Confidentialité des données et conformité RGPD - Mis à jour

Aperçu

ISMS Copilot est entièrement conforme au Règlement Général sur la Protection des Données (RGPD) et suit des principes stricts de confidentialité des données. Cet article explique vos droits en matière de vie privée, la manière dont nous traitons vos données et les contrôles dont vous disposez sur vos informations.

À qui s'adresse cet article

Cet article s'adresse aux :

• Utilisateurs basés dans l'UE concernés par la conformité au RGPD

• Délégués à la Protection des Données (DPO) évaluant ISMS Copilot

• Consultants en conformité gérant les données de clients sous le RGPD

• Toute personne souhaitant comprendre ses droits en matière de confidentialité

Aperçu de la conformité RGPD

Comment ISMS Copilot répond aux exigences du RGPD

Minimisation des données (Article 5(1)(c))

ISMS Copilot ne collecte que le minimum de données nécessaires à la fourniture du service :

• Adresse e-mail pour l'identification du compte, l'authentification et les communications essentielles

• Identifiants d'authentification (mots de passe hachés ou jetons OAuth)

• Historique des conversations pour fournir des réponses IA contextuelles

• Documents téléchargés pour l'analyse et l'évaluation des écarts de conformité

• Métadonnées d'utilisation pour la facturation et l'amélioration du service

• Données d'engagement e-mail (ouvertures, clics) pour l'onboarding et les mises à jour produit (désinscription possible)

Limitation des finalités (Article 5(1)(b))

Vos données sont utilisées exclusivement pour :

• Fournir une assistance à la conformité propulsée par l'IA

• Gérer votre compte et votre abonnement

• Améliorer les performances et la fiabilité du service

• Respecter les obligations légales

Limitation de la conservation (Article 5(1)(e))

Vous avez un contrôle total sur la durée de conservation de vos données :

• Définissez des périodes de rétention de 1 jour à 7 ans, ou conservez-les indéfiniment

• La suppression automatique des données expirées a lieu quotidiennement

• Demandez la suppression immédiate de votre compte et de vos données à tout moment

Protection des données dès la conception (Article 25)

La sécurité et la confidentialité sont intégrées à chaque fonctionnalité d'ISMS Copilot :

• Chiffrement de bout en bout pour toutes les données

• Sécurité au niveau des lignes (RLS) empêchant les accès non autorisés

• Isolation des espaces de travail pour séparer les données des clients

• Authentification sécurisée avec support OAuth

Vos droits au titre du RGPD

Droit d'accès (Article 15)

Vous avez le droit d'accéder à toutes vos données personnelles stockées dans ISMS Copilot.

Ce à quoi vous pouvez accéder :

• Les informations de votre compte (email, paramètres)

• Tout l'historique des conversations à travers les espaces de travail

• Les documents et fichiers téléchargés

• Les métadonnées d'utilisation et horodatages

Comment accéder à vos données :

1. Connectez-vous à votre compte ISMS Copilot

2. Naviguez dans vos espaces de travail pour voir les conversations

3. Visualisez les fichiers téléchargés dans chaque fil de conversation

4. Pour un export complet des données, contactez le support via le Centre d'aide

Droit de rectification (Article 16)

Vous pouvez mettre à jour ou corriger vos informations personnelles à tout moment.

Comment mettre à jour vos informations :

1. Cliquez sur l'icône du menu utilisateur (en haut à droite)

2. Sélectionnez Settings

3. Votre adresse e-mail s'affiche (pour la modifier, contactez le support)

4. Mettez à jour vos préférences de rétention des données

5. Cliquez sur Save Settings

Résultat attendu : La boîte de dialogue des paramètres se ferme et vos modifications sont enregistrées immédiatement.

Droit à l'effacement / « Droit à l'oubli » (Article 17)

Vous pouvez demander la suppression complète de votre compte et de toutes les données associées.

Comment supprimer vos données :

1. Cliquez sur l'icône du menu utilisateur

2. Sélectionnez Help Center → Contact Support

3. Soumettez une demande de suppression de données

4. Le support vérifiera votre identité et confirmera la demande

5. Toutes les données sont supprimées définitivement sous 30 jours

Ce qui est supprimé :

• Votre compte et adresse e-mail

• Tous les espaces de travail et l'historique des conversations

• Tous les documents et fichiers téléchargés

• Les instructions personnalisées des espaces de travail

• Les métadonnées d'utilisation et les logs

Ce qui peut être conservé :

• Les dossiers de facturation anonymisés (requis pour la conformité fiscale et comptable)

• Les données d'analyse anonymisées (aucune information personnellement identifiable)

Droit à la portabilité des données (Article 20)

Vous avez le droit de recevoir vos données dans un format structuré et lisible par machine.

Comment exporter vos données :

1. Contactez le support via le Centre d'aide

2. Demandez un export de données

3. Le support fournira vos données au format JSON contenant :

   • Les informations du compte

   • L'historique des conversations

   • Les configurations des espaces de travail

   • Les métadonnées des fichiers téléchargés

4. Téléchargez le fichier d'export pour l'utiliser dans d'autres systèmes

Droit à la limitation du traitement (Article 18)

Vous pouvez demander la suspension temporaire du traitement des données pendant la résolution de litiges.

Quand pouvez-vous limiter le traitement :

• Vous contestez l'exactitude des données personnelles

• Le traitement est illicite mais vous ne souhaitez pas la suppression des données

• Vous avez besoin des données pour des réclamations juridiques

• Vous vous êtes opposé au traitement en attendant la vérification

Comment demander la limitation :

1. Contactez le support via le Centre d'aide

2. Expliquez le motif de la limitation

3. Le support examinera et mettra en œuvre les restrictions appropriées

Droit d'opposition (Article 21)

Vous pouvez vous opposer à certains types de traitement de données.

Ce à quoi vous pouvez vous opposer :

• Le traitement à des fins de marketing direct (ISMS Copilot n'effectue pas de traitement marketing)

• Le traitement fondé sur des intérêts légitimes

• La prise de décision automatisée (non utilisée actuellement par ISMS Copilot)

Comment s'opposer :

1. Contactez le support via le Centre d'aide

2. Spécifiez le traitement auquel vous vous opposez

3. Le support examinera et répondra sous 30 jours

Détails sur le traitement des données

Base légale du traitement

ISMS Copilot traite vos données selon les bases légales suivantes :

Exécution du contrat (Article 6(1)(b))

• Traitement nécessaire pour fournir le service de conformité par IA

• Gestion de votre compte et de votre abonnement

• Fourniture des fonctionnalités que vous avez demandées

Intérêts légitimes (Article 6(1)(f))

• Amélioration des performances et de la fiabilité du service

• Détection et prévention de la fraude ou des abus

• Assurer la sécurité du système

• Envoi de mises à jour produit et de conseils d'onboarding pour améliorer l'expérience sur la plateforme

Obligation légale (Article 6(1)(c))

• Conservation des registres de facturation pour la conformité fiscale

• Réponse aux demandes légales des autorités

Transferts de données

Résidence des données dans l'UE

Tout le stockage de la base de données d'ISMS Copilot se fait exclusivement dans l'Union européenne :

• Stockage principal : AWS Francfort, Allemagne

• Fournisseur de base de données : Supabase (région UE)

• Historique des conversations : Stocké dans l'UE quel que soit le fournisseur d'IA

Lieu de traitement par l'IA (contrôlé par l'utilisateur)

Le lieu de traitement par l'IA dépend de vos paramètres du Mode de Protection Avancée des Données :

• Mode de Protection Avancée OFF (Par défaut) : Le traitement IA a lieu aux États-Unis via xAI/OpenAI avec une rétention de 30 jours

• Mode de Protection Avancée ON : Traitement 100 % dans l'UE via Mistral AI avec zéro rétention

Sous-traitants tiers

Les services tiers suivants ont un accès limité aux données :

Fournisseurs de traitement IA (Configurables par l'utilisateur avec basculement automatique)

Vous pouvez contrôler quel fournisseur d'IA traite vos conversations via le paramètre Mode de Protection Avancée des Données et la sélection du fournisseur d'IA. ISMS Copilot inclut désormais plusieurs options de modèles d'IA et un basculement automatique pour assurer la continuité du service en cas de panne d'un fournisseur :

• Mode par défaut (Protection avancée OFF) : Anthropic Claude (chat), xAI Grok (génération de documents), et OpenAI GPT (détection) avec basculement d'Anthropic vers OpenAI

  • Lieu : États-Unis

  • Rétention : 30 jours (cache de traitement temporaire)

  • Entraînement : Les données API ne sont PAS utilisées pour l'entraînement des modèles d'IA

  • Usage : Travail de conformité standard avec fiabilité accrue

  • Basculement automatique : Si Anthropic subit une panne, les requêtes de chat basculent automatiquement vers OpenAI sans interruption de service

• Mode de Protection Avancée des Données (ON) : Mistral AI

  • Lieu : Union européenne

  • Rétention : Zéro (aucune conservation de données)

  • Entraînement : NON utilisé pour l'entraînement des modèles d'IA

  • Usage : Confidentialité maximale, exigences de souveraineté des données de l'UE

Autres services tiers

• Stripe (Traitement des paiements) : Informations de paiement et de facturation uniquement. Conforme au RGPD avec un accord de traitement des données dans l'UE.

• PostHog (Analyse) : Données d'utilisation anonymisées uniquement. Hébergé dans l'UE. Aucune conversation personnelle ni document partagé.

• Sentry (Surveillance des erreurs) : Journaux d'erreurs, traces de pile et identifiants utilisateurs (UUID uniquement, en production) pour le dépannage. Basé en Allemagne. Les adresses e-mail, le contenu des conversations et autres données personnelles sont filtrés avant l'envoi.

• Communications par e-mail : SendGrid et Kit gèrent les e-mails transactionnels, les mises à jour juridiques et les séquences d'onboarding. Basés aux États-Unis avec des Clauses Contractuelles Types. Les utilisateurs peuvent se désabonner des e-mails non essentiels.

Mode de Protection Avancée des Données

ISMS Copilot vous donne le contrôle sur l'endroit où vos conversations d'IA sont traitées et sur la durée de conservation de vos données par les fournisseurs d'IA.

Deux options de traitement :

1. Mode par défaut (Protection avancée OFF) : xAI/OpenAI traitent les conversations aux États-Unis avec 30 jours de rétention

2. Mode UE uniquement (Protection avancée ON) : Mistral AI traite les conversations dans l'UE avec zéro rétention

Quand activer la Protection Avancée :

• Votre organisation a des exigences obligatoires de résidence des données dans l'UE

• Vous manipulez des données clients hautement sensibles

• La conformité au RGPD exige de minimiser les transferts de données hors de l'UE

• Les contrats clients interdisent le traitement des données aux États-Unis

• Vous souhaitez une confidentialité maximale avec zéro rétention de données par le fournisseur d'IA

Distinction importante :

La Protection Avancée contrôle la rétention du fournisseur d'IA (30 jours vs zéro). La rétention de votre historique de conversation ISMS Copilot est contrôlée séparément via vos paramètres utilisateur (de 1 jour à 7 ans). Les deux paramètres de rétention fonctionnent de manière indépendante.

Transferts internationaux de données

L'approche d'ISMS Copilot concernant les transferts internationaux de données dépend de votre configuration :

Traitement des données de base

• Stockage en base de données : Toujours dans l'UE (Francfort, Allemagne)

• Traitement IA : UE ou USA selon le réglage du Mode de Protection Avancée des Données

• Statistiques/Analyse : Endpoints UE uniquement (PostHog UE, Sentry Allemagne)

• Conversion de fichiers : Endpoint UE (ConvertAPI)

Communications par e-mail (Basées aux USA avec garanties)

Les adresses e-mail et les données d'engagement sont transférées vers des fournisseurs de services de messagerie basés aux États-Unis (SendGrid et Kit) pour les e-mails transactionnels, les mises à jour juridiques et les séquences d'onboarding. Ces transferts sont protégés par les Clauses Contractuelles Types approuvées par la Commission européenne.

Pour les organisations ayant des exigences strictes de résidence des données exclusivement dans l'UE, vous devriez :

• Activer le Mode de Protection Avancée des Données pour garder le traitement IA dans l'UE (élimine les exigences de TIA pour l'IA)

• Vous désabonner des e-mails marketing/produit pour minimiser les transferts vers les USA

• Documenter les transferts de communication par e-mail restants dans votre registre de traitement

• Consulter notre Évaluation de l'Impact des Transferts pour comprendre les garanties de transfert

Périodes de rétention des données

Données actives

• Historique des conversations : Selon la période de rétention définie par l'utilisateur (1 jour à 7 ans, ou indéfiniment)

• Documents téléchargés : Même durée que l'historique des conversations

• Informations du compte : Conservées tant que le compte est actif

Après suppression du compte

• Données personnelles : Supprimées sous 30 jours

• Dossiers de facturation anonymisés : 7 ans (exigence de conformité fiscale)

• Données de sauvegarde : Écrasées sous 90 jours

Fonctionnalités de confidentialité dès la conception

Mode Réduction des PII

ISMS Copilot propose une anonymisation automatique des PII (Informations Personnellement Identifiables) pour protéger les données personnelles sensibles avant qu'elles n'atteignent le traitement par l'IA. Lorsqu'il est activé, le système détecte et occulte les modèles de PII courants dans vos messages et documents téléchargés.

Ce qui est occulté :

• Noms de personnes (ex: « Jean Dupont » → « [REDACTED_NAME] »)

• Noms d'entreprises et d'organisations

• Adresses e-mail (ex: « [email protected] » → « [REDACTED_EMAIL] »)

• Numéros de téléphone dans divers formats

Comment activer la réduction des PII :

1. Naviguez vers Settings → Privacy ou Data Protection

2. Activez « Enable PII Reduction »

3. Consultez la fenêtre de confirmation expliquant les limites basées sur les modèles (patterns)

4. Cherchez l'icône du bouclier vert dans votre champ de saisie pour confirmer l'activation

Lorsque la réduction des PII est active, vous verrez une icône de bouclier vert dans le champ de saisie du chat comme confirmation visuelle que l'occultation fonctionne.

Limitations importantes :

• Détection basée sur des modèles : La réduction des PII utilise des expressions régulières (regex) et peut ne pas détecter toutes les informations sensibles

• Pas 100 % précis : Certaines PII peuvent passer au travers ; certains textes légitimes peuvent être occultés par erreur

• Ne remplace pas la minimisation des données : Examinez toujours les données avant de les télécharger et évitez d'inclure des PII inutiles

• S'applique avant le traitement IA : L'occultation se produit avant que les données n'atteignent les fournisseurs d'IA

La réduction des PII est une amélioration de la confidentialité, pas une garantie d'anonymisation complète. Vérifiez toujours les résultats par rapport aux normes officielles et évitez de télécharger des données personnelles inutiles. Cette fonctionnalité est plus efficace en tant que couche de protection supplémentaire aux côtés des pratiques de minimisation des données.

Cas d'utilisation :

• Traitement de rapports d'audit client contenant des noms d'employés

• Analyse de politiques de conformité avec des coordonnées de contact

• Travail sur des politiques RH ou des rapports d'incidents

• Ajout d'une protection de confidentialité supplémentaire lors de l'utilisation du Mode de Protection Avancée des Données

Combinaison avec la Protection Avancée des Données :

Pour une confidentialité maximale, activez les deux fonctionnalités :

• Réduction des PII : Occulte les données personnelles avant le traitement par l'IA

• Mode de Protection Avancée des Données : Garantit un traitement exclusivement dans l'UE avec zéro rétention par le fournisseur d'IA

Ensemble, ces fonctionnalités offrent de solides garanties de confidentialité pour les travaux de conformité sensibles.

Isolation des espaces de travail

Les espaces de travail (workspaces) permettent de séparer les données pour les scénarios multi-clients :

• Chaque espace de travail conserve son propre historique de conversation

• Les fichiers téléchargés sont liés à des espaces de travail spécifiques

• Les instructions personnalisées sont propres à chaque espace de travail

• La suppression d'un espace de travail supprime toutes les données associées

Pas de partage de données entre utilisateurs

ISMS Copilot met en œuvre des barrières de données strictes :

• Les utilisateurs ne peuvent pas accéder aux données d'autres utilisateurs

• Les réponses de l'IA sont générées indépendamment pour chaque utilisateur

• Les requêtes en base de données sont automatiquement filtrées par l'identifiant de l'utilisateur authentifié

• Même les administrateurs système suivent le principe du moindre privilège

Pas d'entraînement de l'IA sur les données utilisateur

Vos données de conformité sensibles ne sont jamais utilisées pour l'entraînement de l'IA :

• Les conversations ne sont pas stockées par OpenAI ou d'autres fournisseurs d'IA

• Les documents téléchargés restent confidentiels et privés

• Les informations des clients ne contribuent jamais à l'amélioration des modèles

• Chaque conversation est traitée de manière isolée

Demandes des personnes concernées

Comment soumettre une demande au titre du RGPD

1. Cliquez sur l'icône du menu utilisateur (en haut à droite)

2. Sélectionnez Help Center → Contact Support

3. Décrivez clairement votre demande :

   • « Je demande l'accès à toutes mes données personnelles au titre de l'Article 15 du RGPD »

   • « Je demande la suppression de mon compte au titre de l'Article 17 du RGPD »

   • « Je demande un export de données au titre de l'Article 20 du RGPD »

4. Le support vérifiera votre identité et traitera la demande

Délais de réponse

ISMS Copilot répond aux demandes RGPD conformément aux délais réglementaires :

• Accusé de réception : Sous 24-48 heures

• Demandes d'accès : Sous 30 jours (généralement sous 72 heures)

• Demandes de suppression : Sous 30 jours

• Portabilité des données : Sous 30 jours (généralement sous 72 heures)

• Demandes de rectification : Immédiatement pour les champs modifiables par l'utilisateur ; sous 30 jours pour les autres

Vérification d'identité

Pour protéger vos données contre tout accès non autorisé, ISMS Copilot peut vérifier votre identité :

• Vous devez soumettre vos demandes depuis votre adresse e-mail enregistrée

• Pour les demandes sensibles, une vérification supplémentaire peut être requise

• Le support peut poser des questions de sécurité sur votre compte

Confidentialité pour les mineurs

ISMS Copilot n'est pas destiné aux enfants de moins de 16 ans :

• Le service est conçu pour les professionnels de la conformité et les entreprises

• Aucun mécanisme de consentement parental n'est prévu

• Si l'utilisation par un mineur est découverte, le compte sera résilié et les données supprimées

Mises à jour de la politique de confidentialité

Comment vous serez informé

Lorsque les pratiques de confidentialité changent, ISMS Copilot :

• Enverra une notification par e-mail à votre adresse enregistrée

• Affichera une notification dans l'application lors de votre prochaine connexion

• Mettra à jour la Politique de Confidentialité avec une date de « Dernière Mise à Jour »

• Fournira un préavis d'au moins 30 jours pour les changements substantiels

Vos options

Si vous n'acceptez pas les modifications de la politique de confidentialité :

• Demandez la suppression de votre compte avant l'entrée en vigueur des changements

• Exportez vos données avant la date d'effet

• Contactez le support pour discuter de vos préoccupations

Autorité de contrôle

En tant que service basé dans l'UE, ISMS Copilot est soumis à la surveillance de la protection des données.

Droit d'introduire une réclamation

Si vous estimez qu'ISMS Copilot a violé vos droits en matière de confidentialité, vous pouvez :

1. Contacter le support d'ISMS Copilot pour résoudre le problème directement

2. Déposer une plainte auprès de votre autorité locale de protection des données

3. Déposer une plainte auprès de l'autorité française de protection des données (CNIL) où ISMS Copilot est établi

Commission Nationale de l'Informatique et des Libertés (CNIL)

• Site web : https://www.cnil.fr/en

• Adresse : 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France

• Téléphone : +33 1 53 73 22 22

Meilleures pratiques pour la conformité

Pour les consultants gérant des données clients

• Créez des espaces de travail séparés pour chaque client

• Définissez des périodes de rétention appropriées correspondant aux contrats clients

• Anonymisez les données personnelles sensibles avant de les télécharger

• Informez vos clients que vous utilisez ISMS Copilot pour vos travaux de conformité

• Incluez ISMS Copilot dans vos accords de traitement des données (DPA)

• Activez le Mode de Protection Avancée des Données si vos clients exigent un traitement exclusivement dans l'UE

Pour les organisations

• Inscrivez ISMS Copilot dans votre registre des activités de traitement (consultez notre Registre des Activités de Traitement pour référence)

• Incluez-le dans vos Analyses d'Impact sur la Protection des Données (AIPD) si vous traitez des données sensibles

• Formez votre personnel à la manipulation correcte des données au sein d'ISMS Copilot

• Configurez les périodes de rétention pour qu'elles correspondent à votre politique de conservation des données

Transparence et confiance

Documentation de sécurité

Pour des informations détaillées sur les pratiques de sécurité et de confidentialité d'ISMS Copilot, visitez notre Security Collection :

• Descriptions détaillées du traitement des données

• Documentation des mesures de sécurité

• Liste complète des sous-traitants avec localisations et statut DPA

• Certifications de conformité

• Politiques de gouvernance de l'IA

Vous pouvez également consulter notre Registre des Activités de Traitement (RopA) complet pour les mesures techniques et organisationnelles détaillées.

État du système

Surveillez la disponibilité du service et les incidents de sécurité sur la Status Page :

• Surveillance de la disponibilité en temps réel via BetterStack

• Notifications d'incidents et mises à jour de statut

• Calendriers de maintenance planifiée

• Données historiques de disponibilité

• Classification et escalade transparentes des incidents

Limitations

Fonctionnalités de confidentialité actuelles

• L'exportation automatisée des données n'est pas disponible (doit être demandée au support)

• Les modifications d'adresse e-mail nécessitent l'aide du support

• Pas de suppression de compte en libre-service (doit contacter le support)

• Bannière de consentement aux cookies non implémentée (aucun cookie de suivi utilisé)

Prochaines étapes

• En savoir plus sur les mesures de sécurité et le chiffrement

• Configurer des espaces de travail pour isoler les données clients

• Consulter notre Évaluation de l'Impact des Transferts

• Créer un compte sécurisé avec une authentification forte

• Consulter notre Security Collection pour la documentation détaillée sur la confidentialité

Obtenir de l'aide

Pour toute question relative à la confidentialité ou toute demande RGPD :

• Contactez le support via le menu du Centre d'aide

• Envoyez un e-mail depuis l'adresse e-mail de votre compte enregistré

• Incluez « GDPR Request » dans l'objet pour un traitement plus rapide

• Visitez notre Security Collection pour une documentation détaillée