Trust Center
Ce que votre service achats veut savoir.
Où se trouvent les données de projet, quels sous-traitants interviennent, ce qui se passe avec l’IA et où se situent nos limites. Le tout sur une seule page, pour que vous n’ayez pas à courir après les questionnaires fournisseurs.
Dernière vérification : 9 août 2026 · Cette page résume la politique de confidentialité (texte juridique en anglais) ; la version faisant foi est la politique de confidentialité allemande.
En bref
Les sept questions qui reviennent toujours.
Où se trouvent les données de nos projets ?
L’IA est-elle entraînée avec nos données ?
Recevrons-nous un accord de traitement des données ?
Êtes-vous certifiés ISO 27001 ou SOC 2 ?
Que deviennent nos données si nous résilions ?
CE-Copilot est-il un système d’IA à haut risque au sens du règlement européen sur l’IA (AI Act) ?
Le pare-feu de notre entreprise bloque ce-copilot.de. Que faire ?
Sous-traitants
Qui traite des données avec nous.
Liste complète au titre de l’article 28 du RGPD. Des accords de traitement des données sont conclus avec tous les prestataires de services mentionnés. Lorsque le traitement a lieu en dehors de l’UE, la base juridique est indiquée en regard.
| Prestataire | Finalité | Lieu de traitement |
|---|---|---|
| Supabase Inc. | Base de données, stockage de fichiers, authentification | Serveurs dans l’UE ou l’EEE |
| Anthropic, PBC | Traitement par IA (Claude) pour des suggestions et des textes | États-UnisData Processing Addendum, clauses contractuelles types de l’UE |
| Railway Corp. | Hébergement et diffusion de l’application web | États-Unis (diffusion de préférence via des centres de données dans l’UE)Accord de traitement des données, cadre de protection des données UE-États-Unis (Data Privacy Framework) ou clauses contractuelles types |
| IONOS SE | Envoi d’e-mails transactionnels (SMTP) | Allemagne |
| Stripe Payments Europe, Ltd. | Traitement des paiements | Dublin, Irlande (en partie Stripe, Inc., États-Unis)Cadre de protection des données UE-États-Unis (Data Privacy Framework) ou clauses contractuelles types |
| PostHog, Inc. | Mesure d’audience, uniquement avec consentement | Cloud UE, serveurs dans l’UE |
Article 32 du RGPD
Mesures techniques et organisationnelles.
Chaque point décrit quelque chose qui est effectivement mis en œuvre et vérifiable. Les déclarations d’intention sont volontairement omises.
Transmission chiffrée
Toutes les connexions à l’application passent par TLS. L’en-tête Strict-Transport-Security demande aux navigateurs de n’accéder désormais au domaine que via HTTPS.
Séparation des clients (tenants) dans la base de données
La séparation des comptes est garantie par la base de données elle-même (Row Level Security dans PostgreSQL), et pas seulement par l’application. Un compte ne voit que les lignes qui lui sont attribuées, quelle que soit la requête émise par l’application.
Fichiers uniquement via des liens limités dans le temps
Les fichiers téléversés (photos, documents techniques, textes intégraux des normes) sont conservés dans un espace de stockage non public. L’accès passe par des liens signés à courte durée de validité, générés à chaque consultation.
Connexion et sessions
La connexion est assurée par Supabase Auth (mot de passe ou compte Google) ; les mots de passe y sont hachés et nous ne pouvons pas les consulter. Les sessions sont enregistrées côté serveur, de sorte qu’un compte ne peut pas rester ouvert, sans que cela se remarque, sur un nombre illimité d’appareils en parallèle.
Appels à l’IA limités à leur finalité
Seuls les contenus de projet nécessaires à l’étape de travail concernée (par exemple la description de la machine et le phénomène dangereux) sont transmis à l’IA. Anthropic n’utilise pas ces données pour entraîner ses modèles ; le traitement est encadré par un Data Processing Addendum.
La suppression entre vos mains
Les projets, documents et fichiers peuvent être supprimés à tout moment dans l’application ; la suppression entraîne aussi celle du fichier correspondant dans le stockage. À la fin du contrat, les données sont supprimées, sauf obligation légale de conservation (code de commerce allemand, HGB : six ans ; code fiscal allemand, AO : dix ans pour les pièces comptables).
Documents
Ce que vous recevez.
- Accord de traitement des données au titre de l’article 28 du RGPD, y compris les sous-traitants ultérieurs et l’annexe sur les mesures techniques et organisationnelles.
- Questionnaire fournisseur ou de sécurité informatique rempli dans votre format.
- Cette page sous forme d’instantané daté, si votre processus exige une preuve de l’état au moment de la validation.
Demander le DPA ou nous envoyer votre questionnaire
Un e-mail à info@sh-eng.de suffit. Signalez les failles de sécurité à la même adresse : nous accusons réception et revenons vers vous avec une évaluation avant de publier quoi que ce soit.
Limites
Ce que nous n’avons pas.
- Pas de certification ISO 27001 ni SOC 2. Nous travaillons avec un accord de traitement des données, des mesures techniques et organisationnelles documentées et des questionnaires plutôt qu’avec un certificat.
- Pas d’authentification à deux facteurs dans l’application. Si vous en avez besoin, connectez-vous avec un compte Google et utilisez la protection qui y est disponible.
- Pas de disponibilité garantie. Les CGV ne mentionnent aucune garantie de disponibilité, et nous ne promettons pas une disponibilité que nous ne mesurons pas.
Cette liste figure ici parce que ces points ressortent de toute façon dans le questionnaire. Si l’un d’eux est pour vous un critère éliminatoire, dites-le-nous tôt : nous nous épargnerons tous deux la réunion.
Démarrez votre prochain projet CE dans CE-Copilot.
De la vérification des directives à la déclaration de conformité dans une seule application, selon la directive relative aux machines aujourd’hui et selon le règlement sur les machines à partir du 20 janvier 2027.
Concrètement, voici ce qui change à la date butoir : pour six catégories de machines de l’annexe I, partie A, du règlement sur les machines (notamment les dispositifs amovibles de transmission mécanique et leurs protecteurs, les élévateurs de véhicules, les appareils de fixation à charge explosive et les composants de sécurité fondés sur l’IA), l’autoévaluation au moyen des normes harmonisées ne suffit plus : l’organisme notifié y devient obligatoire. Vérifier si votre machine est concernée
Aucune carte de crédit requise · essai avec les fonctionnalités de la formule Starter
La démonstration personnelle : 30 minutes, gratuite et sans engagement.