Sécurité, protection des données et résidence des données

Où se trouvent vos données

Dans l’exploitation gérée par Kisuno, les conversations, les fichiers téléversés, les comptes et les journaux résident dans des centres de données certifiés ISO 27001 de Green à Lupfig, en Suisse. Selon le modèle choisi, les requêtes adressées aux modèles de langage sont traitées dans le centre de données AWS de Francfort ou chez des fournisseurs européens sur des serveurs en Europe. Si vous hébergez Kisuno vous-même, toutes ces données restent sur votre propre infrastructure.

Exploitation en Suisse

L’exploitation gérée de Kisuno a lieu dans les centres de données de Green à Lupfig, canton d’Argovie, en Suisse, certifiés ISO 27001. Cette certification est détenue par Green en tant qu’exploitant du centre de données, et non par Kisuno. Le droit suisse de la protection des données, c’est-à-dire la loi révisée sur la protection des données, s’applique donc aux données stockées.

Où les modèles calculent

Les modèles de langage ne s’exécutent pas sur le serveur de chat, mais chez le fournisseur d’inférence. Kisuno propose les modèles actuels d’OpenAI (ChatGPT) et d’Anthropic (Claude) ; ils sont exécutés dans le centre de données AWS de Francfort. AWS est une entreprise américaine, le US CLOUD Act s’applique donc même avec des serveurs à Francfort, et nous le disons ouvertement.

Pour les clients aux exigences élevées en matière de protection des données, des modèles ouverts de premier plan comme GLM, Kimi et DeepSeek sont disponibles, exploités par des entreprises européennes sur des serveurs en Europe ; le CLOUD Act ne s’y applique pas. Les modèles activés dans votre instance sont définis par votre administration. Si elle intègre en plus un fournisseur hors d’Europe, elle l’indique, et l’engagement européen ne s’applique pas à ce fournisseur.

Quel que soit le modèle choisi : les saisies et les données téléversées ne sont ni conservées par le fournisseur de modèle ni utilisées pour l’entraînement. Cet engagement figure dans le contrat de sous-traitance, à la section « Aucun entraînement avec les données clients ».

Une exception que nous nommons ouvertement : la détection automatique d’abus d’AWS. Elle peut marquer des messages, par exemple en cas d’indices d’attaques, de code malveillant ou de contenus interdits. AWS conserve jusqu’à 30 jours les messages marqués des modèles GPT et l’ensemble des requêtes de Claude Fable 5 et 5.1, pour examiner et stopper les abus ; pour les autres modèles Claude, aucune conservation n’est préconfigurée. Les données conservées restent chez AWS dans la région de traitement ; rien n’est transmis aux fournisseurs de modèles ni utilisé pour l’entraînement.

Ce qui vaut en auto-hébergement

En auto-hébergement, aucun contenu ne quitte votre infrastructure, hormis les requêtes de modèle adressées au fournisseur que vous avez choisi. Base de données, index de recherche, stockage de fichiers et journaux résident sur votre serveur, tout comme les clés d’accès. Tous les sous-traitants ultérieurs disparaissent, à l’exception des fournisseurs de modèles que vous saisissez vous-même. Kisuno paraîtra prochainement sous licence MIT, sans limite de sièges ni obligation de marque.

Ce qui n’arrive pas à vos données

Les données clients n’entraînent aucun modèle, la télémétrie est désactivée par défaut et il n’y a aucun suivi sans consentement actif. Deux exceptions que nous nommons ouvertement : la détection d’abus d’AWS dans la section ci-dessus et la recherche web plus bas.

Aucun entraînement sur vos données

Les données clients ne sont pas utilisées pour entraîner des modèles. Cela est consigné dans le contrat de sous-traitance et dans les conditions générales de Kisuno et vaut, quel que soit le modèle choisi, également pour les fournisseurs de modèles : les saisies et les données téléversées n’y sont ni conservées ni utilisées pour l’entraînement. La première des deux exceptions, la détection automatique d’abus d’AWS, est nommée dans la section « Où les modèles calculent » ci-dessus ; la seconde, la recherche web, se trouve plus bas. Une déclaration « no training » autonome, sous forme de document distinct, est en cours.

Télémétrie désactivée par défaut

Tous les composants de la plateforme sont livrés avec la télémétrie désactivée, y compris l’index de recherche et l’application de chat elle-même. L’instance ne transmet aucune statistique d’utilisation à des tiers et n’est pas ouverte aux moteurs de recherche. Ce réglage par défaut vaut en exploitation gérée comme en auto-hébergement et n’a pas besoin d’être désactivé au préalable.

Honnêtes sur la recherche web

La recherche web de Kisuno passe par une instance de recherche auto-hébergée basée sur SearXNG. Cette instance transmet la requête à des moteurs de recherche externes, sans identité de l’utilisateur, sans compte et sans profilage. L’affirmation « tout reste en Europe » vaut donc pour le stockage et l’inférence, pas pour la requête de recherche elle-même.

Si vous ne souhaitez pas cette transmission, désactivez la recherche web dans le panneau d’administration. Le reste de la plateforme continue de fonctionner sans elle. Nous nommons ce point au lieu de le taire, car un engagement ne vaut que ce que valent ses exceptions.

Quel droit s’applique à vos données

Kisuno est soumis à la loi fédérale suisse révisée sur la protection des données (nLPD) et au RGPD, les deux étant garantis contractuellement. Pour l’exploitation gérée, le client et le fournisseur concluent un contrat de sous-traitance au sens de l’art. 28 RGPD. Les sous-traitants ultérieurs utilisés sont listés publiquement et font partie intégrante de ce contrat.

Ce que la nLPD signifie ici

L’exploitation gérée a lieu en Suisse et relève donc de la loi révisée sur la protection des données. Le fournisseur de Kisuno est Herr Informatik GmbH, dont le siège est à Windisch, en Suisse. Sont traités les contenus que les utilisateurs saisissent dans le service ainsi que les métadonnées des comptes. Les personnes concernées sont les collaborateurs et les contacts du client.

Quand le RGPD s’applique en plus

Le RGPD s’applique en plus dès que des données de personnes situées dans l’UE sont traitées. Kisuno traite les données à caractère personnel exclusivement pour fournir le service convenu et uniquement sur instruction documentée du client. Aucun traitement en dehors de l’UE, de l’EEE et de la Suisse n’a lieu sans garanties appropriées.

Sous-traitance et sous-traitants ultérieurs

Le contrat de sous-traitance régit le caractère contraignant des instructions, la confidentialité, l’assistance en matière de droits des personnes concernées et les obligations de notification. Il existe aujourd’hui sous forme d’aperçu structurel complet ; la version prête à signer est en cours d’examen juridique et donc en cours. La liste des sous-traitants ultérieurs fait partie du contrat : les modifications sont annoncées à l’avance et vous pouvez faire valoir des objections légitimes.

À l’issue du contrat, les données clients sont exportées sur demande puis supprimées, dans la mesure où aucune obligation légale de conservation ne s’y oppose. Une durée de conservation des conversations est librement paramétrable dans le panneau d’administration ; à son échéance, les contenus sont supprimés avec leurs entrées d’index de recherche. L’administration effectue également au même endroit l’export et la suppression des données d’une personne, y compris la suppression complète en cas de demande d’effacement. Le déroulement au quotidien est décrit sur la page Gouvernance.

Mesures techniques et organisationnelles

Les mesures suivantes sont mises en œuvre dans le produit ou imposées de manière contraignante pour l’exploitation ; elles valent aussi bien pour l’exploitation gérée que pour l’auto-hébergement. Lorsqu’une mesure est définie par l’exploitant, la ligne le précise. Cet état des lieux est la version publique actuelle. Un document TOM autonome, en annexe du contrat de sous-traitance, est en cours et sera lié ici dès qu’il sera disponible.

L’accès est décidé avant le modèle

Ce n’est pas le modèle de langage qui décide quelles données de l’entreprise il peut voir, mais une chaîne de règles placée en amont. Les appels vers un système connecté passent par la passerelle MCP, qui vérifie les droits de l’utilisateur à l’origine de la demande et journalise la décision. Les autorisations sont possibles par système et par outil individuel : lire les factures oui, lire les salaires non. Lorsque l’identité de la personne est au contraire transmise jusqu’au système cible, celui-ci applique ses propres droits. Le détail de l’articulation entre rôles, groupes, journal et budget figure sur la page Gouvernance.

Ce qui n’est pas encore mis en œuvre à ce jour

Trois points restent ouverts et sont nommés ici plutôt que passés sous silence. Un proxy de sortie avec liste d’autorisation pour les accès réseau depuis le bac à sable de code est en cours. Le niveau d’isolation le plus fort du bac à sable de code suppose la prise en charge de la virtualisation sur le serveur et n’est donc pas partout le réglage par défaut. La création et le blocage automatiques de comptes via SCIM sont prévus ; aujourd’hui, le blocage passe par le service d’annuaire.

Certifications : état actuel

Kisuno ne dispose pas aujourd’hui d’une certification propre. La certification ISO 27001 sur laquelle repose l’exploitation est détenue par l’exploitant du centre de données Green à Lupfig. Une certification ISO 27001 propre à Kisuno est en cours. Aucun rapport SOC 2 n’est disponible et il n’est pas prévu pour l’instant.

Cette distinction est importante pour votre propre audit : la certification de Green couvre le centre de données, c’est-à-dire le bâtiment, l’alimentation, le refroidissement, l’accès physique et la sécurité physique. Elle ne couvre pas l’application ni son exploitation. Pour ce niveau, c’est aujourd’hui l’auto-déclaration de cette page qui vaut, appuyée sur les engagements contractuels et sur la base de code ouverte LibreChat sur laquelle la plateforme est construite.

Quels documents vous recevez aujourd’hui

Quatre documents sont disponibles aujourd’hui : le contrat de sous-traitance, la liste des sous-traitants ultérieurs, la déclaration de confidentialité et les conditions générales. Quatre autres sont en cours et seront liés ici dès qu’ils seront disponibles. D’ici là, nous répondons par écrit sur demande à chacun de ces points.

Disponibles aujourd’hui

• Contrat de sous-traitance : traitement des données à caractère personnel selon l’art. 28 RGPD et la nLPD. Aperçu structurel ; la version prête à signer est en cours d’examen juridique.
• Sous-traitants ultérieurs : liste actuelle des sous-traitants ultérieurs, partie intégrante du contrat de sous-traitance.
• Déclaration de confidentialité : traitement des données à caractère personnel selon la nLPD et le RGPD.
• Conditions générales : conditions contractuelles d’utilisation du service, y compris l’engagement « no training ».

En cours, sans lien

Ces quatre documents n’existent pas encore de manière autonome et figurent donc sans lien. Dès que l’un d’eux sera disponible, il sera lié ici. D’ici là, nous répondons par écrit sur demande à chacun de ces points. Des réponses plus courtes aux questions récurrentes figurent dans les questions fréquentes.

• Document TOM en annexe du contrat de sous-traitance. La section Mesures techniques et organisationnelles de cette page en est la version actuelle.
• Fiche technique d’hébergement sur le centre de données de Lupfig.
• Déclaration « no training » sous forme de document autonome.
• Concept d’audit et d’accès sous forme de document.

Questions fréquentes