Traitement des données

Version en vigueur au 22 juillet 2026. Elle remplace la version du 28 avril 2026.

1. Qui fait quoi

La répartition des rôles détermine qui répond de quoi devant la CNIL. Elle est simple.

2. Objet et durée

Objet. L'exécution des prestations souscrites par le cabinet : Ki Collecte, Ki Boîte Cabinet, Ki RDV Bilan, ainsi que les travaux de diagnostic et d'accompagnement associés.

Durée. Les traitements courent pendant toute la durée du contrat de prestation, et cessent à son terme. Les opérations postérieures se limitent à la restitution et à la suppression des données, décrites au point 12.

Instructions. Le contrat et ses annexes constituent les instructions documentées du responsable de traitement. Toute instruction complémentaire se donne par écrit à contact@kirohq.com. Si une instruction nous paraît contraire au RGPD, nous le signalons au cabinet avant de l'exécuter.

3. Nature des traitements par service

Dans les trois services, aucun message ne part sans validation humaine par un membre du cabinet. C'est une règle de conception, pas une option désactivable.

4. Données et personnes concernées

Personnes concernées : les clients du cabinet et leurs représentants, les collaborateurs du cabinet, les tiers cités dans les échanges (fournisseurs, organismes, administrations).

Catégories de données :

• Identification et contact — nom, fonction, raison sociale, adresse, courriel, téléphone.
• Vie professionnelle — dossier de rattachement, échéances, historique des échanges.
• Données économiques et financières — factures, relevés, pièces comptables, coordonnées bancaires figurant sur ces pièces.
• Données de connexion — journaux d'accès et d'action, nécessaires à la traçabilité.

5. Nos engagements

Ils reprennent point par point l'article 28.3 du RGPD.

1. Instructions. Nous ne traitons les données que sur instruction documentée du cabinet. Les traitements s'exécutent dans l'Union européenne, dans les conditions précisées au point 8.
2. Confidentialité. Toute personne accédant aux données est liée par un engagement de confidentialité écrit, qui survit à la fin de sa mission.
3. Sécurité. Nous mettons en œuvre les mesures techniques et organisationnelles décrites au point 9.
4. Sous-traitance. Nous ne recrutons aucun sous-traitant ultérieur sans autorisation écrite préalable, et nous lui imposons les mêmes obligations.
5. Droits des personnes. Nous aidons le cabinet à y répondre, dans les conditions du point 11.
6. Analyses d'impact et notifications. Nous fournissons au cabinet les informations nécessaires à ses obligations des articles 32 à 36.
7. Sort des données. À la fin du contrat, restitution puis suppression, selon le choix du cabinet.
8. Démonstration de conformité. Nous tenons à disposition la documentation permettant de vérifier le respect de ces obligations.

Nous tenons le registre des catégories de traitements effectués pour le compte de nos clients, prévu à l'article 30.2 du RGPD.

6. L'usage des modèles d'IA

Nos services s'appuient sur des modèles de traitement du langage pour classer des messages et rédiger des propositions de texte. C'est le point sur lequel un cabinet a le plus besoin de garanties écrites. Les voici.

• Aucun entraînement sur vos données. Nos contrats avec les fournisseurs de modèles excluent contractuellement l'utilisation des contenus transmis pour l'entraînement ou l'amélioration de leurs modèles.
• Rétention limitée chez le fournisseur. Les contenus transmis ne sont pas conservés pour constituer un historique. Les fournisseurs appliquent une fenêtre de conservation courte, destinée à la seule prévention des abus, au terme de laquelle les données sont supprimées. La durée applicable figure au contrat et vous est communiquée sur demande, avant signature.
• Minimisation avant envoi. Seuls les éléments nécessaires à la tâche sont transmis au modèle, jamais le dossier entier.
• Décision humaine. Le modèle propose, un collaborateur du cabinet valide. Aucun traitement ne produit d'effet à l'égard d'une personne sans intervention humaine, au sens de l'article 22 du RGPD.
• Traçabilité. Chaque proposition et chaque validation sont journalisées : qui, quoi, quand.

Le règlement européen sur l'intelligence artificielle (UE 2024/1689) impose une obligation de transparence sur les contenus générés et un niveau suffisant de maîtrise chez les utilisateurs. Notre offre Formation & Référent IA répond à ce second point.

7. Sous-traitants ultérieurs

Les voici nommément. Nous préférons publier cette liste plutôt que de la réserver à une annexe contractuelle : elle vous permet de compléter votre registre et d'évaluer le dispositif avant même de nous rencontrer.

Cette liste est complète. Elle ne comporte pas de rubrique « divers » ni de renvoi à une annexe que vous n'auriez pas lue.

Les appels aux modèles sont adressés directement à leur fournisseur. Aucune plateforme d'intermédiation, aucun revendeur, aucun agrégateur ne s'interpose : personne d'autre que les trois sociétés ci-dessus n'intervient dans la chaîne de traitement.

Deux briques qui ne sont pas des sous-traitants

Il serait facile de les ajouter au tableau pour faire nombre. Ce serait inexact, et la distinction vous intéresse.

• n8n assure l'orchestration des tâches. Le logiciel est installé sur votre propre instance, pas consommé comme service en ligne. La société qui l'édite ne reçoit aucune de vos données et n'a aucun accès à votre environnement. Elle n'est donc pas sous-traitante au sens du RGPD.
• Votre messagerie — Microsoft 365, Gmail ou tout serveur IMAP — reste la vôtre. Les messages validés partent de vos boîtes, par vos connecteurs, avec vos en-têtes. Nous n'interposons aucun service d'acheminement, ce qui évite un intermédiaire de plus et préserve la délivrabilité de votre domaine.

Une instance par cabinet

Chaque cabinet dispose de son propre serveur, avec sa base de données et ses sauvegardes. Le cloisonnement n'est pas une règle logicielle appliquée à une base commune : vos données et celles d'un autre cabinet ne se trouvent pas sur la même machine.

Cela vaut aussi à la sortie : mettre fin au contrat revient à détruire une instance entière, pas à effacer des lignes dans une base partagée.

Changement de sous-traitant

Tout ajout ou remplacement vous est notifié 30 jours avant sa mise en œuvre. Vous pouvez vous y opposer pendant ce délai : nous cherchons alors une solution alternative et, à défaut, vous pouvez résilier la prestation concernée sans pénalité.

8. Localisation des données

Stockage : France. L'instance de votre cabinet, sa base de données et ses sauvegardes sont hébergées par OVHcloud dans des centres de données situés en France. Vos données y résident en permanence.

Traitements : Union européenne. Les opérations s'exécutent sur votre instance. Les seuls échanges sortants sont les appels aux modèles de langage, adressés à des points d'accès situés dans l'Union européenne, et limités aux éléments nécessaires à la tâche.

Le site vitrine kirohq.com relève d'une infrastructure distincte, décrite dans les mentions légales. Aucune donnée de dossier n'y transite, et notre messagerie professionnelle n'y a pas accès non plus.

9. Mesures de sécurité

Prises au titre de l'article 32 du RGPD :

• Chiffrement des données en transit (TLS) et au repos.
• Instance dédiée par cabinet : serveur, base de données et sauvegardes propres à chaque client. Aucun accès croisé n'est techniquement possible entre deux cabinets.
• Authentification forte obligatoire sur tous les accès d'administration.
• Moindre privilège : droits attribués par rôle, revus à chaque mouvement et périodiquement.
• Journalisation des accès et des actions, conservée 12 mois et consultable par le cabinet.
• Sauvegardes chiffrées, avec test de restauration.
• Séparation des environnements de développement et de production ; aucune donnée réelle en dehors de la production.
• Mises à jour de sécurité suivies et appliquées selon leur criticité.

Ces mesures suivent les exigences de la norme ISO/CEI 27001, dont notre président est formé. KIROHQ n'est pas certifiée à ce jour et ne le présente pas comme tel. Le détail opérationnel figure sur la page Sécurité.

10. En cas de violation de données

Nous notifions le cabinet dans les meilleurs délais et au plus tard 24 heures après en avoir pris connaissance, afin qu'il dispose du temps nécessaire à sa propre notification à la CNIL sous 72 heures.

Notre notification comprend la nature de la violation, les catégories et le volume approximatif de données et de personnes concernées, les conséquences probables, et les mesures prises ou proposées. Nous complétons au fur et à mesure de l'investigation plutôt que d'attendre un rapport définitif.

C'est le cabinet, responsable de traitement, qui décide et effectue la notification à l'autorité et, le cas échéant, l'information des personnes. Nous lui fournissons les éléments et l'appui nécessaires.

11. Assistance sur les droits des personnes

Les demandes d'accès, de rectification, d'effacement ou d'opposition s'adressent au cabinet. Si l'une nous parvient directement, nous la transmettons sans y répondre sur le fond et informons son auteur de la transmission.

Sur demande du cabinet, nous fournissons l'extraction, la rectification ou la suppression des données concernées dans nos systèmes sous 5 jours ouvrés, dans un format exploitable, sans frais supplémentaire.

12. Fin du contrat

Au terme du contrat, quelle qu'en soit la cause, le cabinet choisit entre la restitution et la suppression pure et simple. Le calendrier est le suivant :

Seuls sont conservés au-delà les éléments que la loi nous impose de garder — pièces de facturation notamment — et les journaux de traçabilité anonymisés.

13. Audit et documentation

Le cabinet peut vérifier le respect de ces engagements :

• en nous adressant un questionnaire de conformité, auquel nous répondons sous 15 jours ouvrés ;
• en demandant la documentation technique et organisationnelle pertinente ;
• en diligentant un audit sur site, une fois par an, avec un préavis de 30 jours, aux frais du demandeur, dans des conditions préservant la confidentialité des autres clients.

Un audit supplémentaire est de droit à la suite d'une violation de données avérée nous concernant.

Les cabinets qui préparent leur registre de traitements peuvent nous demander une fiche reprenant ces éléments au format attendu par la CNIL. Nous la fournissons sans frais.