Centre de conformité

La rubrique juridique regroupe tout ce que demandent les équipes achats, sécurité et conformité. Elle contient nos conditions générales, nos politiques de confidentialité, l'accord de traitement des données, notre liste de sous-traitants ultérieurs, l'aperçu de sécurité et notre code de conduite. S'y ajoutent des documents complémentaires sur la résidence des données dans l'UE, les cookies et la traçabilité d'audit. Tout ce dont un client ou un auditeur a besoin pour évaluer UNLESS sur pièces doit s'y trouver.

Toutes les données personnelles traitées par la plateforme Unless sont hébergées au sein de l'Union européenne. Notre infrastructure principale fonctionne sur AWS en Irlande, avec des charges de travail annexes dans les régions UE de Microsoft Azure et Google Cloud. Seule notre gestion financière utilise des outils qui peuvent être partiellement hébergés hors de l'UE, et ceux-ci ne contiennent aucune donnée personnelle d'utilisateur final.

La plateforme Unless est conçue pour que les données personnelles des utilisateurs finaux qu'elle traite restent au sein de l'UE/EEE, et nous ne recourons à aucun mécanisme de transfert pour ces données. Quelques outils de facturation et de gestion des comptes clients sont hébergés aux États-Unis et ne traitent que les données des comptes clients ; ils figurent, avec leur région d'hébergement, sur notre page des sous-traitants ultérieurs, et les transferts vers ces outils sont encadrés par les clauses contractuelles types, comme le prévoit notre accord de traitement des données.

La liste complète des sous-traitants ultérieurs est publiée sur notre page dédiée, qui fait partie intégrante de notre accord de traitement des données. Les sous-traitants ultérieurs de la plateforme sont des entités européennes, et toutes traitent les données au sein de l'UE. Quelques outils utilisés pour notre propre gestion administrative sont situés hors de l'UE, mais ils ne touchent jamais aux données personnelles des utilisateurs finaux de la plateforme.

Unless ne détient pas son propre certificat ISO 27001 en tant qu'entité juridique. Notre infrastructure cloud est certifiée par l'intermédiaire de nos fournisseurs : AWS est certifié ISO/IEC 27001, 27017 et 27018, et nos services d'authentification et de support fonctionnent chez des fournisseurs présentant le même niveau de certification. Nous exploitons un système de management de la sécurité de l'information (SMSI) conçu sur le modèle des normes ISO 27001 et 27002:2022, et nous travaillons à l'obtention de la certification ISO 42001 pour les systèmes de management de l'IA.

Unless est conçu pour respecter le RGPD, DORA et l'AI Act européen, avec un SMSI construit sur le modèle des normes ISO 27001 et 27002:2022. Nous suivons les évolutions de la norme ISO/IEC TR 24028 sur la fiabilité de l'IA et nous préparons la certification ISO/IEC 42001. Les clients des secteurs réglementés peuvent utiliser Unless dans le cadre de leurs propres régimes de surveillance, y compris les entités placées sous la surveillance de la BaFin et de l'AFM.

Unless est le Fournisseur du système d'IA. Nous construisons, configurons et exploitons la plateforme, y compris la couche RAG, le Coffre-fort de confidentialité, le framework agentique et les intégrations avec les modèles fondateurs. Les modèles fondateurs eux-mêmes proviennent de fournisseurs amont comme AWS Bedrock et Azure OpenAI, hébergés dans des régions UE. Les clients agissent en tant que Déployeurs dans leur propre contexte.

Non. Nous n'entraînons aucun modèle sur le contenu de nos clients, sur les conversations des utilisateurs finaux ou sur toute autre donnée client. Le Living Knowledge s'améliore grâce au contenu validé et aux retours de l'équipe, jamais en réinjectant des conversations brutes dans l'entraînement des modèles.

Les données personnelles sont filtrées à l'ingestion comme à l'exécution : les identifiants sont supprimés ou masqués avant d'atteindre le modèle. Lorsque le contexte personnel est nécessaire, notre Coffre-fort de confidentialité le remplace par des jetons, et le modèle ne voit que ces jetons, jamais les identifiants eux-mêmes. La détokenisation s'effectue dans notre propre environnement, si bien que le modèle qui formule la réponse ne reçoit jamais d'identifiant permettant de remonter à une personne.

Non. Unless n'a connu aucune violation significative de données personnelles au cours des trois dernières années, et aucun incident de sécurité n'a entraîné d'exposition substantielle des données de nos clients. Nous n'avons pas non plus reçu de demande d'accès aux données émanant d'autorités gouvernementales hors UE. Si nous recevons un jour une demande légale, notre politique consiste à limiter la divulgation au strict nécessaire et à en informer le client concerné lorsque la loi le permet.

Oui. Unless dispose d'une assurance responsabilité civile qui couvre les responsabilités découlant de nos contrats clients, avec des montants assurés proportionnels aux plafonds de responsabilité contractuels prévus dans nos accords.

Non. Unless n'est pas basé dans un pays sanctionné, et nous ne sommes pas une entité sanctionnée. Notre chaîne d'approvisionnement, y compris nos sous-traitants et partenaires, fait l'objet des mêmes vérifications.

Oui. Notre code de conduite couvre le respect de la réglementation, la non-discrimination, une rémunération équitable, le bien-être des salariés, un approvisionnement éthique, la responsabilité environnementale, ainsi que les standards que nous attendons de nos fournisseurs. Il est publié dans la rubrique juridique.

Nous avons fixé des objectifs de réduction des émissions alignés sur la trajectoire 1,5 °C et nous nous sommes engagés auprès de la Science Based Targets initiative. La plus grande part de notre empreinte provient de notre usage du cloud, c'est pourquoi nous limitons le nombre d'appels aux modèles et privilégions les régions UE où les fournisseurs publient des données sur leur empreinte carbone. En tant que petite entreprise, nous ne sommes pas encore tenus de publier un rapport de durabilité autonome au titre de la CSRD européenne.

Notre durée de conservation standard pour les journaux liés à la sécurité est d'un an, sauf si le contrat client prévoit une durée plus courte. Les journaux sont protégés contre toute altération, surveillés en continu et interrogeables à des fins d'enquête ou d'audit.

Notre CEO fait office de point de contact désigné pour les questions relatives aux données personnelles, et notre CTO est responsable de l'exploitation technique et de la sécurité de la plateforme. La direction générale supervise le SMSI et la gouvernance de l'IA.

Les clients traitent les demandes d'accès, de rectification, d'effacement et de portabilité de leurs utilisateurs finaux directement depuis notre tableau de bord. Le responsable du traitement initie la demande, et notre équipe la vérifie avec une supervision humaine. Pour toute donnée personnelle tokenisée par le Coffre-fort de confidentialité, les jetons deviennent automatiquement orphelins lorsque la valeur sous-jacente change ou est supprimée, ce qui empêche toute réutilisation détournée des anciennes références.