Les questions ne sont pas conservées
Nous ne conservons pas le texte de vos questions ni des réponses, sauf si votre organisation l’active.
Votre IA, selon votre contrat
Apportez votre propre modèle et votre clé. Votre fournisseur travaille pour vous, pas pour nous.
Clés d’accès et seconde étape
Connectez-vous avec une clé d’accès et ajoutez une application d’authentification comme seconde étape.
Un journal d’audit vérifiable
En ajout seul, et exporté avec une signature que vous vérifiez hors ligne, sans nous.
Rien venant de tiers
Aucun traceur, aucun script tiers, aucune publicité. Seulement le cookie de connexion.
Hébergé dans l’UE
Serveurs et sauvegardes en Allemagne.
Conçu pour que nous ayons moins à protéger.
Vos questions ne sont conservées que si votre organisation le choisit
Pour chaque requête, nous enregistrons qui, quand, quel outil, quels documents ont été lus, les tokens et le résultat. C’est ce qu’il faut pour faire fonctionner et décompter le service. Une ligne de journal contenant le texte d’une question est écartée avant d’être écrite.
Les questions et réponses ne sont pas conservées sauf si votre organisation active l’historique des questions. Elles sont alors chiffrées avec la propre clé de votre organisation, conservées pendant la durée qu’elle fixe puis supprimées, et chaque accès du personnel de Gelex à votre compte est inscrit dans le journal d’audit de votre organisation.
Votre fournisseur d’IA travaille pour vous, pas pour nous
Nous ne faisons tourner aucun modèle de langage. Votre organisation connecte sa propre clé pour toute API compatible OpenAI ou Anthropic, y compris un modèle que vous hébergez vous-même, ou utilise l’assistant dont elle dispose déjà via le connecteur.
Les clés sont vérifiées avant enregistrement, conservées chiffrées et jamais réaffichées. Votre fournisseur est votre sous-traitant, selon votre contrat avec lui.
Personne ne peut modifier le journal d’audit, pas même nous
Les changements d’adhésion, de rôle et de clé, ainsi que chaque question posée sans son texte, sont inscrits dans un journal que l’application ne peut ni modifier ni supprimer. Les adresses IP ne sont conservées que sous forme d’empreintes.
Les propriétaires le téléchargent avec une signature et le vérifient hors ligne au moyen de notre clé publiée.
La loi, c’est le propre fichier de l’éditeur
Les textes, versions, dates et notes proviennent d’un code déterministe et des propres fichiers de l’éditeur. L’IA ne rédige que les réponses, et elles sont signalées comme telles.
Chaque citation affiche une empreinte du fichier dont elle provient, pour que vous puissiez la comparer à celui de l’éditeur.
Ce que vous obtenez.
Connexion
- Clés d’accès
Votre empreinte digitale, votre visage ou une clé de sécurité au lieu d’un mot de passe.
- Connexion en deux étapes
Une application d’authentification comme seconde étape.
- Mots de passe robustes
Au moins 12 caractères, jamais votre adresse e-mail.
- Blocage
La connexion est suspendue après des échecs répétés.
- Authentification unique
Via le fournisseur d’identité de votre organisation.
Vos données
- Export
Votre profil, vos adhésions, sessions, consommation, clés d’API et entrées d’audit dans un seul fichier.
- Suppression
Supprimez votre compte et tout ce que vous seul pouvez voir.
- Conservation
Durées fixes, de 24 heures pour les connexions échouées à 5 ans pour les factures.
- Chiffré en transit
HTTPS uniquement ; votre navigateur refuse tout le reste.
Pour votre organisation
- Rôles
Les propriétaires et administrateurs gèrent les membres, les clés et la connexion à l’IA.
- Clés d’API à portée limitée
Chaque clé n’a que les accès que vous cochez, n’est affichée qu’une fois et se révoque immédiatement.
- Politique d’IA et de données
Décidez si l’historique des questions est conservé et si les membres peuvent utiliser leur propre IA.
- Export d’audit signé
Qui a fait quoi et quand, dans un fichier vérifiable sans nous.
Documents à votre disposition.
- Accord de traitement des données
Pour les organisations, au titre du RGPD.
Publié - Sous-traitants
Une courte liste, chacun nommé.
Publié - Transparence sur l’IA
Chaque réponse indique qu’elle a été rédigée par une IA, et par quel modèle.
Publié - security.txt
Coordonnées lisibles par machine pour les chercheurs.
Publié
Nous ne détenons encore aucune certification de sécurité, et aucun test d’intrusion indépendant ne peut vous être présenté. Lorsqu’il y en aura, ils figureront ici avec leur date.
Où nous en sommes aujourd’hui.
- SOC 2 et ISO 27001
Non commencé : nous n’avons ni l’une ni l’autre. Quand un audit commencera, il figurera ici avec ses dates.
Non commencé - Test d’intrusion
Aucun test indépendant n’a encore été fait. Quand il y en aura un, il figurera ici avec sa date.
Non commencé - Notification des violations
Les organisations concernées sont prévenues dans les meilleurs délais, et nous visons 48 heures.
En place - Support
Écrivez à support@gelex.eu. Une personne répond sous deux jours ouvrés.
En place
Si quelque chose tourne mal.
Une violation de données personnelles suit toujours les mêmes étapes. Ce sont des engagements de notre accord de traitement des données.
- Nous la contenons d’abord : retrait de l’accès, changement des clés, fermeture de la faille.
- Nous prévenons chaque organisation concernée dans les meilleurs délais, et visons 48 heures après en avoir pris connaissance : ce qui s’est passé, quelles données, ce que nous avons fait et ce que vous devriez faire.
- Lorsque nous sommes responsables du traitement et que la loi l’exige, nous la notifions à l’autorité danoise de protection des données sous 72 heures. Nous vous aidons à remplir vos propres obligations envers la vôtre.
- Nous consignons chaque violation, avec ses faits, ses effets et ses correctifs.
Questions.
Vous avez trouvé une faille ?
Prévenez-nous d’abord en privé. La recherche de bonne foi est bienvenue et protégée.
- N’utilisez que des comptes qui vous appartiennent ou que vous êtes autorisé à tester. Si vous accédez aux données d’autres personnes, arrêtez et prévenez-nous.
- Pas de déni de service, pas de spam, pas d’ingénierie sociale envers notre personnel ou nos clients.
- Laissez-nous un délai raisonnable pour corriger le problème avant de publier, et convenez de la date avec nous.