1. Où vont vos données ?
Votre base de données (comptes, contenus, journaux d’activité) vit exclusivement dans des infrastructures situées ou opérant en Union européenne. Rien de tout cela ne part par défaut vers un centre de données américain.
| Ce qui reste en UE | Rôle | Localisation |
|---|---|---|
| Vercel | Hébergement applicatif (site, fonctions serveur) | Exécution région fra1 (Paris / Francfort) |
| Supabase | Base de données, authentification, fichiers | Francfort, Allemagne (eu-central-1) |
| Cloudflare R2 | Stockage des fichiers et exports | Région UE automatique |
Certains traitements font nécessairement appel à des fournisseurs américains (les modèles de langage eux-mêmes en premier lieu). Ces transferts sont encadrés, jamais laissés en l’état, et documentés fournisseur par fournisseur dans la liste complète des 21 sous-traitants.
Clauses contractuelles types de la Commission européenne (décision 2021/914), et Zero Data Retention activé contractuellement : le contenu envoyé n'est jamais conservé au-delà de la requête, ni utilisé pour entraîner un modèle.
Clauses contractuelles types. Une transcription d'appel est une donnée biométrique au sens de l'article 9 du RGPD : elle n'est traitée qu'avec le consentement explicite de la personne qui appelle (agent vocal opt-in), jamais réutilisée pour entraîner un modèle.
Clauses contractuelles types.
Clauses contractuelles types. Les données personnelles identifiantes sont filtrées côté serveur avant envoi.
Ce qui n’est jamais conservé
- Le flux audio d'un appel téléphonique est supprimé chez notre prestataire de transcription (Gladia, France) dès que la transcription est produite.
- Le texte envoyé à la synthèse vocale ne sert qu'à produire l'audio de la réponse : il n'est pas conservé pour entraîner un modèle.
- Les données de carte bancaire ne transitent jamais par PilotCrew : elles sont tokenisées directement chez Stripe, notre prestataire de paiement.
- L'observabilité de nos appels IA (Langfuse, Allemagne) ne conserve que des métadonnées de performance (latence, coût), jamais le contenu échangé avec vos clients, pendant 30 jours maximum.
2. Qui peut les lire ?
Deux questions distinctes se cachent derrière celle-ci : un autre client peut-il voir mes données, et qui, chez PilotCrew, peut y accéder ?
Un cloisonnement technique, pas une convention
Chaque espace client est isolé par Row Level Security PostgreSQL, activée sur 100 % des tables de production. La moitié applique une règle explicite de cloisonnement par client ; l'autre moitié (tables internes, système, agents) est fermée à tout accès direct, y compris depuis notre propre interface, sauf pour le seul processus serveur qui les gère. Les données d'un client ne sont jamais lisibles depuis un autre compte.
Une trace de qui a fait quoi
Toute action sensible (connexion, suppression, export, paiement) est journalisée dans un registre immuable, conservé 90 jours maximum, avec une purge automatique vérifiée chaque semaine.
Chez nous, une seule personne a la clé
PilotCrew est édité par une équipe d'une personne : le fondateur cumule direction et développement, assisté d'agents IA pour écrire le code. Le dépôt de code est privé, et aucun changement, écrit par le fondateur ou par un agent, n'atteint la production sans passer par le même contrôle automatique obligatoire, sans exception.
Un accès administrateur qui refuse par défaut
Les fonctionnalités d'administration de la plateforme sont réservées aux adresses email explicitement déclarées, et l'accès est refusé par défaut en cas d'erreur de configuration : jamais l'inverse. Les jetons de connexion et identifiants stockés pour votre compte sont chiffrés en base (AES-256).
Le détail de qui a accès à quoi, chez nous, est vérifié et tenu à jour dans notre centre de confiance. Ce que nous ne prétendons pas : une revue d’accès n’est utile que si elle est refaite régulièrement, ce que nous nous engageons à faire tous les six mois au minimum.
3. Est-ce que l’IA apprend sur vos données ?
Non.Ce n’est pas une promesse commerciale, c’est un mécanisme contractuel activé chez chaque fournisseur de modèle que nous orchestrons : Anthropic (Claude), OpenAI (GPT) et Google (Gemini) ont chacun l’option « Zero Data Retention » activée pour PilotCrew. Concrètement : le contenu que vous envoyez n’est jamais conservé au-delà du temps de la requête, et il n’est jamais réutilisé pour entraîner ou améliorer un modèle, ni chez eux, ni chez nous. Notre générateur d’images (Fal.ai) applique le même principe de non-réutilisation.
Nous n’entraînons ni ne réglons finement (« fine-tune ») aucun modèle nous-mêmes sur les données de nos clients. La seule mémoire qu’un agent conserve d’un échange avec vous est celle que vous voyez dans votre propre tableau de bord : l’historique de vos conversations, cloisonné dans votre espace, jamais partagé avec un autre client ni renvoyé à un fournisseur pour l’entraîner. Le détail fournisseur par fournisseur est publié sur notre centre de confiance.
4. Ce que nos agents ne font jamais sans vous
Le principe de conception : toute action difficile à annuler, ou qui engage votre image auprès d’un tiers, attend un humain. Ce n’est pas une déclaration d’intention, ce sont des mécanismes qu’on peut pointer dans le code.
Étoile rédige une réponse à un avis client, mais ne la publie jamais sur votre fiche Google sans validation humaine aujourd'hui : la publication automatique a été fermée le 11/08/2026, le temps de recueillir votre consentement explicite et d'ajouter la mention de génération que l'EU AI Act impose. La réponse est produite et enregistrée, jamais envoyée seule.
Passé 30 jours de retard, la mise en demeure est rédigée et déposée dans votre file d'attente, mais elle ne part jamais sans votre clic de validation, quel que soit le retard accumulé. Les paliers précédents (préventif, rappel, relance) respectent un ordre et un délai minimal, vérifiés par 22 scénarios de test automatisés. Les données liées au traitement d'un impayé sont purgées 48 heures après règlement, conformément à la délibération CNIL n°2021-130.
Un seul interrupteur coupe tout appel à un modèle de langage en cas d'urgence. Il n'est actionnable que par le fondateur, avec une confirmation textuelle explicite, jamais par une automatisation.
Une suppression réelle et irréversible de vos données n'est jamais déclenchée par défaut : le mécanisme reste en simulation tant qu'il n'a pas été activé explicitement, et il s'auto-signale si une demande traîne au-delà du délai prévu plutôt que de rester silencieux.
Cette liste n’est pas exhaustive, elle illustre le principe. Elle s’étend à mesure que de nouveaux agents rejoignent le catalogue.
5. Ce qu’on ne sait pas encore faire
C’est la partie que la plupart des fournisseurs omettent, et c’est précisément ce qui rend le reste de ce document crédible. Nous préférons nommer nos limites plutôt que les maquiller.
Aucune certification à ce jour
PilotCrew n'est certifié ni ISO/IEC 27001, ni SOC 2, ni sur aucun autre référentiel, et aucun audit de sécurité externe n'a jamais été mené. Notre auto-évaluation sécurité complète (format CSA CAIQ-Lite) le dit noir sur blanc, sans l'habiller.
Lire l'auto-évaluation complèteLe test de restauration complète n’est pas encore fiable en routine
Un contrôle mensuel compare le volume de nos tables critiques semaine par semaine et alerte en cas d'anomalie, ce qui fonctionne. Le test qui recrée réellement une base entière depuis une sauvegarde, lui, n'a pas encore abouti de façon fiable : nous ne le déclarons pas acquis tant qu'il n'a pas tourné avec succès en routine.
La détection de secrets ne bloque pas encore une fusion de code
Un scanner de secrets s'exécute sur chaque changement de code et produit un rapport, mais il ne fait pas encore partie des contrôles obligatoires avant mise en production : une alerte ignorée pourrait, en théorie, passer. C'est corrigé en priorité.
Aucune de ces limites ne touche l’isolation entre clients ni la confidentialité de vos données : ce sont des chantiers de maturité (audit externe, exercice de restauration, durcissement d’un contrôle déjà actif), pas des failles connues et laissées ouvertes.
6. Ce qui se passe si ça tourne mal
Quatre canaux de détection tournent en continu : supervision des erreurs applicatives (Sentry) sur toutes les routes, un contrôle automatique des dérives de configuration (isolation, mots de passe compromis, droits excessifs), un scan de secrets sur chaque changement de code, et un canal public de divulgation responsable pour tout chercheur en sécurité qui trouverait une faille, avec un accusé de réception sous 48 heures ouvrées.
Une fois un incident détecté, il est qualifié sous 24 heures (48 heures ouvrées maximum pour un signalement externe) selon une échelle de gravité écrite, puis confiné : révocation immédiate d’une clé compromise, verrouillage d’urgence de l’accès à une table, ou coupure de tout appel à un modèle de langage via l’interrupteur d’urgence si un modèle est en cause.
L’engagement écrit dans le DPA
En cas de violation de données vous concernant, notification à votre délégué à la protection des données sous 72 heuressuivant la connaissance de l’incident, conformément à l’article 33 du RGPD, tel que relayé contractuellement dans notre DPA. Pour les données dont PilotCrew est responsable de traitement en propre, une notification à la CNIL, et le cas échéant aux personnes concernées, est évaluée au cas par cas selon le risque réel pour leurs droits et libertés, conformément aux articles 33 et 34 du RGPD.
Tout incident classé critique ou majeur fait l’objet d’un post-mortem écrit avant d’être clos : ce qui s’est passé, ce qui a été fait, ce que ça change dans nos contrôles automatiques. La disponibilité du service se suit en direct sur notre page de statut.