Engagement Arborys IA
IA et RGPD pour PME : où vont vos données ?
Arborys IA, installée à Marcellaz en Haute-Savoie, déploie des automatisations et des agents IA pour les PME de Haute-Savoie, du Grand Genève et de Suisse romande dans le cadre du RGPD européen et de la nLPD suisse. Vous voulez utiliser l'IA sans perdre la trace de vos données client : voici où va chaque donnée, chez quel prestataire et dans quel pays.
Quel principe guide nos choix ?
Si vous ne pouvez pas auditer ce qui se passe avec vos données, ce n'est pas votre IA, c'est celle de quelqu'un d'autre.
Arborys IA conçoit chaque déploiement avec un seul critère : que vous puissiez tracer où va chaque donnée, qui peut y accéder, et combien de temps elle est conservée. Pas de boîte noire.
Où sont hébergées vos automatisations ?
n8n auto-hébergé, serveur dédié dans l'UE
Les workflows d'automatisation tournent sur un serveur dédié à chaque client, jamais mutualisé, hébergé dans l'Union européenne et administré directement par nous (ou par vous, selon le contrat).
Pas de SaaS opaque
On n'utilise pas Make ou Zapier en cœur de système, précisément parce que vos données transiteraient par leur infrastructure SaaS, hors contrôle direct.
Sauvegardes chiffrées
Workflows et bases de données sauvegardés quotidiennement, chiffrement au repos.
Quels prestataires utilisons-nous, et dans quel pays ?
Notre outil de gestion, nos automatisations, nos transcriptions et notre comptabilité sont hébergés dans l'Union européenne ; l'hébergement du site (Vercel) et l'assistance par l'IA Claude (Anthropic) impliquent aussi les États-Unis. Voici les principaux prestataires d'Arborys IA, avec la donnée traitée et le pays d'hébergement.
| Donnée traitée | Outil | Pays d'hébergement |
|---|---|---|
| Base de données de notre outil de gestion | Supabase | Union européenne (Paris) |
| Serveur des automatisations n8n | Hostinger | Union européenne |
| Hébergement du site et de nos outils | Vercel | États-Unis et Union européenne |
| Assistance par l'IA Claude | Anthropic | États-Unis |
| Transcription des enregistrements | Gladia | Union européenne |
| Comptabilité et facturation | Pennylane | France |
Les transferts hors de l'Union européenne sont encadrés par le Data Privacy Framework (cadre de protection des données UE – États-Unis) ou par les clauses contractuelles types de la Commission européenne. Pour les solutions que nous hébergeons pour un client, les prestataires sont fixés dans le contrat de ce client.
Source : politique de confidentialité d'Arborys IA (arborys-ia.com/fr/confidentialite, § 3 « Prestataires et destinataires »), qui donne la liste complète.
Qui a accès à vos mots de passe et clés API ?
- Toutes les clés API, mots de passe et tokens sont stockés chiffrés dans les credentials natifs n8n (AES-256).
- Aucun secret en clair dans le code des workflows.
- Accès aux credentials limité aux administrateurs (vous + Arborys pendant le déploiement, puis vous seul après transmission).
- Audit log de chaque exécution accessible.
Que deviennent les données envoyées à OpenAI ou Claude ?
Seul le strict nécessaire leur est envoyé, uniquement via leurs offres API payantes, dont les conditions prévoient par défaut de ne pas utiliser les données des clients pour entraîner les modèles.
Utilisation EXCLUSIVE des API payantes
D'OpenAI et d'Anthropic — pas les versions gratuites ou ChatGPT.com.
Conditions vérifiées avant usage
Les conditions API et entreprise d'OpenAI et d'Anthropic prévoient par défaut de ne pas entraîner leurs modèles sur les données des clients, et un accord de traitement des données (DPA) encadre l'usage. Une conservation temporaire peut exister, par exemple pour la détection d'abus : nous relisons les conditions en vigueur de chaque fournisseur avant de l'utiliser.
Minimisation des données envoyées
Chaque workflow envoie uniquement le strict nécessaire au modèle (pas votre base client entière, juste le contexte d'une demande).
Choix éclairé du modèle
Claude Sonnet/Haiku pour la rédaction et l'analyse, OpenAI GPT-4 pour les appels intensifs — on choisit selon la sensibilité et le coût.
Quelles règles s'appliquent : RGPD, nLPD, normes ISO ?
RGPD (UE)
Registre de traitement, base légale documentée (intérêt légitime ou consentement selon les cas), droits d'accès, de rectification et d'effacement opérationnels. Pour nos clients de Haute-Savoie et de toute la France.
nLPD (Suisse)
Entrée en vigueur le 1er septembre 2023, avec des exigences proches du RGPD. Ses spécificités sont prises en compte pour nos clients de Genève et de Suisse romande, notamment dans l'hôtellerie.
Inspirations ISO 42001 et 27001
La norme ISO 42001 (management de l'IA) et 27001 (sécurité de l'information) inspirent nos pratiques sans qu'on soit certifié. On est honnête là-dessus : la certification c'est de la paperasse longue, on travaille comme si.
Ce qu'on NE fait JAMAIS chez Arborys IA
- On n'envoie jamais votre base client complète à un modèle IA pour « l'analyser ».
- On n'utilise jamais ChatGPT.com ou Claude.ai (versions gratuites) en cœur de production — toujours les API payantes.
- On ne stocke pas votre code source ou vos workflows sur GitHub public — repos privés exclusivement.
- Pour les solutions que nous hébergeons pour vous, on ne fait jamais appel à un prestataire hors UE sans votre validation explicite.
- On ne réutilise jamais vos données pour entraîner « notre » modèle (on n'en a pas).
- On n'utilise jamais vos données comme cas d'usage marketing sans validation écrite préalable.
Questions fréquentes sur l'IA et le RGPD
Mes données servent-elles à entraîner ChatGPT ?
En principe non, avec les offres que nous utilisons. Les offres API et entreprise des principaux fournisseurs d'IA prévoient par défaut de ne pas utiliser les données des clients pour entraîner leurs modèles ; nous n'utilisons jamais les versions gratuites grand public en production. Arborys IA vérifie les conditions de chaque fournisseur avant de l'utiliser, n'envoie au modèle que le strict nécessaire et privilégie l'hébergement en Europe.
Où sont hébergées les données de mes automatisations ?
Vos workflows n8n tournent sur un serveur dédié à votre entreprise, jamais mutualisé, hébergé dans l'Union européenne. Quand un service situé hors de l'Union européenne est nécessaire, par exemple un modèle d'IA américain, nous vous le disons avant et nous ne lui envoyons que le strict nécessaire.
Utiliser un modèle d'IA américain est-il compatible avec le RGPD ?
Cela dépend des garanties prévues par le fournisseur (accord de traitement des données, cadre de transfert vers les États-Unis) et de ce que vous lui envoyez. Nous vérifions ces garanties, limitons les données transmises et vous indiquons le pays de chaque prestataire. Nous ne remplaçons pas votre délégué à la protection des données ou votre avocat : pour un traitement sensible, leur avis reste nécessaire.
Mon entreprise est à Genève : la nLPD suisse change-t-elle quelque chose ?
Oui, sur certains points. La nouvelle loi fédérale sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023, est proche du RGPD : information des personnes, sécurité des données, encadrement des transferts à l'étranger. Pour nos clients du canton de Genève et de Suisse romande, nous en tenons compte dès l'audit, qui comprend un volet conformité adapté à votre secteur.
Arborys IA est-elle certifiée ISO 27001 ou ISO 42001 ?
Non. Nos pratiques sont inspirées de ces deux normes (sécurité de l'information et management de l'IA), sans certification. Nous préférons le dire clairement : nous appliquons leurs principes au quotidien, sans en revendiquer le label.
Une question sur la sécurité ou le RGPD ?
L'audit Arborys IA inclut un volet conformité personnalisé selon votre secteur (RGPD strict, nLPD suisse, contraintes sectorielles spécifiques).
Garantie 14 jours · Stripe sécurisé · Inspiré ISO 42001 & 27001