Où fonctionnent vos automatisations
Vos automatisations fonctionnent sur notre serveur, situé à Paris et loué auprès de l’hébergeur Hostinger. La base de données, les journaux d’exécution et les identifiants de connexion à vos logiciels y sont conservés, ces derniers sous forme chiffrée.
Une sauvegarde est réalisée chaque nuit. Elle est conservée quatorze jours sur le serveur, et une copie chiffrée en est déposée chez Scaleway, également à Paris, où elle est gardée douze mois au plus. Ces copies ne sont jamais exploitées et disparaissent au fil de leur rotation, y compris après la fin du contrat. Chaque semaine, nous restaurons une sauvegarde dans une base distincte afin de vérifier qu’elle est exploitable, et nous en consignons le résultat.
Si vous le préférez, vos automatisations peuvent fonctionner sur un serveur loué à votre nom. Vous en êtes alors l’administrateur : une fois l’installation achevée, nous intervenons uniquement dans l’outil qui exécute vos automatisations, au moyen d’un compte nominatif que vous nous ouvrez, et non sur le serveur lui‑même. L’installation est comprise dans le chantier lorsque ce choix est arrêté avant la première mise en service ; en revanche, la remise en marche du serveur vous revient.
Références : Conditions générales, article CGV-14 ; annexe 28, articles A28-06, A28-07 et A28-11 ; registre des sous-traitants.
Qui accède à quoi
Les accès à vos logiciels sont ouverts par vous, sous la forme de comptes nominatifs, avec la portée et pour la durée strictement nécessaires. Un accès en écriture n’est ouvert qu’après votre validation écrite, et seulement lorsque la fiche de cadrage prévoit une écriture. Nous tenons un registre de ces accès, qui mentionne leur portée ainsi que leurs dates d’ouverture et de révocation. Chaque trimestre, nous le passons en revue afin de vous signaler les accès devenus inutiles, que nous cessons dès lors d’employer. Vous pouvez révoquer un accès à tout moment, en nous prévenant au préalable lorsque cette révocation interrompt une automatisation en service.
L’administration de notre serveur est assurée par Nathan Loiseau, fondateur de Nodva, au moyen d’une clé de connexion personnelle. Les personnes que vous désignez peuvent quant à elles consulter, dans votre espace client, le fonctionnement de vos automatisations, ce qu’elles ont produit, vos rapports et vos documents ; chacune dispose d’un mot de passe personnel, et chaque connexion comme chaque consultation figure dans un journal auquel vous avez accès.
Nous faisons appel à quelques prestataires pour l’hébergement, les sauvegardes, l’acheminement des messages, le diagnostic et la correction des pannes et, lorsque votre fiche de cadrage le prévoit, la fourniture d’un modèle d’intelligence artificielle. Leur liste, qui précise pour chacun le pays de traitement et les données concernées, vous est communiquée sur demande. Tout ajout ou remplacement vous est annoncé trente jours à l’avance : vous pouvez alors formuler des objections motivées et, si elles ne peuvent être levées, résilier sans indemnité la partie des prestations concernée.
Références : Conditions générales, article CGV-12 ; annexe 28, articles A28-05 à A28-07.
Ce que voit le modèle d’intelligence artificielle
Une automatisation ne fait appel à un modèle d’intelligence artificielle que si la fiche de cadrage le prévoit. Cette fiche désigne alors le modèle retenu, la liste exacte des champs qui lui sont transmis et un plafond mensuel de coût ; aucun autre champ ne lui est envoyé. Vos données ne servent à aucune autre fin : nous ne les utilisons ni pour améliorer nos outils, ni pour entraîner un modèle.
Lorsqu’une automatisation tombe en panne, l’outil d’intelligence artificielle que nous employons pour la diagnostiquer et la corriger reçoit sa structure et la forme des données qu’elle traite, mais jamais leurs valeurs, qui sont masquées avant tout envoi. Chaque correction est d’abord essayée dans un environnement isolé, sans accès au réseau ni à vos identifiants ; une correction qui touche un modèle d’intelligence artificielle est en outre essayée en conditions réelles, toute écriture étant bloquée. Après la mise en service, toute écriture d’une forme différente de celle qui a été essayée est bloquée, et la version précédente de l’automatisation est rétablie.
Références : Conditions générales, articles CGV-15, CGV-19 et CGV-20 ; annexe 28, articles A28-03, A28-06 et A28-07.
Où le modèle d’intelligence artificielle traite vos données
Les données traitées par vos automatisations sont conservées en France. Deux flux peuvent toutefois en sortir. Le premier est la structure d’une automatisation en panne, transmise avec des valeurs masquées à l’outil de correction, dont le modèle est fourni par la société américaine Anthropic. Le second est l’appel à un modèle d’intelligence artificielle, lorsque la fiche de cadrage le prévoit : pour ce flux, le modèle et la région de traitement se choisissent avec vous lors du cadrage, parmi les trois niveaux suivants, puis s’inscrivent dans la fiche :
Premier niveau
Un modèle conçu par un éditeur américain, appelé par le point d’accès mondial d’OpenRouter, la société américaine par laquelle transitent nos appels aux modèles. Les champs transmis peuvent alors être traités hors de l’Union européenne, sous l’une des garanties prévues par le règlement général sur la protection des données, à savoir une décision d’adéquation ou des clauses contractuelles types.
Deuxième niveau
Le même modèle, appelé par un point d’accès européen : selon les engagements d’OpenRouter, les champs transmis ne sont traités que dans l’Union européenne, et l’appel échoue plutôt que d’en sortir. L’éditeur du modèle et OpenRouter demeurent toutefois des sociétés américaines.
Troisième niveau
Un modèle conçu par Mistral AI, société française, qui traite vos données dans l’Union européenne : l’éditeur comme le lieu de traitement sont alors européens. L’appel transite par OpenRouter, comme au deuxième niveau.
Le premier niveau s’applique si vous n’exprimez aucune préférence. Il vous suffit de demander le deuxième ou le troisième pour qu’il soit retenu, et ce choix figure dans votre fiche de cadrage.
Références : Conditions générales, article CGV-20 ; annexe 28, article A28-08.
Les accès et les documents déposés dans votre espace client
Lorsque vous nous transmettez une clé ou un identifiant par votre espace client, il est chiffré dès son dépôt, de sorte que seuls nos outils internes sont en mesure de le déchiffrer : notre outil de pilotage et, pour remplacer un accès que votre logiciel refuse, notre outil de correction. Il est déchiffré une seule fois, au moment de son installation dans votre automatisation, puis la copie déposée est effacée ; l’accès n’est plus conservé, sous forme chiffrée, que dans l’outil qui exécute vos automatisations. Un accès déposé qui n’a pas été installé est effacé au bout de trente jours.
Les documents et les dossiers produits par vos automatisations, que vous retrouvez dans ce même espace, y sont conservés sous forme chiffrée, avec une clé propre à votre entreprise, puis effacés au bout de quatre-vingt-dix jours.
Références : Annexe 28, articles A28-02 et A28-06.
L’annexe relative à la protection des données, en langage courant
Chaque devis est accompagné d’une annexe conclue en application de l’article 28 du règlement général sur la protection des données. Vous demeurez responsable du traitement de vos données, et nous agissons en qualité de sous-traitant. Elle prévoit notamment les engagements suivants :
- nous ne traitons vos données que sur vos instructions écrites, c’est-à-dire la fiche de cadrage, le devis et les demandes que vous nous adressez ensuite, et jamais pour une fin qui nous serait propre ;
- nous vous informons sans délai si l’une de vos instructions nous paraît contraire à la réglementation ;
- lorsqu’une personne nous adresse directement une demande relative à ses droits, nous vous la transmettons sous trois jours ouvrés, puis, à votre demande, nous vous fournissons sous dix jours ouvrés les éléments nécessaires pour y répondre ;
- nous vous notifions toute violation de données au plus tard vingt‑quatre heures après en avoir eu connaissance ;
- vous pouvez faire auditer nos mesures une fois par année civile, après un préavis de trente jours ; en cas d’incident de sécurité affectant vos données, ce préavis est ramené à cinq jours ouvrés, sans limite annuelle ;
- au terme des prestations, nous supprimons vos données ou vous les restituons, selon votre choix, et nous vous le confirmons par écrit ; les sauvegardes qui en contiennent sont effacées au fil de leur rotation, dans un délai de douze mois au plus, sans être exploitées entre-temps.
Références : Annexe 28, version 1.3, en vigueur depuis le 17 octobre 2026, articles A28-01 à A28-13.
Ce qui vous est remis à la fin du contrat
Au terme de l’abonnement de supervision, quelle qu’en soit la cause, nous vous remettons sans frais l’export de vos automatisations dans un format exploitable, leur documentation et la liste des accès à révoquer. Cette remise intervient avant l’arrêt des automatisations hébergées sur notre serveur, et au plus tard trente jours après la réception de la résiliation ; si elle prend du retard, vos automatisations continuent de fonctionner, sans facturation, jusqu’à ce qu’elle soit faite.
Si vous n’avez pas souscrit d’abonnement, la même remise intervient, dans les mêmes conditions, au terme des trois mois de garantie qui suivent la recette, pendant lesquels nous hébergeons et surveillons vos automatisations lorsqu’elles fonctionnent sur notre serveur. Dans les deux cas, il vous appartient ensuite de révoquer les accès figurant sur la liste, et nous vous confirmons par écrit la suppression des identifiants que nous détenions. Vous pouvez en outre télécharger depuis votre espace client, pendant toute la durée du contrat et jusqu’à trente jours après cette remise, une archive de vos documents, de vos rapports et des éléments produits encore conservés.
Lorsque le contrat de construction prend fin avant le paiement intégral de son prix, la remise des automatisations dépend de la partie à laquelle cette fin est imputable ; l’article CGV-24 des conditions générales en précise les conditions.
Références : Conditions générales, articles CGV-12, CGV-14, CGV-15 et CGV-24.
Les autres mesures de sécurité
Ces engagements s’appuient sur des mesures que l’annexe énumère, parmi lesquelles les suivantes :
- le chiffrement de tous les échanges avec vos systèmes et avec les services tiers ;
- le cloisonnement des identifiants par client, et leur conservation dans un coffre à secrets ;
- le blocage temporaire de l’accès aux interfaces d’administration après plusieurs échecs de connexion consécutifs ;
- la journalisation des exécutions et des accès, conservée pendant une durée limitée à ce qui est nécessaire.
Référence : Annexe 28, article A28-06.