1. Responsable du Traitement & Engagements
La plateforme Boundry est développée et opérée par la société Neko Labs. Nous accordons une importance primordiale à la protection et à la confidentialité absolue des données télémétriques et personnelles qui nous sont confiées.
En tant que solution SecOps spécialisée pour les agents d'intelligence artificielle autonomes (CrewAI, LangChain, AutoGPT), nous concevons nos produits selon les principes de Privacy by Design et de Security by Default (Article 25 du RGPD).
2. Données Traitées par la Plateforme
Dans le cadre de l'exploitation de la console SecOps et de la passerelle de sécurité, nous traitons deux catégories distinctes de données :
A. Données de Gestion de Compte & Facturation
- Identité et Authentification : Nom, prénom, adresse email professionnelle, mot de passe chiffré (hachage unidirectionnel bcrypt avec sel cryptographique fort), configuration d'authentification multifacteur TOTP (2FA).
- Données Organisationnelles : Nom de votre organisation, liste blanche de domaines autorisés, clés d'API organisationnelles (
sk_org_...) stockées sous forme d'empreinte chiffrée. - Données de Facturation : Historique des abonnements, identifiant client Paddle (Merchant of Record), reçus fiscaux et calcul de TVA. Les numéros de cartes bancaires sont traités directement par l'environnement certifié PCI-DSS Level 1 de Paddle et ne transitent pas par nos serveurs.
B. Télémétrie d'Agents IA & Journaux d'Audit
- Collecte par défaut (Métadonnées + Empreinte SHA-256) : Par défaut, Boundry enregistre uniquement les métadonnées d'exécution (horodatage ISO 8601, identifiant d'agent, nom de l'outil invoqué, décision d'autorisation ou de blocage, latence) ainsi que l'empreinte cryptographique SHA-256 du contenu (
input_sha256), sans stocker les prompts complets en clair. - Capture complète optionnelle : L'organisation cliente peut activer, agent par agent, l'enregistrement des arguments d'outils pour le débogage. Ces contenus sont systématiquement filtrés par le moteur DLP avant stockage et chiffrés avec une clé propre à l'organisation permettant l'effacement cryptographique (crypto-shredding) conformément à l'Article 17 du RGPD sans rompre la chaîne SHA-256.
3. Finalités et Bases Légales du Traitement
| Finalité de Traitement | Données Concernées | Base Légale (RGPD) |
|---|---|---|
| Fourniture et exécution du service (pare-feu d'agents, API d'interception) | Clés API, identifiants d'agents, paramètres de conformité | Exécution contractuelle (Art. 6.1.b) |
| Sécurisation et filtrage des cyberattaques (anti-injection, anti-DDoS) | Logs d'interception, adresses IP sources, empreintes Cloudflare | Intérêt légitime de sécurité (Art. 6.1.f) |
| Facturation et gestion des souscriptions (Paddle Merchant of Record) | Identifiants clients, historique des transactions, factures | Obligation légale et fiscale (Art. 6.1.c) |
| Génération des preuves d'audit inviolables (EU AI Act, ISO 42001) | Chaîne de hash SHA-256 cryptographique scellée | Obligation légale & Exécution contractuelle |
4. Caviardage Automatisé des Données Sensibles (DLP)
Boundry intègre un moteur d'anonymisation et de Data Loss Prevention (DLP) pré-ingestion. Lorsqu'un agent IA transmet une trace contenant des informations personnelles hautement sensibles, notre module effectue une substitution cryptographique irréversible :
- Numéros de cartes de crédit / IBAN → Remplacés par
[REDACTED_FINANCIAL_DATA] - Numéros de sécurité sociale / NIR → Remplacés par
[REDACTED_NATIONAL_ID] - Mots de passe et secrets d'API → Remplacés par
[REDACTED_API_SECRET]
Grâce à ce traitement local, les données confidentielles ne sont pas enregistrées en clair dans les bases de journaux pérennes.
5. Durées de Conservation & Purge Automatique
Conformément au principe de limitation de conservation (Article 5.1.e du RGPD) :
- Journaux d'audit SecOps : Conservés pendant 90 jours par défaut (ou la durée contractuellement définie dans les paramètres de votre organisation), puis purgés de manière automatique, totale et irréversible.
- Données de compte actif : Conservées pendant toute la durée de validité de votre compte. Dès la clôture du compte, les données associées sont immédiatement supprimées en cascade.
- Pièces comptables et factures Paddle : Conservées pendant 10 ans en conformité avec les dispositions du Code de commerce français et la réglementation fiscale européenne.
6. Sous-traitants Ultérieurs & Localisation des Serveurs
Nos infrastructures sont hébergées au sein de centres de données situés dans l'Union Européenne (Francfort, Allemagne) :
| Fournisseur | Rôle / Service Assuré | Localisation | Garanties de Conformité |
|---|---|---|---|
| Render, Inc. | Hébergement de l'infrastructure de calcul et serveurs d'API | Francfort (Allemagne) / UE | DPA signé, Clauses Contractuelles Types UE |
| Supabase Inc. / AWS | Stockage de données relationnelles chiffrées (AES-256 au repos) | Francfort / Londres / UE | Chiffrement TLS 1.3 et AES-256 au repos, DPA signé |
| Paddle.com Market Ltd | Gestionnaire de facturation & Merchant of Record officiel | Royaume-Uni / UE | Certification PCI-DSS Niveau 1, conformité DSP2 / 3D-Secure |
| Cloudflare, Inc. | Protection du périmètre réseau, mitigation DDoS et CDN | Présence mondiale / Edge UE | DPA, conformité ePrivacy & ISO 27701 |
7. Vos Droits & Contact Délégué à la Protection des Données (DPO)
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données personnelles :
- Droit d'accès et de rectification : Vous pouvez consulter et corriger vos informations directement dans la console.
- Droit à l'effacement (« Droit à l'oubli ») : Vous pouvez supprimer votre compte et toutes ses données en un clic via Paramètres > Supprimer mon compte.
- Droit à la portabilité : Export de vos journaux et métriques aux formats standard JSON et CSV.
- Droit de retrait du consentement : Modifiable à tout moment depuis notre Centre de préférences des cookies.
Pour toute question ou demande d'exercice de droits :
Email officiel : [email protected]
Vous avez également le droit d'introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) : 3 Place de Fontenoy, 75007 Paris — www.cnil.fr.