Centre de confiance
La transparence par défaut,
pas en option.
Comment PilotCrew protège vos données : hébergement UE, Zero Data Retention sur les modèles IA, conformité EU AI Act, DPA opposable dès la souscription. Une page, tous les engagements. Pas de PDF à demander, rien sous NDA.
Stack EU-native (Vercel fra1 + Supabase Frankfurt + Mistral / Claude EU), déployable en Europe sans contorsion juridique.
Vercel fra1 + Supabase Frankfurt eu-central-1
Anthropic, OpenAI, Google : ZDR activé contractuellement
Sur notre feuille de route, priorité de certification pour le marché PME France/UE. Priorité actuelle : EU AI Act + RGPD.
Sur notre feuille de route, après ISO 27001. Standard nord-américain, pour les acheteurs US le demandant.
Pilier A
Souveraineté & résidence des données
Où vivent vos données, qui peut y accéder, et ce qui arrive aux prompts envoyés aux modèles IA. Tout est écrit, rien n'est implicite.
Données chez vous, pas chez les hyperscalers américains
La base de données Postgres tenant (comptes, contenus, audit logs) vit sur Supabase Frankfurt et ne sort jamais de l'EEE. Cloudflare R2 stocke les fichiers en région UE automatique. Vercel sert le frontend depuis fra1 (Paris / Francfort). Aucune donnée tenant ne transite par les datacenters US par défaut.
Modèles IA : transferts US encadrés, contenu non-conservé
Les prompts envoyés à Claude (Anthropic), GPT (OpenAI) et Gemini (Google) traversent les États-Unis. Ces transferts sont couverts par les Clauses Contractuelles Types (CCT) 2021/914 et par le Zero Data Retention activé : aucun de vos prompts n'est conservé au-delà de la requête, aucun n'entraîne les modèles. C'est un engagement contractuel, pas une promesse marketing.
Multi-modèles = pas de lock-in fournisseur
Si Anthropic ou OpenAI change ses CGU ou cesse de servir l'EU, le routage bascule sur les autres modèles (Mistral en backup souverain, Gemini région UE). Votre service ne dépend pas de la pérennité d'un seul fournisseur US.
Zero Data Retention par fournisseur
Vos prompts ne servent jamais à entraîner les modèles que nous orchestrons. Voici l'engagement contractuel et la preuve technique pour chacun.
| Fournisseur | Engagement | Mise en œuvre |
|---|---|---|
| Anthropic (Claude) | ZDR activé | Compte Enterprise + clause contractuelle no-retention |
| OpenAI (GPT-4o, o1) | ZDR activé | Account opt-out training + DPA signé |
| Google (Gemini) | ZDR activé | Vertex AI no-cache + région UE configurable |
| Fal.ai (images) | No-training activé | Account flag + DPA |
| ElevenLabs (TTS) | No-training activé | Texte synthétisé éphémère, pas de biométrie client |
Pilier B
Sécurité de l'infrastructure
Chiffrement, sauvegardes automatiques, journaux d'audit et supervision continue. Les contrôles qui tiennent quand quelque chose tourne mal.
Chiffrement en transit et au repos
Tout le trafic est servi en TLS. Les données sensibles, dont les transcriptions vocales, sont chiffrées au repos. Aucun contenu utilisateur ne circule en clair.
Sauvegardes automatiques, continuité vérifiée chaque mois
Supabase sauvegarde nos données en continu (Point-in-Time Recovery, RPO ≤ 24h). Un cron mensuel compare le volume de nos tables critiques semaine par semaine et alerte automatiquement en cas de chute suspecte. Le test de restauration complète d'une base (recréer réellement une instance à partir d'une sauvegarde) est en cours de fiabilisation : nous ne le déclarons pas acquis tant qu'il n'a pas tourné avec succès en routine.
Journaux d'audit conservés 90 jours
Toutes les actions sensibles (authentification, suppression, export, paiement) sont écrites dans audit_logs, immuables, conservées 90 jours maximum : purge automatique hebdomadaire par lots, avec vérification post-passage et alerte automatique si des lignes hors rétention subsistent.
Supervision 24/7
Sentry surveille toutes les routes avec alertes Slack et Telegram en temps réel. Le cron cron-execution-verifier veille en continu sur la santé du parc opérationnel.
Pilier C
Identité & accès
Qui peut accéder à quoi, et comment c'est tracé. Nous listons ce qui est livré, et nous marquons honnêtement ce qui reste sur la roadmap.
Les accès et actions sensibles sont journalisés dans audit_logs (immuables, 90 jours) : on sait qui a fait quoi, et quand.
Chaque espace client est isolé. Les données d'un tenant ne sont jamais lisibles depuis un autre.
L'authentification unique et le provisioning automatisé des comptes sont sur la roadmap, pas encore livrés.
Documents opposables
DPA, sous-traitants et EU AI Act réunis en langage clair, en une page imprimable à transférer à votre comptable ou votre associé.
Conforme RGPD art. 28, opposable dès la première facture. Aucune contre-signature manuelle requise.
21 sous-traitants listés : finalité, localisation, données transmises, statut EEE / CCT. Notification 30j avant toute modification.
Catégorie « risque limité » (Art. 50), transparence IA, mécanismes d'opposition utilisateur, journal de modèles.
Vos droits RGPD : accès, rectification, effacement, portabilité, opposition. Procédure d'exercice et délais documentés.
La preuve en direct
Notre suivi continu du cadre réglementaire : Article 50, échéances, jurisprudence. Mis à jour automatiquement, pas une capture figée.
La page status.pilotcrew.io remonte la disponibilité du Service en direct. La transparence, jusqu'aux incidents.
Réponse à incident
- Notification 72h.En cas de violation de données impactant un Client, notification au DPO du Client sous 72h ouvrées suivant la connaissance, conformément à l'art. 33 RGPD.
- Supervision 24/7. Sentry sur toutes les routes, alertes Slack et Telegram en temps réel, cron
cron-execution-verifierqui surveille la santé du parc opérationnel. - Audit logs immuables. Toutes les actions sensibles (auth, suppression, export, paiement) sont journalisées, conservées 90 jours maximum (purge hebdomadaire vérifiée), dans
audit_logs, accessibles sur demande. - Continuité des sauvegardes vérifiée chaque mois. Le cron
backup-restore-verifiercompare le volume de nos tables critiques semaine par semaine et alerte en cas d'anomalie. Le test de restauration complète d'une base est en cours de fiabilisation, pas encore garanti en routine. - Status public. La page status.pilotcrew.io remonte la disponibilité du Service en temps réel.
- Veille réglementaire. Notre snapshot EU AI Act & RGPD livesuit en continu l’évolution du cadre (Article 50, échéances, jurisprudence).
Questions fréquentes
Mes données seront-elles utilisées pour entraîner des modèles IA ?
Non. Nous activons spécifiquement les options « Zero Data Retention » et « no-training » disponibles chez Anthropic, OpenAI, Google et Fal.ai. Vos prompts ne sont conservés qu'aux fins d'observabilité technique chez Langfuse (métadonnées uniquement, sans contenu utilisateur), pendant 30 jours maximum.
Comment mes données sont-elles chiffrées ?
Tout le trafic est servi en TLS. Les données sensibles, dont les transcriptions vocales, sont chiffrées en transit et au repos. Aucun contenu utilisateur ne circule en clair entre vous, nos services et les modèles que nous orchestrons.
Vos sauvegardes sont-elles vraiment testées ?
Partiellement, et nous préférons le dire tel quel. Nos données sont sauvegardées en continu par Supabase (Point-in-Time Recovery, RPO ≤ 24h) et un cron mensuel vérifie l'intégrité de nos tables critiques (comparaison de volumes semaine par semaine, alerte automatique en cas d'anomalie). Le test de restauration complète d'une base à partir d'une sauvegarde n'est pas encore garanti de façon fiable en routine : nous ne l'affirmons pas tant qu'il n'a pas tourné avec succès.
Que se passe-t-il en cas de violation de données ?
Notification au délégué à la protection des données du Client dans les 72h suivant la connaissance de l'incident, conformément à l'article 33 RGPD. Procédure documentée, audit logs immuables conservés 90 jours, supervision 24/7 via Sentry avec alertes Slack et Telegram.
Combien de sous-traitants avez-vous, et comment le savoir ?
La liste publique des sous-traitants détaille pour chacun la finalité, la localisation, les données transmises et le statut EEE / CCT. Toute modification est notifiée 30 jours à l'avance. La liste est consultable à tout moment, sans demande ni NDA.
L'agent vocal traite-t-il des données biométriques ?
Les transcriptions vocales sont une donnée biométrique au sens de l'article 9 RGPD. Elles sont chiffrées en transit et au repos, conservées le temps strict de la prestation (durée d'abonnement + 30j post-résiliation), et ne sortent jamais de notre écosystème pour entraîner un modèle. Les voix synthétiques (ElevenLabs) sont artificielles, sans biométrie client.
Puis-je récupérer mes données si je résilie ?
Oui. Export complet en JSON + Markdown inclus sans frais à la résiliation. Vos données sont supprimées sous 30 jours après la fin du contrat (ou restituées si vous préférez), sauf obligation légale de conservation (facturation : 10 ans en France).
Puis-je auditer votre conformité ?
Une fois par an, avec préavis de 30 jours, à vos frais. Pour les Clients Autopilote (2 490 EUR/an), un rapport d'audit indépendant (ISO 27001 en priorité, SOC 2 Type 2 ensuite pour les acheteurs nord-américains, tous deux sur notre feuille de route) sera mis à disposition une fois la certification obtenue.
Êtes-vous l'éditeur, ou y a-t-il une société écran ?
PilotCrew est édité par KEY FOR AI SAS, société française immatriculée au RCS de Paris (SIREN 994 487 775), siège 229 Rue Saint-Honoré 75001 Paris. Pas de société écran offshore. Le DPO est joignable directement à dpo@pilotcrew.io.
Contact DPO
Une question RGPD, un audit fournisseur à mener, une demande d'exercice de droit ? Le délégué à la protection des données vous répond directement.
KEY FOR AI SAS. RCS Paris 994 487 775. TVA FR96 994 487 775. Siège social : 229 Rue Saint-Honoré, 75001 Paris, France. PilotCrew est une marque de KEY FOR AI SAS.