Assistant IA et données clients, ce qui reste chez vous

Les données restent dans vos outils

L'assistant ne déplace pas vos données. Seul le journal des actions, rangé chez vous, en garde le nécessaire à l'audit. Vos mails restent dans votre messagerie, vos factures dans votre logiciel, vos documents dans votre espace de stockage. Il y accède par des connecteurs que vous activez vous-même. Nous vous guidons pour chacun pendant l'installation.

Chaque connexion est listée avec son niveau de droit, lecture ou écriture. L'accès commence en lecture, et l'écriture n'est ouverte que là où elle sert. Vous pouvez couper une connexion à tout moment depuis vos comptes. Un périmètre peut aussi être exclu dès le départ, une boîte, un dossier ou un type de sujet.

Qui est responsable de quoi

Le RGPD distingue celui qui décide du traitement et ceux qui l'exécutent pour lui.

• Votre entreprise est responsable du traitement. C'est elle qui décide pourquoi et comment les données sont utilisées. Elle tient son registre des traitements, s'appuie sur une base légale, informe les personnes concernées et réalise une analyse d'impact si elle est requise.
• Nos contrats prévoient que Nverest agit comme votre sous-traitant au sens de l'article 28 du RGPD, quand il traite des données personnelles pour votre compte. Un contrat de traitement des données est signé avec le contrat-cadre. Nverest agit sur vos instructions documentées et vous alerte si une instruction lui paraît illicite.
• Anthropic, l'éditeur de Claude, est lui aussi votre sous-traitant dans le plan Team, par un contrat direct entre votre entreprise et Anthropic. Il n'est pas un sous-traitant de Nverest.

« Le Prestataire ne traite les données que pour le compte du Client et ne les utilise jamais pour ses propres finalités. »

Cette phrase de notre contrat de traitement des données résume la position de Nverest. Nverest n'utilise d'ailleurs aucun compte Claude qui lui appartienne pour les données de ses clients. Tout se passe dans l'organisation Claude de votre entreprise.

Plan Team ou abonnement individuel, la différence qui compte

Le choix de l'abonnement Claude n'est pas qu'une question de prix. Il change le cadre juridique.

Le plan Team

Votre entreprise souscrit le plan et reste propriétaire principal de son organisation. Selon les conditions d'Anthropic à ce jour, le contrat est conclu avec Anthropic Ireland pour l'Espace économique européen. Il inclut un accord de traitement des données avec des clauses contractuelles types. Toujours selon ces conditions, vos données ne servent pas par défaut à entraîner les modèles. Nverest y reçoit un siège avec le rôle Owner, pour installer et entretenir l'assistant, et vous pouvez le retirer à tout moment.

Les abonnements individuels Pro ou Max

Ils relèvent des conditions grand public d'Anthropic, sans accord de traitement des données. Ces conditions interdisent aussi de partager ses identifiants ou de mettre son compte à disposition d'un tiers. Nverest n'y intervient donc qu'en partage d'écran, en votre présence, et vous guide pour désactiver l'usage de vos conversations pour l'entraînement. Comme responsable du traitement, il vous appartient d'apprécier si vous pouvez y traiter des données personnelles.

Pour une entreprise qui traite des données de clients, le plan Team est le cadre que nous recommandons. Le nombre de sièges, le prix public et les contraintes de l'autre voie figurent sur la page Offres et tarifs.

Les transferts hors d'Europe

Les données traitées par Claude peuvent l'être en dehors de l'Espace économique européen. Ce transfert est encadré par l'accord de traitement des données d'Anthropic, qui en précise le mécanisme. Nous vous conseillons de lire la version de cet accord en vigueur au moment de la souscription, et d'en garder une copie avec votre registre.

Vos accès sous contrôle

• Aucun rôle, même Owner, ne permet de lire les conversations privées des membres de votre organisation ni leurs tâches planifiées.
• Nverest ne reçoit aucun mot de passe. Les accès passent par des rôles que vous attribuez et que vous retirez.
• Un suivi d'activité détaillé existe dans le plan Team. Nverest s'engage à ne jamais l'activer sans votre accord écrit.
• Les données d'un client ne se retrouvent jamais chez un autre. Chaque installation est cloisonnée.
• Le journal des actions de l'assistant vous reste consultable.

En cas d'incident

Si Nverest constate une violation de données qui vous concerne, il vous en informe sans tarder, avec ce qu'il sait et les mesures prises. Il vous aide ensuite, si vous décidez, en tant que responsable du traitement, de notifier l'Autorité de protection des données.

« La décision de notifier appartient au Client. »

Les délais précis figurent dans le contrat de traitement des données remis avec la proposition.

À la fin de la mission

La sortie s'écrit avant l'entrée. Le contrat prévoit le retrait des accès de Nverest, la restitution puis la suppression des données qu'il détient encore, sauvegardes comprises, et une attestation écrite.

Aucun mot de passe n'est à changer, puisque Nverest n'en a jamais reçu.

Les livrables réalisés pour votre entreprise vous sont cédés au paiement complet et restent dans vos outils. La confidentialité continue de s'appliquer après la fin du contrat. Le déroulé, étape par étape, figure sur la page Méthode et garde-fous.

Ce qu'il faut vérifier avec votre conseil

Nos contrats, dont le contrat de traitement des données, sont des propositions à faire valider par un juriste. Avant la mise en service, de votre côté, quatre points.

• Inscrire le traitement à votre registre.
• Vérifier la base légale et l'information des personnes concernées.
• Évaluer si une analyse d'impact est requise.
• Lire et archiver l'accord de traitement des données d'Anthropic.