Un instant à bord
Votre page se prépare.
Le chargement est en cours. Vous pourrez poursuivre dans un instant.
Aller au contenuLa transparence par défaut,
dpo@pilotcrew.io
Centre de confiance
La transparence par défaut,
pas en option.
Où se trouvent les données, quels prestataires les traitent, et quels contrôles sont disponibles. Les engagements contractuels et les fonctions planifiées sont identifiés séparément.
Base principale à Francfort. Les traitements hors EEE sont détaillés dans le registre des sous-traitants.
Documents opposables
Le cadre RGPD & données, pour dirigeants
DPA, sous-traitants et EU AI Act réunis en langage clair, en une page imprimable à transférer à votre comptable ou votre associé.
Avenant de traitement (DPA)
Le texte de l’avenant : parties, objet, obligations, sous-traitants ultérieurs, transferts hors UE, sécurité, audit, durée. Accepté à la souscription d’un plan payant, copie PDF sur demande.
Liste des sous-traitants
24 sous-traitants listés : finalité, localisation et données transmises. Consultez les conditions applicables aux traitements hors EEE.
Notre démarche EU AI Act
Catégorie « risque limité » (Art. 50), transparence IA, mécanismes d'opposition utilisateur, journal de modèles.
Politique de confidentialité
Vos droits RGPD : accès, rectification, effacement, portabilité, opposition. Procédure d'exercice et délais documentés.
Actif
Base principale en UE
Supabase eu-central-1, Francfort. Certains traitements utilisent des prestataires hors EEE.
Voir le documentActif
Transparence sur l’IA
Présentation de Capi comme une IA et informations sur les usages.
Voir le documentEn cours
Conservation par fournisseur
Vérification des conditions et options de chaque service. Aucune garantie globale de Zero Data Retention.
Voir le documentActif
Accord de traitement
DPA publié avec les responsabilités et les conditions applicables.
Voir le documentPlanifié
ISO 27001
Projet de certification.
Planifié
SOC 2 Type 2
Projet de contrôle indépendant.
Pilier A
Souveraineté & résidence des données
Où vivent vos données, qui peut y accéder, et ce qui arrive aux prompts envoyés aux modèles IA. Tout est écrit, rien n'est implicite.
Où se trouvent les données ?
Application hébergée sur Vercel (fra1, Francfort), base principale Supabase à Francfort (eu-central-1) et stockage objet Cloudflare R2 configuré en région UE. Certains traitements utilisent des prestataires hors EEE : consultez le registre public des sous-traitants.
Quels traitements quittent l’EEE ?
Certains services IA, de communication et de supervision sont fournis par des prestataires situés hors EEE. Le registre public détaille les finalités, les localisations et les catégories de données transmises.
Que signifie une garantie de conservation ?
L’absence d’entraînement, la conservation des journaux techniques et le Zero Data Retention sont des conditions différentes. Elles dépendent du fournisseur, du service et des options contractuelles effectivement activées.
Conservation et traitements IA
Les conditions des fournisseurs doivent être distinguées des options réellement activées sur notre service. Consultez le registre pour connaître la chaîne de traitement.
| Fournisseur | Engagement | Ce que cela signifie |
|---|---|---|
| Fournisseurs IA | Selon le service | Consulter le registre des sous-traitants et leurs politiques. Ne pas assimiler une clause de non-entraînement à une absence totale de conservation. |
| Zero Data Retention | Pas de garantie globale | Une telle garantie exige une confirmation spécifique au compte, aux fonctions et aux contrats concernés. Nous ne l’affichons pas comme activée pour tous les fournisseurs. |
| Téléphonie et voix | Données personnelles | Numéros, audio et transcriptions peuvent être traités par les prestataires de la chaîne vocale. Le périmètre dépend du scénario et du service utilisé. |
Pilier B
Sécurité de l'infrastructure
Chiffrement, sauvegardes automatiques, journaux d'audit et supervision continue. Les contrôles qui tiennent quand quelque chose tourne mal.
Chiffrement en transit et au repos
Tout le trafic est servi en TLS. Les données sensibles, dont les transcriptions vocales, sont chiffrées au repos. Aucun contenu utilisateur ne circule en clair.
Sauvegardes et contrôles de volume
La disponibilité des sauvegardes et les possibilités de restauration dépendent de la configuration du service. Un cron mensuel compare le volume de nos tables critiques semaine par semaine et alerte automatiquement en cas de chute suspecte.
Journaux d'audit conservés 90 jours
Les événements enregistrés dans le journal permettent de retrouver une action, sa date et son état. Une politique de purge limite leur conservation à 90 jours. Le journal ne constitue pas un enregistrement exhaustif de chaque interaction.
Supervision des erreurs et des tâches
Des outils de supervision remontent les erreurs applicatives et contrôlent les exécutions planifiées. La page de statut permet de consulter les informations de disponibilité publiées.
Pilier C
Identité & accès
Qui peut accéder à quoi, et comment c'est tracé.
Actif
Journal des actions enregistrées
Les événements disponibles précisent l’action et sa date. Le périmètre enregistré dépend de la fonction utilisée.
Actif
Cloisonnement par tenant
Chaque espace client est isolé. Les données d'un tenant ne sont jamais lisibles depuis un autre.
Planifié
SSO / SCIM entreprise
Authentification unique et provisioning automatisé des comptes : en projet.
La preuve en direct
Snapshot EU AI Act & RGPD live
Notre suivi continu du cadre réglementaire : Article 50, échéances, jurisprudence. Mis à jour automatiquement, pas une capture figée.
Disponibilité en temps réel
La page status.pilotcrew.io remonte la disponibilité du Service en direct. La transparence, jusqu'aux incidents.
Réponse à incident
- Information du client. En cas de violation de données traitées pour le client, information dans les meilleurs délais selon le DPA. La notification à l’autorité de contrôle relève d’obligations distinctes. Référence CNIL, article 33.
- Supervision. Les erreurs applicatives et les exécutions planifiées font l’objet de contrôles et d’alertes.
- Journal d’événements. Les actions enregistrées et les informations disponibles peuvent être examinées pour reconstituer un incident. La politique de purge limite leur conservation à 90 jours.
- Contrôle des volumes. Un contrôle compare le volume des tables critiques et alerte en cas d’anomalie.
- Status public. La page status.pilotcrew.io remonte la disponibilité du Service en temps réel.
- Veille réglementaire. Notre snapshot EU AI Act & RGPD live suit en continu l’évolution du cadre (Article 50, échéances, jurisprudence).
Questions fréquentes
L’absence d’entraînement signifie-t-elle aucune conservation ?
Non. Les conditions d’entraînement des modèles, les journaux techniques et les options de rétention sont distincts. Nous ne revendiquons pas une activation générale du Zero Data Retention. Le registre fournit les liens vers les conditions des prestataires.
Où se trouve ma base de données ?
Application hébergée sur Vercel (fra1, Francfort), base principale Supabase à Francfort (eu-central-1) et stockage objet Cloudflare R2 configuré en région UE. Certains traitements utilisent des prestataires hors EEE : consultez le registre public des sous-traitants.
Que se passe-t-il en cas de violation de données ?
Le DPA décrit les responsabilités et la coopération avec le client. L’information du responsable de traitement intervient dans les meilleurs délais ; elle est distincte de la notification à l’autorité de contrôle.
Une transcription est-elle automatiquement une donnée biométrique ?
Une voix ou une transcription peut contenir des données personnelles. La qualification biométrique dépend notamment d’un traitement visant à identifier une personne de manière unique. Une simple transcription n’implique pas automatiquement cette finalité.
Puis-je récupérer ou supprimer mes données ?
Les demandes d’export et de suppression sont accessibles dans les réglages du compte et auprès de dpo@pilotcrew.io. Les conditions et exceptions de conservation sont détaillées dans la politique de confidentialité et le DPA.
Disposez-vous d’une certification indépendante ?
ISO 27001 et SOC 2 Type 2 sont en projet. Les contrôles en place sont décrits sur cette page. Contactez-nous pour préparer votre évaluation fournisseur.
Contact DPO
Une question RGPD, un audit fournisseur à mener, une demande d'exercice de droit ? Le délégué à la protection des données vous répond directement.
KEY FOR AI SAS. RCS Paris 994 487 775. TVA FR96 994 487 775. Siège social : 229 Rue Saint-Honoré, 75001 Paris, France. PilotCrew est une marque de KEY FOR AI SAS.