Sécurité et conformité

• Les cockpits en ligne et leurs bases de données : Fly.io, région de Francfort (Allemagne). Chaque cockpit a sa machine, et sa base de données est sur le disque de cette machine.
• Les environnements de construction et d'essai des cockpits : Fly.io, Francfort, sur un réseau privé séparé de celui des cockpits en ligne.
• Le Studio, la base de la plateforme (comptes, organisations, facturation, conversations avec le constructeur) et ce site : Railway, région d'Amsterdam (Pays-Bas).
• Les fichiers déposés dans les cockpits, les archives des bases et les copies de sauvegarde : stockage de Railway, à Amsterdam.
• Le navigateur de la plateforme, qui lit les pages web pour l'assistant : Railway, Amsterdam ; ses connexions aux sites où une entreprise a un compte sortent par une machine Fly.io à Paris.

Fly.io et Railway sont des sociétés de droit américain : les serveurs utilisés par InProcess sont dans l'Union européenne, mais ces sociétés restent soumises au droit américain. Leur intervention est encadrée par le cadre de protection des données UE–États-Unis ou par des clauses contractuelles types.

Les prestataires qui peuvent traiter des données personnelles pour InProcess, ce qu'ils font, et où :

• Fly.io, Inc. (États-Unis) : hébergement des cockpits, de leurs bases de données et des environnements de construction. Francfort, et Paris pour la sortie du navigateur.
• Railway Corp. (États-Unis) : hébergement du Studio, de la base de la plateforme et du site ; stockage des fichiers, des archives des bases et des sauvegardes (stockage assuré pour Railway par Tigris Data). Amsterdam.
• Anthropic, PBC (États-Unis) : modèles d'intelligence artificielle de l'assistant, du constructeur des cockpits et de la lecture des documents. Les appels peuvent être traités hors de l'Union européenne.
• OpenAI (États-Unis) : recherche dans les bases de connaissances, dictée, synthèse vocale, images. Les appels peuvent être traités hors de l'Union européenne.
• Postmark, d'ActiveCampaign (États-Unis) : envoi et réception des e-mails (codes de connexion, invitations, notifications, e-mails reçus par les cockpits).
• Stripe : paiement et facturation. Les données de carte bancaire restent chez Stripe, InProcess ne les reçoit pas.
• Gandi (France) : noms de domaine et DNS.

Anthropic et OpenAI n'utilisent pas les données transmises par leurs API pour entraîner leurs modèles. Seule la plateforme détient les clés de ces fournisseurs : un cockpit n'en a aucune.

Les outils que vous connectez vous-même (Google, Microsoft, Slack, Notion, GitHub…) ne sont pas des sous-traitants d'InProcess : ils restent vos prestataires, sous leurs propres conditions.

Cette liste est tenue à jour : un nouveau sous-traitant y figure avant de traiter vos données.

• Archive continue : chaque modification de la base d'un cockpit part dans la minute vers un stockage chez Railway, à Amsterdam, hors de Fly.io où tourne le cockpit. Si sa machine ou son disque est perdu, on perd au plus environ une minute de saisies.
• Sauvegarde complète toutes les 6 heures, gardée 7 jours : une base peut être remise à n'importe quel moment de la dernière semaine, à la minute près.
• Restauration essayée chaque semaine pour chaque cockpit : la dernière sauvegarde et tout ce qui a été archivé depuis sont restaurés sur une machine à part, puis vérifiés. Pour une petite base, cela prend quelques minutes.
• Le disque de chaque machine a aussi ses instantanés, gardés 7 jours par Fly.io.
• Les fichiers sont rangés hors de la machine du cockpit et ne sont jamais modifiés. Un fichier supprimé reste récupérable 30 jours : une base restaurée retrouve ses fichiers.
• Chaque version d'un cockpit est conservée : on peut revenir à la précédente.
• La base de la plateforme (comptes, facturation) est sauvegardée par Railway.

Ce qui n'est pas encore en place :

• les copies sont aujourd'hui chez deux hébergeurs, Fly.io et Railway ; une copie chaque nuit chez un troisième, que personne ne peut effacer pendant 30 jours, est en préparation ;
• une seconde copie des fichiers, dans un autre espace de stockage, n'est faite qu'à chaque sauvegarde complète d'un cockpit, pas encore en continu ;
• aucun engagement contractuel de disponibilité (SLA) n'est proposé à ce jour. Chaque cockpit tourne sur une machine : si elle tombe en panne, il est indisponible le temps qu'elle redémarre.

Pour les données de vos cockpits, votre entreprise est responsable du traitement et InProcess est son sous-traitant, au sens du RGPD. Les conditions générales prévoient un accord de sous-traitance conforme à l'article 28 du RGPD.

• Accès, rectification, effacement, limitation, portabilité et opposition : écrivez à privacy@peas.studio. Nous répondons dans un délai d'un mois.
• Si vous êtes membre du cockpit d'une entreprise, adressez-lui d'abord votre demande : c'est elle qui décide de ses données, et nous l'aidons à y répondre.
• À la fin du contrat, l'export des données est possible pendant 30 jours, dans un format courant ; elles sont ensuite supprimées, et les copies de sauvegarde le sont à la fin de leur cycle.
• Supprimer un cockpit efface son serveur, sa base de données et ses fichiers.
• Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr).

Tout ce que vous pouvez faire dans votre cockpit, vous pouvez le demander à l'assistant, à l'écrit ou à la voix : il passe par les mêmes actions que les écrans, rien de plus.

• Il agit avec les droits de la personne qui lui parle : ce qu'elle ne peut pas voir ou faire à l'écran, il ne peut pas le voir ou le faire non plus. Ces droits sont vérifiés par la base de données, pas par l'IA.
• Avant chaque action, il montre une carte qui résume ce qui va se passer, et attend que la personne confirme. Elle peut corriger les valeurs ou refuser.
• Votre entreprise peut dispenser de confirmation quelques actions courantes. Une suppression ou une action irréversible demande toujours la confirmation, comme toute action proposée après que l'assistant a lu un contenu venu de l'extérieur (une page web, un outil connecté) : un texte extérieur ne peut pas lui faire faire quelque chose à votre insu.
• Ce qu'il fait est inscrit au journal des actions, au nom de la personne qui l'a confirmé.

Ce qui est en place :

• chaque cockpit tient un journal de ses actions : qui a fait quoi, et quand ;
• chaque accès de l'équipe InProcess aux données d'un client est inscrit dans un journal à part : ouverture du Studio d'un client (avec un motif, une heure au plus), consultation de la base d'un cockpit ou d'une conversation avec l'IA, et toute modification, avec son motif et ses valeurs avant et après ;
• les pages web ouvertes par l'assistant sont journalisées 30 jours ;
• les droits de chacun sont appliqués par la base de données elle-même, et chaque cockpit a sa base, ses accès et sa clé de chiffrement des secrets.

Ce qui n'existe pas encore :

• aucun audit de sécurité ni test d'intrusion par un organisme extérieur n'a été réalisé ;
• aucune certification (ISO 27001, SOC 2) ; InProcess n'est pas hébergeur de données de santé (HDS) et ne convient pas aux données qui l'exigent.

Pour un questionnaire de sécurité ou une revue avant de signer, écrivez à contact@inprocess.ai : nous y répondons point par point.

Si des données de vos cockpits sont touchées par une violation, nous vous prévenons dans les meilleurs délais après l'avoir constatée, avec ce que nous savons : ce qui s'est passé, les données concernées, ce que nous faisons. Vous pouvez ainsi prévenir la CNIL dans les 72 heures, comme le RGPD le demande au responsable du traitement.

Vous pensez avoir trouvé une faille ? Écrivez à contact@inprocess.ai : nous vous répondons rapidement et vous tenons informé de sa correction.