La sécurité de Recapro, sans zone d’ombre

Conçu pour le RGPD

Recapro agit comme sous-traitant au sens de l’article 28 du RGPD : nous traitons les données de vos réunions pour le compte de votre organisation et selon ses instructions.

• Un accord de sous-traitance (DPA) est disponible sur demande à [email protected].
• La liste de nos sous-traitants et les durées de conservation sont publiées dans la politique de confidentialité, pas réservées aux appels d’offres.
• Droits des personnes (accès, rectification, effacement, portabilité, opposition) : la demande se fait auprès de votre organisation, responsable de traitement, et nous l’exécutons pour elle.

Il n’existe pas de certification RGPD, donc nous n’en affichons pas. Ce que nous publions, ce sont les documents et les durées qui permettent de vérifier.

Hébergé en France et dans l’UE

Seuls Cloudflare, Stripe, Sentry, Google, Apple et Expo sont américains ; tout le reste est en France ou dans l’Union européenne.

• Scaleway (Paris, France) : base de données, authentification, stockage des fichiers et API.
• France-Nuage (Vendée, France) : hébergement et supervision de la flotte.
• Inférence STT et LLM (France) : transcription et résumé sur nos propres serveurs. C’est le seul moment où le contenu de vos réunions est lu en clair, et il se passe chez nous.
• Brevo (France) : envoi des emails du service.
• Cloudflare (États-Unis) : diffusion, cache et filtrage du trafic en transit.
• Stripe (États-Unis) : paiements. Sentry (États-Unis) : rapports d’erreur technique. Google, Apple et Expo (États-Unis) : notifications push et distribution des applications mobiles.

Aucun fournisseur américain n’intervient dans la transcription ni dans le résumé.

Zéro conservation par nos moteurs d’IA

La transcription et le résumé s’exécutent sur nos propres serveurs, en France. Aucune API d’IA tierce n’est appelée.

• Les modèles tournent sur nos machines, en France. Aucune requête ne part vers un service d’IA extérieur.
• Le moteur reçoit votre contenu, produit sa sortie et n’en garde rien : ni cache de requête, ni historique côté modèle.
• Vos comptes rendus, eux, sont bien conservés : c’est ce qui vous permet de les retrouver sur votre téléphone et sur votre ordinateur. La durée de conservation est réglable par organisation et documentée dans la politique de confidentialité.

La conservation dont parle ce badge est celle des moteurs d’IA. Elle ne dit rien de votre bibliothèque de comptes rendus, qui reste disponible tant que vous le décidez.

Aucun entraînement sur vos données

Nous n’entraînons et n’affinons aucun modèle sur le contenu de vos réunions.

• Les modèles que nous exécutons sont pris tels quels. Vos réunions ne servent pas à les modifier.
• Aucun jeu de données d’entraînement n’est constitué à partir des enregistrements, des transcriptions ou des comptes rendus de nos clients.
• Comme aucune API d’IA tierce n’intervient, la question « ce fournisseur s’entraîne-t-il sur mes données ? » ne se pose pas : il n’y a pas de fournisseur.

AES-256 au repos, TLS en transit

Vos données sont chiffrées quand elles circulent et quand elles dorment.

• En transit : TLS sur toutes les liaisons entre vos appareils et nos serveurs.
• Au repos : les données de service et leurs sauvegardes sont chiffrées sur l’infrastructure Scaleway qui les héberge, à Paris.
• Les jetons d’accès à votre agenda reçoivent en plus un chiffrement applicatif AES-256-GCM, appliqué avant l’écriture en base. Ils ne sont jamais transmis à vos appareils.

Vous pouvez partir avec vos données

Tout ce que vous mettez dans Recapro Cloud, vous pouvez le ressortir. Nous ne gardons rien en otage.

• Sur simple demande à [email protected], nous vous remettons l’export complet de vos données : réunions, transcriptions et comptes rendus.
• L’export ne conditionne rien. Vous n’avez pas à justifier votre départ, ni à négocier quoi que ce soit pour l’obtenir.
• Le RGPD vous donne par ailleurs un droit à la portabilité ; cet engagement va au-delà, il couvre l’ensemble de vos contenus, pas seulement vos données personnelles.

AI Act : transparence IA (article 50)

Les comptes rendus produits par Recapro sont générés par une intelligence artificielle. L’article 50 du règlement européen sur l’IA demande que ce soit dit clairement, et c’est dit.

• Un compte rendu est une proposition à relire, pas un procès-verbal certifié. La transcription et le résumé se trompent parfois, et la personne qui diffuse le document en répond.
• Recapro n’analyse pas les émotions et ne produit aucune notation des personnes. Les modèles de rédaction ont pour consigne explicite de ne prêter ni sentiment ni intention à qui que ce soit.
• La transcription d’origine reste consultable à côté du compte rendu, pour vérifier ce qui a été dit avant de diffuser quoi que ce soit.