Pratiques de traitement des données

1. Qui nous sommes

Gruther, société constituée sous le droit français, dont le siège social est situé 19 boulevard Malesherbes, 75008 Paris, France, édite lensx.tech et exploite LensX, une plateforme destinée aux entreprises qui relie les données de ressources humaines, de finance et d’opérations d’une organisation en une couche de données déterministe unique, sa mémoire organisationnelle, sur laquelle les personnes autorisées peuvent raisonner avec l’assistance de l’IA.

La présente page décrit la manière dont nous traitons les données que nos clients nous confient. Elle est écrite pour ceux qui nous évaluent : équipes sécurité, délégués à la protection des données et services achats. Elle complète notre Politique de confidentialité et ne remplace pas les clauses de protection des données d’un contrat signé, qui prévalent.

2. Nos rôles : responsable du traitement et sous-traitant

Nous agissons à deux titres distincts, et savoir lequel s’applique importe.

• Sous-traitant, pour les données des clients. Tout ce qu’un client connecte à son espace de travail LensX ou y produit est traité par nous sur ses instructions documentées. Le client est le responsable du traitement : c’est lui qui décide ce qui est connecté, à quelles fins et qui peut le consulter. Nous le traitons pour fournir le service et pour aucune finalité propre.
• Responsable du traitement, pour nos propres opérations. Les données de compte et d’administration, les pièces de facturation, les échanges avec le support, les contacts professionnels et les données de visite du site sont traités par nous en qualité de responsable du traitement, aux finalités et sur les bases juridiques exposées dans la Politique de confidentialité.

3. Ce que nous traitons pour les clients

Le périmètre est fixé par le client, au travers des sources qu’il choisit de connecter. En pratique, il couvre trois familles de données :

• Données de ressources humaines : structure organisationnelle, postes et fiches de poste, compétences et niveaux de compétence, évaluations, historiques de formation et de mobilité, et données de candidature lorsque le client utilise la plateforme pour recruter.
• Données financières : budgets, centres de coûts, agrégats de paie, transactions et données de référence nécessaires à leur interprétation.
• Données opérationnelles : projets, affectations, charges de travail, données de production et d’activité, et documents qui y sont rattachés.

Ces données contiennent fréquemment des données à caractère personnel relatives aux salariés, candidats, prestataires, clients et contreparties du client. Nous n’exigeons ni ne demandons de catégories particulières de données. Si un client choisit de connecter une source en contenant, il lui appartient de disposer d’une base légale et de respecter les conditions supplémentaires exigées par la loi.

Nous n’utilisons pas les données des clients pour entraîner des modèles. L’IA raisonne sur les données propres d’un client pour répondre aux questions de ce client. Les faits vivent dans la couche de données déterministe, non dans les poids d’un modèle, et les réponses sont traçables jusqu’aux données dont elles sont tirées. Les données d’un client ne servent jamais à en servir un autre.

4. Stockage et chiffrement

Les données des clients sont chiffrées en transit, au moyen de TLS dans une version actuelle, et au repos dans la couche de stockage. Les sauvegardes sont chiffrées dans les mêmes conditions que le stockage principal.

Les données de chaque client sont conservées dans un espace de travail logiquement séparé, de sorte qu’une requête ne peut atteindre que les données appartenant à l’espace depuis lequel elle a été formulée. Les identifiants et secrets servant à connecter les sources d’un client sont stockés séparément des données elles-mêmes et ne sont pas exposés dans l’interface.

5. Contrôles d'accès

Au sein de l’organisation cliente, les accès sont fins et accordés par le client : par personne, par équipe et par direction. Un administrateur décide quelles données et quelles parties de la mémoire organisationnelle chaque personne peut atteindre, et l’IA ne répond qu’à partir des données que la personne qui interroge est habilitée à voir. Les droits d’accès peuvent être modifiés ou retirés à tout moment par le client.

Au sein de notre organisation, l’accès aux environnements clients est réservé au personnel qui en a besoin pour une finalité définie, telle que le traitement d’une demande de support ou l’investigation d’un incident. L’accès est authentifié individuellement, accordé selon le principe du moindre privilège, journalisé, et retiré lorsque son motif cesse ou lorsque la personne quitte ses fonctions. Notre personnel est tenu à des obligations de confidentialité.

6. Conservation et suppression

Nous conservons les données des clients aussi longtemps que le client l’instruit, ce qui correspond normalement à la durée du contrat. Les clients peuvent supprimer des données de leur espace de travail pendant la durée du contrat.

À la fin du contrat, les données du client sont restituées ou supprimées dans le délai prévu au contrat. Le client peut exporter ses données pendant ce délai. Passé celui-ci, les données sont supprimées des systèmes actifs, et les sauvegardes chiffrées s’effacent au rythme ordinaire du cycle de sauvegarde, sauf lorsque la loi nous impose de conserver un élément plus longtemps, auquel cas nous ne gardons que ce qu’elle exige et à aucune autre fin.

7. Transferts internationaux

Nous sommes établis en France, au sein de l’Espace économique européen : les données à caractère personnel provenant de l’EEE n’en sortent donc pas de notre fait. Lorsque des données provenant de l’EEE ou du Royaume-Uni sont transférées à un prestataire établi hors de ces zones, nous nous appuyons sur des garanties appropriées au titre du chapitre V du RGPD, en particulier les clauses contractuelles types de la Commission européenne, dans les modules correspondant aux rôles des parties.

Ces garanties sont soutenues par les mesures techniques et organisationnelles décrites sur la présente page : chiffrement en transit et au repos, accès au moindre privilège, journalisation, et limitations contractuelles des finalités d’utilisation des données. Les clients peuvent demander une copie du mécanisme de transfert applicable à leur contrat.

8. Notification des violations

Nous notifions les clients concernés sans retard injustifié après avoir pris connaissance d’une violation de données à caractère personnel affectant des données que nous traitons pour leur compte. La notification décrit ce que nous savons de la nature de la violation, les catégories et le volume approximatif des données et des personnes concernées, les conséquences probables, et les mesures prises ou proposées pour y remédier et en atténuer les effets.

Nous fournissons les informations et l’assistance dont un client a raisonnablement besoin pour satisfaire à ses propres obligations envers une autorité de contrôle et envers les personnes concernées. En qualité de sous-traitant, nous ne notifions ni les autorités de contrôle ni les personnes concernées pour le compte d’un client, sauf stipulation contraire du contrat. Lorsqu’une violation affecte des données dont nous sommes le responsable du traitement, nous assurons nous-mêmes les notifications exigées par la loi.

Pour signaler une vulnérabilité ou un incident suspecté, écrivez à info@lensx.tech.

9. Sous-traitance ultérieure

Nous recourons à un petit nombre de prestataires pour héberger et sécuriser l’infrastructure, pour fournir la capacité de modèle d’IA avec laquelle la plateforme raisonne, et pour soutenir nos propres opérations. Chacun est engagé par un contrat écrit imposant des obligations de protection des données au moins aussi protectrices que celles que nous devons à nos clients : traitement sur instructions seulement, confidentialité, mesures de sécurité, restrictions de transfert ultérieur, et suppression ou restitution à la fin de la prestation.

Nous demeurons responsables envers le client de la prestation de tout prestataire auquel nous recourons. Les clients sont informés des prestataires utilisés dans leur déploiement, et de tout changement envisagé, selon les termes de leur contrat, où figurent la liste à jour et la procédure d’opposition. Les prestataires agissant pour notre compte ne sont pas autorisés à utiliser les données des clients à leurs propres fins, y compris pour l’entraînement de modèles.

10. Contact

Pour une revue de sécurité, un questionnaire de diligence raisonnable, ou une question sur la présente page :

• Par courriel : info@lensx.tech
• Par courrier : Gruther, 19 boulevard Malesherbes, 75008 Paris, France

Notre posture de sécurité plus large est décrite sur la page Sécurité.