Pour les DSI, RSSI et DPO

Nos engagements techniques,
écrits noir sur blanc.

Ce que nous faisons de vos données, où elles vont, qui y accède et ce qui vous reste si vous partez. Vous pouvez les reprendre tels quels dans votre questionnaire fournisseur ; nous y répondons par écrit.

1Hébergement

  • Union européenne par défaut : n8n auto-hébergé sur votre serveur (OVHcloud, Scaleway, Hetzner…) ou sur un cloud UE.
  • Bases de données en région européenne (Supabase Francfort ou Paris, Xano EU).
  • Aucune donnée client sur un serveur hors UE sans votre accord écrit.

2Fournisseurs d'IA

  • Accès par API (Anthropic, OpenAI, Mistral), dans des conditions qui excluent l'entraînement des modèles sur vos données.
  • Le fournisseur, la région et le modèle sont choisis avec vous et écrits dans la documentation livrée.
  • Mistral ou un modèle hébergé en UE quand la sensibilité l'exige. Jamais d'outil grand public avec vos données.

3Ce qui est envoyé au modèle

  • Le minimum nécessaire à la tâche : les champs, pas le dossier entier.
  • Pseudonymisation quand c'est possible (noms, e-mails, identifiants remplacés avant envoi).
  • La liste exacte des données envoyées, par flux, fait partie de la livraison.

4Accès et secrets

  • Les comptes et abonnements sont ouverts au nom de votre entreprise, pas de la nôtre.
  • Nous intervenons avec un accès nominatif, au moindre privilège, révocable à tout moment.
  • Clés API et mots de passe dans un coffre (variables d'environnement chiffrées), jamais dans le code ni dans un e-mail.

5Validation humaine et journal

  • Chaque action d'un agent est tracée : quoi, quand, sur quelles données, avec quel résultat.
  • Validation humaine avant tout envoi externe ou écriture comptable, au moins le premier mois ; ensuite, c'est vous qui décidez.
  • Un seuil d'alerte par flux : au-delà, l'automatisation s'arrête et prévient.

6Réversibilité

  • Le code, les workflows n8n, les prompts et la documentation vous appartiennent, dès le paiement.
  • Pas d'abonnement imposé ; n8n est open source et tourne sans nous.
  • Export complet et passation à l'équipe ou au prestataire de votre choix, inclus.

7RGPD

  • Nous agissons comme sous-traitant au sens de l'article 28 ; contrat de sous-traitance (DPA) fourni sur demande.
  • Registre des traitements et liste des sous-traitants ultérieurs (hébergeur, fournisseur d'IA) livrés avec le projet.
  • Données de test supprimées à la fin de la mission, avec confirmation écrite.

8Ce que nous ne sommes pas

  • Pas certifiés ISO 27001 ni HDS : si votre cahier des charges l'exige, nous le disons au premier appel.
  • Pas de données de santé sans un hébergeur certifié HDS côté client.
  • Pas d'envoi automatique vers une administration, un client ou une banque sans validation humaine configurée avec vous.
  • Pas d'accès permanent à vos systèmes après livraison, sauf contrat de maintenance signé.

Pouvez-vous remplir notre questionnaire sécurité fournisseur ?

Oui. Envoyez-le avec votre demande de contact, nous y répondons par écrit, point par point, avant tout devis. Les réponses reprennent les engagements de cette page et précisent ce qui dépend de votre configuration.

Où tourne exactement n8n ?

Au choix : sur un serveur que vous administrez (nous installons et documentons), sur un serveur UE que nous administrons pour vous, ou sur n8n Cloud en région européenne. Pour un flux qui touche des données personnelles, nous recommandons les deux premières options.

Que se passe-t-il si nous arrêtons de travailler ensemble ?

Vous gardez tout : code, workflows, prompts, documentation, comptes. Nous retirons nos accès, nous supprimons les données de test et nous le confirmons par écrit. Un autre prestataire peut reprendre à partir de la documentation.

Qui, chez App Studio, accède à nos données ?

Théo, le fondateur, qui cadre et construit. Pas de sous-traitance de développement. Si un renfort intervient, vous en êtes informé avant et il est soumis aux mêmes règles d'accès nominatif.

Une question que cette page ne couvre pas ?

Écrivez-la dans le formulaire de contact ou envoyez votre questionnaire. Théo vous répond par écrit sous un jour ouvré, et ces engagements sont repris dans chaque devis.

Parler à Théo →

Page mise à jour en octobre 2026. Si un engagement change, cette page change d'abord.