Vos données restent en Europe, et sous contrôle. Your data stays in Europe, and under control.

Hébergement souverain, en Union européenneSovereign hosting, in the European Union

Les données de nos clients sont hébergées et traitées au sein de l'Union européenne, sur une infrastructure OVHcloud localisée en France. OVHcloud est un opérateur certifié ISO 27001 et qualifié SecNumCloud. Our clients' data is hosted and processed within the European Union, on OVHcloud infrastructure located in France. OVHcloud is an ISO 27001 certified operator with the SecNumCloud qualification.

Aucun traitement de données de mission n'est opéré en dehors de l'Union européenne. No engagement data is processed outside the European Union.

Modèles d'IA : open source ou zero-retentionAI models: open source or zero-retention

Nous travaillons avec des modèles open source ou avec des fournisseurs auprès desquels un accord de non-rétention (ZDR, zero data retention) est signé. Concrètement : vos données ne sont pas conservées par les fournisseurs de modèles, et ne servent jamais à entraîner, ré-entraîner, affiner ou améliorer des modèles d'IA. We work with open source models or with providers under a signed zero data retention (ZDR) agreement. In practice: your data is not retained by model providers, and is never used to train, retrain, fine-tune or improve AI models.

Ces engagements sont contractualisés avec nos fournisseurs de services d'IA, et repris dans nos documents de mission. These commitments are contracted with our AI service providers, and reflected in our engagement documents.

Sécurité techniqueTechnical security

• Chiffrement : TLS 1.2+ en transit, AES-256 au repos.Encryption: TLS 1.2+ in transit, AES-256 at rest.
• Comptes : mots de passe hachés (bcrypt).Accounts: hashed passwords (bcrypt).
• Cloisonnement : séparation stricte des données entre clients et séparation des environnements.Isolation: strict separation of data between clients and separation of environments.
• Durcissement : headers de sécurité (CSP, HSTS).Hardening: security headers (CSP, HSTS).

RGPD : Prismia agit comme sous-traitantGDPR: Prismia acts as data processor

Pour les traitements liés aux missions, le client agit en qualité de responsable de traitement et Prismia en qualité de sous-traitant au sens de l'article 28 du RGPD. Prismia traite les données uniquement sur instructions documentées du client, tient un registre des traitements et impose les mêmes obligations à ses sous-traitants ultérieurs (OVHcloud, fournisseur de modèles de langage en UE). For processing carried out during engagements, the client acts as data controller and Prismia as data processor within the meaning of Article 28 GDPR. Prismia processes data only on the client's documented instructions, keeps a record of processing activities and imposes the same obligations on its sub-processors (OVHcloud, EU-based language model provider).

• Droits des personnes : assistance au client pour les demandes d'exercice des droits (accès, rectification, effacement, limitation, portabilité, opposition, art. 15 à 22 RGPD) sous 10 jours ouvrés ; export des données dans un format structuré et lisible par machine.Data subject rights: we assist the client with rights requests (access, rectification, erasure, restriction, portability, objection, Arts. 15 to 22 GDPR) within 10 business days; data can be exported in a structured, machine-readable format.
• Fin de mission : restitution des données et livrables dans un format exploitable, puis suppression (à défaut de stipulation contraire, sous 30 jours après la fin du contrat), avec journalisation.End of engagement: data and deliverables are returned in a usable format, then deleted (unless otherwise agreed, within 30 days of the end of the contract), with the deletion logged.
• Finalités : Prismia ne traite pas les données pour ses propres finalités et ne les cède, ne les loue ni ne les commercialise.Purposes: Prismia does not process data for its own purposes and does not sell, rent or otherwise commercialise it.

AI Act : transparence et supervision humaineAI Act: transparency and human oversight

Notre dispositif est aligné sur le Règlement (UE) 2024/1689 (AI Act). Chaque collaborateur interviewé est informé de manière claire qu'il dialogue avec un système d'IA (art. 50). Le système relève de la catégorie à risque limité : ni notation sociale, ni identification biométrique, ni décision automatisée produisant des effets juridiques sur les personnes. Our setup is aligned with Regulation (EU) 2024/1689 (the AI Act). Every interviewed employee is clearly informed that they are talking to an AI system (Art. 50). The system falls into the limited-risk category: no social scoring, no biometric identification, no automated decision producing legal effects on individuals.

Supervision humaine : les livrables sont revus par les consultants Prismia avant restitution. Human oversight: deliverables are reviewed by Prismia consultants before they are handed over.

Confidentialité des interviewsInterview confidentiality

Le diagnostic repose sur des entretiens avec les collaborateurs. Leur confiance est la condition de la qualité du résultat, et elle se protège : The diagnostic is built on interviews with employees. Their trust is what makes the result reliable, and it is protected:

• Accès restreint : seules les personnes autorisées, soumises à une obligation de confidentialité, accèdent aux données d'entretien.Restricted access: only authorised people, bound by a duty of confidentiality, can access interview data.
• Restitution agrégée : les résultats sont restitués au niveau des processus et des équipes, pas des individus.Aggregated reporting: results are reported at the level of processes and teams, not individuals.
• Jamais d'évaluation individuelle : il est interdit d'utiliser les données d'entretien ou les livrables pour évaluer la performance d'un collaborateur, fonder une décision relative à l'emploi ou surveiller. Les entretiens portent sur les processus, les tâches et les outils, pas sur la personne interrogée.Never individual assessment: interview data and deliverables must not be used to assess an employee's performance, ground an employment decision or monitor anyone. Interviews are about processes, tasks and tools, not about the person being interviewed.

Ces engagements sont détaillés dans notre charte IA responsable. These commitments are detailed in our responsible AI charter.

Éprouvé dans des environnements exigeantsProven in demanding environments

Un acteur du secteur de la défense fait aujourd'hui tourner notre solution en interne. Par nature, nous ne communiquons ni son identité ni le périmètre du déploiement. An organisation in the defence sector currently runs our solution internally. By nature, we disclose neither its identity nor the scope of the deployment.

Si nous le mentionnons, c'est parce que les exigences de sécurité et de confidentialité de ce secteur comptent parmi les plus strictes : le dispositif décrit sur cette page est le même que celui qui y est déployé. We mention it because security and confidentiality requirements in that sector are among the strictest there are: the setup described on this page is the same one deployed there.

Un DPA type, disponible sur demandeA standard DPA, available on request

Un accord de traitement des données (DPA) type, conforme à l'article 28 du RGPD, est disponible sur demande. Il formalise l'ensemble des engagements de cette page pour votre mission. A standard data processing agreement (DPA), compliant with Article 28 GDPR, is available on request. It formalises all the commitments on this page for your engagement.