Comment les transferts de données vers des pays tiers sont-ils sécurisés ?
amaise propose des zones de données dédiées pour l’UE, la Suisse et les États-Unis. Les données clients restent strictement dans la région attribuée :
Zone de données UE : traitement principal des données (documents, base de données, IA) dans l’UE/Suisse.
Zone de données CH : les données clients suisses sont stockées et traitées exclusivement en Suisse (AWS Zurich, Azure OpenAI Switzerland North).
Zone de données US : traitement principal des données aux États-Unis. Les données ne quittent jamais les États-Unis.
Les services annexes liés aux États-Unis ne traitent pas le contenu des documents clients :
Auth0/Okta — données de connexion utilisateur et événements d’authentification (clients US dans la région Auth0 US ; clients UE et CH dans la région Auth0 UE)
Twilio — envoi des codes à usage unique par SMS pour l’authentification multifacteur (numéro de téléphone uniquement)
Intercom — chat d’assistance et centre d’aide (nom, adresse e-mail et organisation de l’utilisateur, conversations d’assistance)
Sentry — rapports d’erreurs (configurés pour minimiser les données personnelles ; uniquement l’identifiant pseudonyme de l’utilisateur)
Mixpanel — analyses produit (nom et adresse e-mail de la personne connectée, texte saisi dans les champs de recherche et de filtre, questions posées aux pilotes, enregistrement des sessions (session replay) avec l’ensemble des textes masqués ; aucun contenu de documents, aucun résultat de recherche). Les données sont stockées dans la région de données UE de Mixpanel.
Slack — communication interne (retours sur les réponses de l’IA, avec l’adresse e-mail de l’utilisateur)
Gravatar — photos de profil (hachage à sens unique de l’adresse e-mail)
Perplexity — recherche web optionnelle, uniquement lorsque les sources de recherche ou LegalPilot sont activés pour un espace de travail (requêtes de recherche et questions posées à LegalPilot ; aucun document)
La liste complète figure dans la vue d’ensemble des sous-traitants.
Tous les transferts vers les États-Unis sont sécurisés par des clauses contractuelles types (SCC) conformes au RGPD et par les accords de traitement des données (DPA) des fournisseurs concernés. Pour chaque transfert vers les États-Unis, une évaluation d’impact sur le transfert (TIA) selon l’arrêt Schrems II a été réalisée et documentée. La documentation TIA est mise à la disposition des clients sur demande.
Les États-Unis ne figurent pas sur la liste d’adéquation du Préposé fédéral à la protection des données et à la transparence (PFPDT) — c’est pourquoi les SCC et des mesures complémentaires (TIA) sont nécessaires.