Vos données, souveraines par conception.
KS-Agents gère des données RH par définition sensibles : scores de personnalité, entretiens de sortie, retours des pairs, déficits de compétences. Nous le traitons comme tel. Cette page documente chaque choix architectural, chaque cadre juridique que nous respectons et les limites que nous ne respectons pas encore — afin que vous puissiez évaluer l'adéquation avant de signer.
Six engagements que nous ne contournons pas.
Ce ne sont pas des slogans marketing. Chaque principe ci-dessous correspond à un choix architectural ou contractuel spécifique. Là où nous ne pouvons pas encore respecter un principe, vous le trouverez dans la section des limites honnêtes à la fin.
La souveraineté des données avant tout
Votre contenu propriétaire (transcriptions d’entretiens, réponses à des enquêtes, actifs de connaissances) est logiquement isolé par application et par locataire. Nous ne regroupons pas les données clients dans des corpus partagés.
Pas d'entraînement sur les données privées
Nous n'entraînons pas nos modèles publics sur votre espace de travail privé. Les fournisseurs de LLM (OpenAI, Google Gemini, OpenRouter) opèrent sous les politiques de non-entraînement de leurs offres enterprise.
Chiffrement au repos et en transit
AES-256 au repos pour tout le stockage sensible. TLS 1.2+ en transit. Identifiants de l'object storage renouvelés ; les secrets ne sont jamais versionnés dans le gestionnaire de code source.
Droit de supprimer & exporter
Article 15 (accès), 17 (effacement), 20 (portabilité)du RGPD pris en charge via l'application en libre-service ainsi qu'un chemin de remontée documenté via notre délégué à la protection des données.
Sous-traitants auditables
Une liste publique et suivie des versions de tous les sous-traitants que nous utilisons, où ils stockent les données et ce qu'ils font. Notifications lorsque la liste change.
Traitement uniquement dans l'UE sur demande
Pour les clients européens nécessitant une résidence complète dans l’UE, nous acheminons les charges de travail d’AI via les régions de l’UE. Configuré par application.
Où nous en sommes. Où nous allons.
Nous divisons les certifications en trois états : active (en production aujourd'hui, audité en interne), disponible (documents sur demande – DPA, SCC, etc.) et feuille de route (engagée, avec date cible).
| Cadre de référence | Statut | Notes |
|---|---|---|
| GDPR (EU 2016/679) | Live | Cartographie complète des bases juridiques par activité de traitement. DPD désigné. Points de terminaison des droits du sujet dans le produit. Registres de traitement conservés. |
| EU AI Act | Live | Nos cas d’usage RH sont classés à haut risque en Annexe III. Système de gestion des risques, contrôles de surveillance humaine, gouvernance des données, documentation technique selon le titre III, chapitre 2. |
| AES-256 at rest | Live | Chiffrement de la base de données au repos. Le stockage d'objets (Cloudflare R2) chiffre les données au repos avec des clés gérées par le fournisseur. Secrets d'application chiffrés en transit et stockés dans un gestionnaire de secrets. |
| DPA (Accord de traitement des données) | Disponible | DPA standard disponible en pré-contrat. SCC (clauses contractuelles types) incluses pour tout transfert hors UE explicitement approuvé par vous. |
| Résidence des données dans l'UE | Disponible | Hetzner Falkenstein (Allemagne) pour les infrastructures primaires. Routage LLM uniquement pour l'UE sur demande. Architecture complète → |
| ISO 27001 | Feuille de route | Le système de gestion de la sécurité de l’information (ISMS) est en cours de formalisation. Objectif de certification : 2027. Évaluation des écarts en cours. Jusque-là, les contrôles suivent le cadre ISO 27001 en interne sans audit tiers. |
| SOC 2 Type II | Feuille de route | Prévu après l'ISO 27001 : les clients américains peuvent demander un questionnaire de sécurité (Cyber Essentials Plus / HECVAT) dans l'intervalle. |
Cinq couches, une frontière.
Une carte simplifiée de l'endroit où se trouvent vos données et de ce qui les protège. Schémas d'architecture complets partagés sous NDA sur demande.
openai_eu, azure_sweden, google_vertex (europe-west4). Aucune donnée client conservée par les fournisseurs selon les conditions de l'entreprise.Qui d’autre touche vos données – et où.
Un sous-ensemble de nos sous-traitants actifs ci-dessous ; la liste complète versionnée est conservée sur la page dédiée. Nous informons les clients à l'avance des ajouts, avec le droit de s'y opposer.
Hetzner
Cloudflare R2
OpenAI
Google Vertex AI
Azure OpenAI
Stripe
La liste honnête des limites et des délais.
La page de confiance de chaque fournisseur répertorie ce qu'il possède. Nous listons également ce que nous n'avons pas – avec un objectif sur lequel nous travaillons. C’est de toute façon ainsi que les équipes d’approvisionnement devraient évaluer les fournisseurs.
Lisez le texte juridique. Évitez le jargon juridique.
Chaque document est rédigé en anglais simple en haut, avec la version juridique complète en dessous. Envoyez votre équipe de sécurité ou d’approvisionnement directement ici.
Remettez cette page à votre équipe de sécurité. Alors réservez un appel.
Si votre RSSI ou votre équipe d'approvisionnement a des questions auxquelles notre documentation publique ne peut pas répondre (résultats de tests d'intrusion, contrôles ISMS, ajouts DPA personnalisés), nous les parcourons au cours d'un appel de 30 minutes sous NDA.
