Cadre institutionnel de traitement des données, gouvernance RGPD et garanties d’infrastructure souveraine au sein de l’Union européenne.
AZComply est conçu selon le principe fondamental du Privacy by Design (Art. 25 RGPD). Notre plateforme agit exclusivement comme un outil de travail et de qualification réglementaire, et non comme un entrepôt de données. Nous traitons le strict minimum technique requis pour l’évaluation déterministe de vos systèmes d’IA et appliquons une politique de suppression immédiate des données contextuelles éphémères.
Pour les espaces de travail Workspace et Entreprise, vous agissez en qualité de Responsable du Traitement (Data Controller) et AZComply intervient en qualité de Sous-Traitant (Data Processor) au sens des articles 4(7) et 4(8) du RGPD. Nous traitons les spécifications techniques et les dossiers de conformité uniquement sur vos instructions documentées, encadrées par notre Accord de Sous-Traitance (DPA) conforme à l’article 28 du RGPD. Pour les visiteurs du site web et l’évaluation gratuite en ligne, AZComply agit en tant que Responsable du Traitement.
Engagements contractuels opposables concernant l’intégrité de vos actifs d’ingénierie et de vos données d’entreprise :
Documents techniques sources : analysés en mémoire vive volatile (RAM) lors de l’extraction, jamais persistés sur disque non chiffré ni partagés.
Garantie formelle de non-entraînement : aucune spécification, prompt, fragment documentaire ou métadonnée n’est JAMAIS utilisé pour entraîner, affiner ou évaluer des modèles d’IA publics, commerciaux ou de fondation.
Texte brut des fichiers analysés : purgé immédiatement après la vectorisation et l’extraction des faits réglementaires (Art. 5(1)(c) RGPD).
Données personnelles tierces : notre pipeline ignore systématiquement les données à caractère personnel contenues dans les fichiers techniques pour ne retenir que les faits réglementaires pertinents.
Inventaire transparent des catégories de données nécessaires à l’exécution du service de conformité :
| Catégorie de données | Infrastructure & Hébergement | Durée de conservation | Base légale RGPD |
|---|---|---|---|
| Dossiers de conformité & rapports PDF générés | Supabase Storage chiffré (eu-central-1, Francfort, Allemagne) | 30 jours (ou durée du compte sur décision de l’utilisateur) | Exécution du contrat (Art. 6(1)(b)) |
| Métadonnées de qualification (nom du système, classification) | Base PostgreSQL isolée (eu-central-1, Francfort, Allemagne) | Durée de vie du compte actif | Exécution du contrat (Art. 6(1)(b)) |
| Pistes d’audit & journalisation technique (Article 12 Règlement IA) | Stockage immuable chiffré (eu-central-1, Francfort, Allemagne) | Durée légale requise par le Règlement IA | Obligation légale (Art. 6(1)(c) RGPD & Art. 12 RIA) |
| Journaux d’accès administratifs et de sécurité (TOMs) | Infrastructure UE sécurisée (eu-central-1, Francfort, Allemagne) | 12 mois glissants | Intérêt légitime / Sécurité (Art. 6(1)(f)) |
| Profils de compte (identifiant professionnel, nom de l’organisation) | Supabase Auth chiffré (eu-central-1, Francfort, Allemagne) | Durée de vie du compte actif | Exécution du contrat (Art. 6(1)(b)) |
| Données de facturation et de transaction | Lemon Squeezy (Marchand de référence — processeur conforme DPA/UE) | Durée légale fiscale (7 à 10 ans) | Obligation légale fiscale (Art. 6(1)(c)) |
Tous les traitements opérationnels et le stockage de données sont localisés à 100 % sur le territoire des États membres de l’UE :
Infrastructure de Données & Stockage Sécurisé
Région eu-central-1 (Francfort, Allemagne)
Base relationnelle PostgreSQL isolée, authentification d’entreprise et coffre-fort de documents de conformité.
Infrastructure d’Inférence IA Souveraine de l’UE
Région europe-west4 (Eemshaven, Pays-Bas)
Modèles de langage dédiés à l’extraction de faits documentaires et à la structuration des dossiers de conformité.
Gestionnaire de Transactions & Facturation Commerciale
Lemon Squeezy (Merchant of Record avec DPA UE conforme)
Gestion des abonnements, paiements cartes/SEPA et application des directives TVA transfrontalières de l’UE.
AZComply applique un ensemble rigoureux de mesures de sécurité conformes à l’article 32 du RGPD et aux exigences de gouvernance de l’article 9 du Règlement européen sur l’IA :
Chiffrement de tous les flux en transit via TLS 1.3 avec Perfect Forward Secrecy, et chiffrement au repos via AES-256-GCM.
La classification des risques est exécutée par des règles logiques Python locales, garantissant l’absence totale d’hallucination dans la décision.
Cloisonnement strict entre espaces de travail, authentification à facteurs multiples (MFA) et clés d’API rotatives.
Surveillance continue des accès anormaux, détection des vulnérabilités de dépendance et plans de reprise d’activité (PRA) situés en UE.
En tant qu’utilisateur ou représentant d’une entreprise cliente, vous disposez des prérogatives statutaires suivantes :
Obtenir la confirmation du traitement de vos données et recevoir une copie intégrale des enregistrements conservés.
Actualiser sans délai toute coordonnée ou métadonnée inexacte ou incomplète au sein de votre espace.
Supprimer définitivement votre compte, vos dossiers d’évaluation et l’ensemble des données associées de nos serveurs.
Exporter l’intégralité de vos dossiers de conformité et journaux d’audit dans un format ouvert et structuré (JSON/PDF).
Vous opposer à tout traitement fondé sur notre intérêt légitime, sous réserve de nos obligations réglementaires de conservation.
Pour les systèmes classés à haut risque au sens de l’Annexe III du Règlement (UE) 2024/1689, AZComply génère une piste d’audit immuable et horodatée permettant de justifier des règles de classification appliquées. Ce journal technique consigne uniquement la logique déterministe et les identifiants d’articles du règlement, à l’exclusion de toute donnée à caractère personnel issue des documents soumis.
Conformément à l’article 77 du RGPD, toute personne concernée ou entité dispose du droit d’introduire une réclamation auprès de l’autorité de contrôle compétente pour sa juridiction :
Ce droit de recours s’exerce sans préjudice de tout autre recours administratif ou juridictionnel auprès des juridictions compétentes (les tribunaux compétents de Bruxelles, Belgique, ou le domicile de l’utilisateur au sein de l’UE).
Un Accord de Sous-Traitance conforme à l’article 28 du RGPD et intégrant les clauses types européennes est mis à disposition de tous les clients professionnels. Il formalise nos engagements en matière de sécurité, de confidentialité, de gestion des sous-traitants ultérieurs et de notification des incidents sous 48 heures.
