaces de travail permettent de séparer les données pour les scénarios multi-clients :

• Chaque espace de travail conserve son propre historique de conversation

• Les fichiers téléchargés sont liés à des espaces de travail spécifiques

• Les instructions personnalisées sont propres à chaque espace de travail

• La suppression d'un espace de travail efface toutes les données associées

Pas de partage de données entre utilisateurs

ISMS Copilot met en œuvre des barrières de données strictes :

• Les utilisateurs ne peuvent pas accéder aux données des autres utilisateurs

• Les réponses de l'IA sont générées indépendamment pour chaque utilisateur

• Les requêtes en base de données filtrent automatiquement par l'ID de l'utilisateur authentifié

• Même les administrateurs système suivent le principe du moindre privilège

Pas d'entraînement de l'IA sur les données utilisateur

Vos données de conformité sensibles ne sont jamais utilisées pour l'entraînement de l'IA :

• Les conversations ne sont pas stockées par OpenAI ou d'autres fournisseurs d'IA

• Les documents téléchargés restent confidentiels et privés

• Les informations des clients ne contribuent jamais à l'amélioration des modèles

• Chaque conversation est traitée de manière isolée

Demandes des personnes concernées

Comment soumettre une demande RGPD

1. Cliquez sur l'icône du menu utilisateur (en haut à droite)

2. Sélectionnez Centre d'aide → Contacter le support

3. Décrivez clairement votre demande :

   • « Je demande l'accès à toutes mes données personnelles en vertu de l'article 15 du RGPD »

   • « Je demande la suppression de mon compte en vertu de l'article 17 du RGPD »

   • « Je demande une exportation de données en vertu de l'article 20 du RGPD »

4. Le support vérifiera votre identité et traitera la demande

Délais de réponse

ISMS Copilot répond aux demandes RGPD selon les délais réglementaires :

• Accusé de réception : Sous 24-48 heures

• Demandes d'accès : Sous 30 jours (généralement sous 72 heures)

• Demandes de suppression : Sous 30 jours

• Portabilité des données : Sous 30 jours (généralement sous 72 heures)

• Demandes de rectification : Immédiatement pour les champs modifiables par l'utilisateur ; sous 30 jours pour les autres

Vérification d'identité

Pour protéger vos données contre tout accès non autorisé, ISMS Copilot peut vérifier votre identité :

• Vous devez soumettre vos demandes depuis votre adresse e-mail enregistrée

• Pour les demandes sensibles, une vérification supplémentaire peut être requise

• Le support peut poser des questions de sécurité concernant votre compte

Confidentialité des enfants

ISMS Copilot n'est pas destiné aux enfants de moins de 16 ans :

• Le service est conçu pour les professionnels de la conformité et les entreprises

• Aucun mécanisme de consentement parental n'est fourni

• Si une utilisation par un mineur est découverte, le compte sera résilié et les données supprimées

Mises à jour de la politique de confidentialité

Comment vous serez informé

Lorsque les pratiques de confidentialité changent, ISMS Copilot :

• Enverra une notification par e-mail à votre adresse enregistrée

• Affichera une notification dans l'application lors de votre prochaine connexion

• Mettra à jour la Politique de confidentialité avec une date de « Dernière mise à jour »

• Fournira un préavis d'au moins 30 jours pour les changements substantiels

Vos options

Si vous n'acceptez pas les modifications de la politique de confidentialité :

• Demandez la suppression du compte avant que les changements n'entrent en vigueur

• Exportez vos données avant la date d'entrée en vigueur

• Contactez le support pour discuter de vos préoccupations

Autorité de contrôle

En tant que service basé dans l'UE, ISMS Copilot est soumis à la surveillance de la protection des données.

Droit d'introduire une réclamation

Si vous estimez qu'ISMS Copilot a violé vos droits à la confidentialité, vous pouvez :

1. Contacter le support ISMS Copilot pour résoudre le problème directement

2. Déposer une plainte auprès de votre autorité locale de protection des données

3. Déposer une plainte auprès de l'autorité française de protection des données (CNIL) où ISMS Copilot est établi

Commission Nationale de l'Informatique et des Libertés (CNIL)

• Site web : https://www.cnil.fr/

• Adresse : 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France

• Téléphone : +33 1 53 73 22 22

Meilleures pratiques pour la conformité

Pour les consultants gérant des données clients

• Créez des espaces de travail séparés pour chaque client

• Définissez des périodes de rétention appropriées correspondant aux contrats clients

• Anonymisez les données personnelles sensibles avant le téléchargement

• Informez vos clients que vous utilisez ISMS Copilot pour vos travaux de conformité

• Incluez ISMS Copilot dans vos accords de traitement des données (DPA)

• Activez le mode de Protection avancée des données si les clients exigent un traitement exclusivement dans l'UE

Pour les organisations

• Documentez ISMS Copilot dans votre registre de traitement (consultez notre Registre des activités de traitement pour référence)

• Incluez-le dans vos analyses d'impact relatives à la protection des données (AIPD/DPIA) si vous traitez des données sensibles

• Formez le personnel à la manipulation appropriée des données au sein d'ISMS Copilot

• Configurez les périodes de rétention pour qu'elles correspondent à votre politique de conservation des données

Transparence et confiance

Documentation de sécurité

Pour des informations détaillées sur les pratiques de sécurité et de confidentialité d'ISMS Copilot, visitez notre Collection Sécurité :

• Descriptions détaillées du traitement des données

• Documentation des mesures de sécurité

• Liste complète des sous-traitants avec lieux et statut des DPA

• Certifications de conformité

• Politiques de gouvernance de l'IA

Vous pouvez également consulter notre Registre des activités de traitement (RoPA) complet pour les mesures techniques et organisationnelles détaillées.

État du système

Surveillez la disponibilité du service et les incidents de sécurité sur la Page d'état :

• Surveillance de la disponibilité en temps réel via BetterStack

• Notifications d'incidents et mises à jour de statut

• Calendriers de maintenance planifiée

• Données historiques de disponibilité

• Classification et escalade transparentes des incidents

Limitations

Fonctionnalités actuelles de confidentialité

• L'exportation automatique des données n'est pas disponible (doit être demandée par le support)

• Les modifications d'adresse e-mail nécessitent l'aide du support

• Pas de suppression de compte en libre-service (doit contacter le support)

• Bandeau de consentement aux cookies non implémenté (aucun cookie de suivi utilisé)

Étapes suivantes

• En savoir plus sur les mesures de sécurité et le chiffrement

• Configurer des espaces de travail pour isoler les données clients

• Consulter notre Évaluation de l'impact des transferts

• Créer un compte sécurisé avec une authentification forte

• Consultez notre Collection Sécurité pour une documentation détaillée sur la confidentialité

Obtenir de l'aide

Pour des questions relatives à la confidentialité ou des demandes RGPD :

• Contactez le support via le menu du Centre d'aide

• Envoyez un e-mail à partir de l'adresse e-mail de votre compte enregistré

• Mentionnez « Demande RGPD » en objet pour un traitement plus rapide

• Visitez notre Collection Sécurité pour une documentation détaillée