sécurité et conformité
Ce que votre DSI peut documenter.
Sans avoir à nous croire sur parole.
Souveraineté, base légale, réversibilité : ce que nous opérons réellement et ce que nous ne revendiquons pas. Cette page existe pour qu'un RSSI puisse cocher ses cases avant d'autoriser le pilote, sans entretien préalable.
le chiffre qui résume la doctrine
Zéro donnée client envoyée à une API hors Union européenne.
Pas une moyenne, pas un objectif : une règle d'architecture. Les modèles ouverts tournent sur l'infrastructure choisie ensemble, et nulle part ailleurs.
Ce que nous opérons.
Hébergeurs nommés et options souveraines disponibles à la demande, selon la sensibilité de votre cas.
- Hébergeurs souverains par défaut
- Les déploiements clients tournent par défaut chez Scaleway (datacenters français, opérateur français) ou OVHcloud. Vous gardez le choix, et nous documentons la décision dans le cadrage.
- Capacité SecNumCloud à la demande
- Pour les usages qui le justifient, nous opérons sur des offres qualifiées SecNumCloud (qualification ANSSI portée par l'hébergeur). Nous ne revendiquons aucune qualification SecNumCloud propre à Recognity : nous opérons sur l'infrastructure qualifiée du partenaire.
- Capacité HDS à la demande
- Pour les données de santé, déploiement sur offres HDS (Hébergeur de Données de Santé) portées par les hébergeurs partenaires. Mêmes principes que SecNumCloud : la certification appartient à l'infrastructure, pas à nous.
- Option on-premise pure
- Si vos contraintes l'exigent, le système tourne sur vos propres GPU, dans votre datacenter. Aucune donnée ne sort de votre périmètre, et l'inférence ne dépend d'aucune API tierce.
- Données traitées, base légale, finalité
- Sur le site, seules les coordonnées du formulaire de contact sont traitées (base légale : exécution de mesures précontractuelles, finalité : organiser un échange). Sur les missions, les traitements sont définis dans le cadrage et encadrés par un avenant de traitement.
- DPA (avenant de traitement)
- Avenant RGPD type fourni à la signature, adaptable. Il définit les rôles (responsable de traitement, sous-traitant), les finalités, les durées de conservation et les sous-traitants ultérieurs éventuels.
- Réversibilité contractuelle
- Le code, les modèles et les données qui composent votre système vous appartiennent. La passation est prévue dès le cadrage : documentation d'exploitation, secrets, scripts d'extraction, mode de transfert. Vous pouvez reprendre l'opération en interne ou la confier à un autre prestataire sans verrou technique.
- Pas de transit hors UE pour vos données
- Vos données métier ne transitent pas par des API hébergées aux États-Unis. Les modèles servis sont des modèles ouverts (Mistral, Llama, Qwen) exécutés sur l'infrastructure choisie ci-dessus, jamais via des API propriétaires d'éditeurs américains.
Ce que nous tenons,
ce que nous ne revendiquons pas.
- Ce que nous ne revendiquons pas
- Recognity ne porte pas, à ce jour, de certification ISO 27001, SOC 2 ou HDS en propre. Lorsque le projet le justifie, nous opérons sur des infrastructures qualifiées portées par des tiers (Scaleway, OVHcloud) ; la certification est celle de l'hébergeur, pas la nôtre. Nous préférons l'écrire que le laisser supposer.
- Ce que nous tenons
- Indépendance d'éditeur, choix souverain de l'hébergeur, modèles ouverts, données qui restent chez vous, et un système réversible. Cette discipline est de l'architecture, pas un argument marketing.
transmissible à votre RSSI
Ce que nous remettons par écrit, au cadrage.
Sur demande, dès la phase de cadrage et avant tout engagement de build :
- Avenant de traitement (DPA) signé, base légale et finalité par traitement.
- Schéma d'architecture cible, avec l'hébergeur retenu et la zone géographique.
- Liste des sous-traitants ultérieurs envisagés (hébergeur, opérateur GPU, partenaires).
- Plan de réversibilité : format de sortie des données, modèles, code et secrets.
- Inventaire des accès et des journaux d'audit conservés.
- Références à appeler, sous accord préalable du client référent.
trente minutes
Une question précise
pour votre RSSI ?
Posez-la directement. Si le périmètre est sensible, prévoyez trente minutes avec un ingénieur senior pour entrer dans le détail architectural.