Sécurité et données
Vos données, écrites noir sur blanc
Tout le monde écrit « sécurisé ». Nous préférons dire quels outils, où sont les données, qui y accède, et ce que nous refusons de faire.
Nos engagements
Repris dans chaque proposition, usage par usage.
- Des outils professionnelsJamais d'outil gratuit grand public sur les données de votre réseau. Les versions professionnelles garantissent par contrat que vos données ne servent pas à entraîner les modèles et restent sous votre contrôle.
- Vos données en France ou en EuropeLe lieu de traitement et d'hébergement est écrit dans la proposition. Fournisseurs européens privilégiés : Scaleway, OVHcloud, Mistral.
- Des sous-traitants nommésLa liste des outils et des sous-traitants utilisés vous est remise par écrit, avant de signer. La liste ci-dessous est tenue à jour.
- Une validation humaineAucun message, aucune décision sur un candidat, un salarié ou un franchisé ne part sans une personne qui l'a relu.
Les sous-traitants, nommés
Classement par niveau de garantie. Mise à jour : 21 octobre 2026.
Nous privilégions les fournisseurs européens. Un fournisseur américain n'est utilisé qu'avec un contrat de sous-traitance signé et une région européenne, et nous mentionnons qu'il reste soumis au droit américain. DeepSeek est exclu : son service officiel traite les données en Chine, avec entraînement par défaut.
| Fournisseur | Siège | Hébergement | Entraînement sur vos données | Classement |
|---|---|---|---|---|
| Scaleway | France | Paris | Non ; aucune conservation par défaut | Premier choix |
| OVHcloud | France | Gravelines (FR) | Non ; données non stockées | Premier choix |
| Mistral AI | France | Suède (UE) | Possible si opt-out non activé | Premier choix * |
| OpenAI | États-Unis | Europe si projet créé en région UE | Non par défaut sur API | Sous conditions ** |
| Google Vertex AI | États-Unis | UE si région UE choisie | Non sans permission | Sous conditions ** |
| Anthropic | États-Unis | États-Unis direct ; UE via Bedrock | Non par défaut sur offres pro | Sous conditions ** |
| Perplexity | États-Unis | Non confirmé | Non (contrat Enterprise) | À vérifier *** |
| DeepSeek (service officiel) | Chine | Chine | Oui, avec opt-out | Exclu |
- *
- Premier choix sous réserve d'activer l'opt-out contre l'entraînement et de signer un contrat de sous-traitance.
- **
- Sous conditions : contrat de sous-traitance signé, région européenne quand elle existe, mention écrite que la société reste soumise au droit américain (CLOUD Act).
- ***
- À vérifier au cas par cas avant chaque usage : documentation du fournisseur et périmètre réellement couvert par ses certifications.
Sources : documentation officielle de chaque fournisseur, vérifiée au 20 oct. 2026. Les certifications affichées par chaque fournisseur (ISO 27001, SOC 2, SecNumCloud…) ne sont retenues que lorsqu'elles couvrent le service effectivement utilisé.
Sécurité de l'IA agentique
Les quatre règles de travail du guide d'adoption de l'IA de France Num, appliquées à chaque agent déployé.
- Le moindre privilègeChaque agent n'accède qu'aux données et aux outils dont il a besoin pour sa tâche. Rien d'autre.
- Le bac à sableL'agent est testé sur un périmètre réduit avant d'être ouvert au réseau. On ne déploie qu'après mesure.
- La traçabilitéOn sait ce que l'agent a fait, sur quelles données, et qui l'a validé. Un journal est tenu, consultable.
- La supervision humaineLes actions qui engagent (envoi, décision sur une personne, modification d'un contrat) passent toujours par une relecture humaine.
Nous veillons à ce que l'architecture permette de changer de fournisseur de modèle sans tout reconstruire. Le choix du modèle dépend de la sensibilité des données et du gain attendu.
Cloisonnement du réseau
Franchiseur et franchisés sont des responsables de traitement distincts. Nous en tenons compte dès le cadrage.
- Deux périmètres étanchesLes données du franchiseur (siège) et celles des franchisés ne se mélangent pas. Chacun garde la responsabilité de son traitement.
- Des accès nommésChaque personne qui accède aux données est désignée. Qui voit quoi, où, avec quels droits.
- Un DPO associéNous travaillons avec votre délégué à la protection des données. Un prestataire qui vous « garantit » la conformité au RGPD vous dit autre chose que la vérité.
Ce que nous ne faisons jamais
- Utiliser vos données pour entraîner un modèle.
- Passer des données de votre réseau dans un outil gratuit grand public.
- Déclencher une action irréversible sans validation humaine.
- Laisser une machine écarter un candidat, un salarié ou un franchisé.
- Prospecter des particuliers.
Votre DSI ou votre DPO a des questions ?
Nous répondons par écrit, ou lors d'un entretien avec eux.
Fournisseurs, lieu d'hébergement et garanties sur vos données : tout est écrit dans chaque proposition, avant engagement.