Sécurité & confidentialité

Cette page décrit les mesures techniques et organisationnelles mises en place pour protéger les données traitées par Kortexe, ainsi que la liste des sous-traitants impliqués et le rôle de chaque partie au regard du RGPD.

Qui contracte, facture et signe le DPA

Kortexe est un produit édité et exploité par OCTOPIA COMPANY. C'est cette entité, et elle seule, qui contracte avec ses clients : abonnement, conditions générales et contrat de sous-traitance (DPA) sont conclus avec elle.

Il n'existe pas d'entité française ni de numéro SIREN pour Kortexe, et il n'y a pas d'autre société dans la chaîne contractuelle. Un client européen signe donc directement avec Octopia Company, société de droit mauricien. Cette structure ne change rien aux obligations applicables : le RGPD s'applique dès lors que le client traite des données de personnes situées dans l'Union européenne, Octopia Company intervient comme sous-traitant au sens de l'article 28, et les données restent hébergées dans l'Union européenne.

Ces informations sont reprises à l'identique dans nos mentions légales.

Hébergement

Les données sont hébergées sur l'infrastructure d'Amazon Web Services (AWS), région Paris (eu-west-3). Cette infrastructure est certifiée ISO 27001 et SOC 2.

Les données des conversations et les documents importés restent localisés dans l'Union européenne.

L'interface de l'application est distribuée par Vercel. Cette couche sert le code de l'application ; elle ne stocke ni les documents importés, ni l'historique des conversations, qui demeurent sur l'infrastructure AWS de la région Paris.

Chiffrement

Les échanges entre le navigateur, le widget Kortexe et nos serveurs sont chiffrés en TLS. Les données sont également chiffrées au repos sur l'infrastructure AWS.

Traitement conversationnel

Les réponses de l'agent conversationnel sont générées via l'API d'Anthropic, certifiée SOC 2 Type II.

Concrètement : vos documents ne quittent pas l'Union européenne. Seuls le message du visiteur et les extraits de documents nécessaires à la réponse sont transmis à l'API, le temps de produire cette réponse. Ils ne sont ni conservés par Anthropic, ni utilisés pour entraîner ses modèles, conformément aux conditions applicables à l'API. Ce transfert est encadré par les clauses contractuelles types de la Commission européenne.

Sous-traitants

Kortexe fait appel aux sous-traitants suivants pour la fourniture du service :

Pour les sous-traitants situés hors Union européenne, les transferts de données sont encadrés par les clauses contractuelles types (CCT) de la Commission européenne.

Rôle de Kortexe au regard du RGPD

Pour les données de ses visiteurs traitées par l'agent conversationnel au nom et pour le compte du client, Kortexe agit en tant que sous-traitant au sens de l'article 28 du RGPD. Le client reste responsable de traitement.

Pour les données collectées directement par Kortexe dans le cadre de sa propre relation commerciale (compte client, facturation, support), Kortexe agit en tant que responsable de traitement.

Contrat de sous-traitance (DPA)

Un contrat de sous-traitance (Data Processing Agreement), conforme à l'article 28 du RGPD, est disponible sur demande pour tout client souhaitant formaliser cette relation.

Contact sécurité

Pour toute question relative à la sécurité, à la confidentialité des données ou pour demander un DPA, contactez-nous à contact@kortexe.com.