Confiance & protection des données
Conçu pour que votre DPO dise oui — vite.
C’noté gère la communication aux parents d'une école ; nous l'avons donc conçu comme le voudrait un délégué à la protection des données : en Europe, fondé sur ce que l'école a réellement écrit, et documenté avant le début de votre pilote.
Les quatre promesses
Ce que nous garantissons, par écrit.
En Europe, de bout en bout.
Hébergement en France, inférence IA à Paris. Les données de votre école et notre traitement restent dans l'UE. Réserve honnête, énoncée clairement : certaines métadonnées opérationnelles de notre fournisseur d'inférence — facturation, supervision — peuvent transiter hors UE sous clauses contractuelles types de l'UE. L'inférence elle-même reste à Paris. Nous disons « l'inférence s'exécute en Europe », jamais « exclusivement en Europe ».
Jamais utilisé pour entraîner l'IA.
Aucune donnée d'école, de parent ou d'élève ne sert jamais à entraîner un modèle d'IA — garanti contractuellement. La seule conservation côté IA est une courte fenêtre de surveillance des abus chez notre fournisseur d'inférence.
Il ne peut rien inventer.
C’noté ne fait que reformuler ce que l'école a réellement écrit, cite la source de chaque point, et n'invente jamais. Chaque message destiné aux parents est journalisé et auditable.
Vous êtes le responsable ; nous, le sous-traitant.
Vous gardez la propriété, les droits d'audit, et le droit de demander la suppression de toute donnée. Les parents gèrent eux-mêmes désinscription et langue — zéro ticket pour votre secrétariat ; la suppression se fait sur simple demande, honorée sous 30 jours.
Conformité en un coup d'œil
Tout ce que votre DPO vérifiera.
RGPD (UE 2016/679) + nLPD suisse (2023) · hébergement UE (France) · inférence UE (Paris) · contrat de sous-traitance signé avant le pilote · liste des sous-traitants publiée · notification de violation sous 72 h · données supprimées ou restituées sous 30 jours après résiliation · journal d'audit complet.
| Sous-traitant | Rôle | Région |
|---|---|---|
| OVH SAS (OVH Groupe SA) | Hébergement et infrastructure — VPS, base de données, courrier entrant, pièces jointes | Gravelines (GRA), France · UE |
| Mistral AI SAS (La Plateforme) | Inférence IA — tous les niveaux de traitement | Paris, France · UE |
| WhatsApp Ireland Ltd (Meta) — Business Platform / Cloud API | Distribution des messages aux parents | Irlande · EEE † |
| GoatCounter (Martin Tournoij — open source) | Analytique sans cookies, soumise au consentement | Irlande · UE |
| Infomaniak Network SA | E-mails sortants / transactionnels et DNS | Genève, Suisse |
† WhatsApp Ireland Limited est le responsable du traitement pour l'EEE ; une partie du traitement lié à la distribution des messages a lieu chez Meta Platforms, Inc. et WhatsApp LLC aux États-Unis, dans le cadre du Data Privacy Framework UE–États-Unis et de clauses contractuelles types, avec localisation des données dans l'UE lorsque cela est possible.
Comment circulent les données
Clairement, de bout en bout.
Votre école transfère les e-mails aux parents vers une adresse privée @cestnote.ch — aucun compte, aucune connexion, aucun accès à votre boîte mail. Nous les lisons et les résumons dans l'UE, puis livrons à chaque parent son message sur WhatsApp, en ne partageant que ce qui concerne son propre enfant. Les e-mails source ne quittent jamais nos serveurs européens.
Ce que vous pouvez demander
Avant la fin de la démo.
Le dossier sécurité complet, le schéma des flux de données, la liste actuelle des sous-traitants, et le contrat de sous-traitance — tout est disponible avant la fin de la démo.