MéthodeSécurité et donnéesRGPDAI Act

La confidentialité de vos données passe en premier.

Automatiser un processus, c’est souvent donner accès à des données sensibles : clients, fournisseurs, salariés, chiffres. On traite ce sujet avant d’écrire la première ligne de code.

Pour le premier échange, inutile d’envoyer des données : quelques exemples décrits suffisent.

01Nos principes

Ce qu’on s’impose sur chaque mission

Uniquement les données nécessaires

Un système n’accède qu’aux données dont le processus a besoin. Le reste n’est ni copié, ni transmis, ni conservé.

Des accès limités

Accès nominatifs, droits réduits au strict nécessaire, retirés à la fin de la mission. Les identifiants ne circulent jamais en clair.

Vos outils, vos fournisseurs

On travaille dans votre environnement, avec les outils et les fournisseurs que vous validez. On ne vous impose pas les nôtres.

Pas d’entraînement sur vos données

On retient des services et des configurations où vos données ne servent pas à entraîner les modèles des fournisseurs.

02Cadre réglementaire

RGPD et AI Act, dès la conception.

RGPD

Des traitements encadrés.

Quand un système traite des données personnelles pour votre compte, le traitement est encadré contractuellement : finalité, catégories de données, durée de conservation, sous-traitants et mesures de sécurité.

AI Act

Des usages de l’IA qualifiés.

Chaque usage de l’IA est qualifié au regard du règlement européen sur l’IA. On documente son rôle dans le processus et on maintient une supervision humaine là où elle est nécessaire.

03Avant tout déploiement

Ce qu’on écrit avec vous

Ces points sont définis et validés avec vous, puis repris dans les documents de la mission.

01Les catégories de données traitées, et celles qui sont exclues.
02Où elles sont traitées, et par quels fournisseurs.
03Qui y a accès, côté Klaryx comme côté vous.
04Combien de temps elles sont conservées, et comment elles sont supprimées.
05Ce qui se passe en cas d’incident : qui est prévenu, dans quel délai, et comment on corrige.

Absence d’entraînement, conservation technique et accès sont trois points distincts à vérifier : un réglage sur l’un ne répond pas aux deux autres.

Exemple fictif · Données synthétiques · Aucun résultat client

Fiche de circulation des données

Exemple fictif de projet. Les paramètres de chaque client et les contrats fournisseurs doivent être vérifiés séparément.

Lire l’exemple rempli

Fiche de circulation des données · exemple fictif
Donnée / finalité	Outil et accès	Conservation / suppression	Contrôle
Exports agrégés ERP et comptabilité / calcul des indicateurs	Dossier client ; compte de service en lecture ; comptabilité et contrôle de gestion	Hypothèse de scénario : exports de travail supprimés après réception, sous validation du client	Période, totaux et accès vérifiés avant calcul
Indicateurs et écarts / brouillon de commentaire	Service IA professionnel envisagé ; fournisseur et localisation à valider avant tout envoi	Pas de durée supposée : vérifier contrat, logs techniques et suppression avant ouverture	Réutilisation pour entraînement, conservation et accès contrôlés séparément
Reporting / revue et décision	Dossier client ; contrôleur et DAF	Règle d’archivage du client à définir au contrat	Chiffres reliés aux sources ; causes validées par une personne
Journal / expliquer et relancer	Exploitant désigné ; aucun secret dans les logs	Durée à convenir selon la finalité et les obligations applicables	Trace de version, erreurs et décision de reprise

Dans cet exemple, aucune transmission au fournisseur IA n’est autorisée tant que les points techniques et contractuels ne sont pas validés. Absence d’entraînement ne signifie ni absence de conservation ni absence d’accès.

Télécharger l’exemple (HTML)

Voir toute la méthode

04Prochaine étape