DIRI AI / Centre de confiance
Des faits sur la sécurité et les données, pas des promesses.
Cette page résume ce que disent nos documents publiés sur la protection de vos données. Chaque bloc indique son document source.
Synthèse des documents publiés version 1.2.0, en vigueur depuis le . En cas de différence, ce sont les documents et votre contrat qui s’appliquent.
Ce que nous ne revendiquons pas
- Aucune certification ISO 27001, SOC 2 ou PCI DSS pour DIRI AI. Les certifications détenues par nos prestataires ne sont pas des certifications de DIRI AI.
- Aucune revendication de couverture par des tests d’intrusion.
- Aucun SLA de disponibilité en pourcentage dans les offres standard, ni délai de reprise (RTO) ni point de reprise (RPO) promis.
- Aucun programme public de prime aux bogues.
- Cette page n’est pas un contrat et n’étend aucun accord.
Protection des données
- Le trafic vers les services pris en charge est chiffré en transit avec TLS.
- Les prestataires gérés chiffrent les données stockées au repos avec leurs contrôles standard.
- Les données de carte sont saisies auprès du prestataire de paiement, DIRI AI n’a donc pas besoin du numéro complet de la carte.
- Le stockage des enregistrements vocaux est désactivé par défaut.
- La télémétrie des erreurs est assainie, et le contenu des clients est tenu à l’écart des journaux courants dans la mesure du possible.
Accès et séparation entre entreprises
- Chaque utilisateur a sa propre identité, et les cookies de session de production sont protégés.
- Les autorisations sont vérifiées sur le serveur, par rôle et par compte d’entreprise.
- Les administrateurs de l’entreprise gèrent les invitations et les rôles. Le retrait des membres est en cours de déploiement progressif ; aucune date n’est promise.
- Des limites de fréquence et des contrôles anti-abus sont en place.
- Les événements d’administration et d’abonnement pertinents pour la sécurité sont consignés dans un journal d’audit.
Modifications et exploitation
- Les modifications passent par une revue, des tests automatisés et des contrôles des dépendances et des secrets.
- Les rappels des prestataires sont signés et vérifiés.
- Les erreurs et l’exploitation sont surveillées, et les incidents présumés sont traités selon la politique d’incident publiée.
- L’hébergement, la base de données, le cache et le stockage fonctionnent chez des prestataires gérés ; la sauvegarde et la restauration sont testées.
IA et minimisation des données
- Les prestataires d’IA ne reçoivent que les données nécessaires à la fonction que vous demandez, comme un appel d’entraînement, la transcription ou le rapport.
- Le retour généré par l’IA soutient l’entraînement et le coaching. Il ne devrait pas être l’unique fondement de l’évaluation d’un salarié.
Données personnelles (RGPD)
Qui est responsable de vos données : l’exploitant de DIRI AI est identifié dans les Mentions légales. La façon dont nous utilisons les données et nos bases juridiques figurent dans la Politique de confidentialité.
Catégories de données, dans les grandes lignes
- Données du compte et de l’organisation
- Contenu d’entraînement : transcriptions, scores et rapports
- Enregistrements d’abonnement et de facturation
- Données d’usage, d’appareil, de réseau et de sécurité
Vos droits
- Accès à vos données et copie de celles-ci
- Rectification, effacement ou limitation
- Portabilité et opposition
- Retrait du consentement à tout moment
Envoyez vos demandes à privacy@diriai.com. Nous répondons normalement dans un délai d’un mois. Vous pouvez aussi introduire une réclamation auprès d’une autorité de contrôle.
L’emplacement des prestataires dépend du service, de l’emplacement du client et du contrat avec le prestataire. Lorsque les restrictions de transfert du RGPD s’appliquent, une décision d’adéquation, les clauses contractuelles types ou une autre mesure de protection licite sont utilisées. Les documents publiés ne fixent pas une seule région d’hébergement, aucune n’est donc indiquée ici.
L’IA et le règlement européen sur l’IA
- Le client simulé est toujours présenté comme une IA, au plus tard lors de la première interaction directe.
- DIRI AI est un outil d’entraînement et de coaching. Les scores et les rapports sont des aides de coaching.
- Les scores ne doivent pas être l’unique fondement d’une embauche, d’un licenciement, d’une sanction, d’une rémunération, d’une promotion ou d’une décision similaire concernant un salarié. L’organisation garde une personne qualifiée aux commandes.
- DIRI AI ne propose ni reconnaissance des émotions, ni identification biométrique, ni comparaison d’empreintes vocales, ni déduction de caractéristiques protégées.
Qui peut voir quoi
| Rôle | Accès |
|---|---|
| Commercial | Ses propres séances d’entraînement, transcriptions et rapports. |
| Responsable d’équipe | Toutes les séances d’entraînement, transcriptions et rapports de son entreprise, sauf les séances privées d’un fondateur antérieures à la transformation de l’espace de travail en équipe. |
| Administrateur de l’entreprise | Le même accès aux séances qu’un responsable d’équipe, plus les utilisateurs, équipes, rôles, scénarios et paramètres de l’entreprise. |
| Coach externe | Un membre d’une entreprise sans droits d’administration ; il ne voit que ses propres séances d’entraînement. |
| Administrateur de la plateforme DIRI AI | Les séances d’entraînement de toutes les entreprises, pour le support et l’exploitation de la plateforme ; les actions pertinentes pour la sécurité sont consignées dans le journal d’audit. |
Les rôles d’une entreprise ne peuvent pas voir les données d’entraînement d’une autre entreprise. Les administrateurs de la plateforme DIRI AI (personnel habilité) peuvent accéder à toutes les entreprises pour le support et l’exploitation. Si vous activez un pseudo public de compétition, ce profil est visible des utilisateurs connectés d’autres entreprises.
Combien de temps nous conservons les données
Durées maximales par défaut issues de la politique de conservation des données. Ce sont des plafonds ; les données éligibles peuvent être supprimées plus tôt.
| Données | Maximum par défaut |
|---|---|
| Transcriptions, scores et rapports d’entraînement | Jusqu’à 365 jours ; une entreprise peut choisir une durée plus courte prise en charge. |
| Enregistrements vocaux stockés | Désactivé par défaut ; s’il est expressément activé, jusqu’à 30 jours. |
| Archive d’export relatif à la vie privée | Normalement 24 heures après sa mise à disposition. |
| Journal d’audit de sécurité et d’administration | Normalement 12 mois. |
| Session du navigateur | Jusqu’à 8 heures. |
| Compte après sa clôture | Suppression des systèmes actifs visée 30 jours après la clôture et la fenêtre d’export, hormis les enregistrements que la loi nous impose de conserver. |
Les contrôles dont vous disposez
- Télécharger une copie de vos données depuis votre compte. Le lien d’export expire.
- Demander la suppression de votre compte. Chaque demande est examinée quant à l’identité, au blocage légal et à la conservation avant l’effacement.
- Afficher un pseudo anonyme à la place de votre nom dans les comparaisons d’équipe.
- Les administrateurs de l’entreprise peuvent définir la durée de conservation des données d’entraînement.
Prestataires que nous utilisons
Noms des prestataires issus de la Liste des sous-traitants ultérieurs publiée. Leurs finalités et les catégories de données figurent dans la liste liée.
- Vercel
- Render
- Neon
- Upstash
- Cloudflare
- Resend
- Google Workspace
- Google Analytics 4
- Stripe
- Sentry
- OpenAI
- ElevenLabs
- GitHub
État du service
La page d’état vérifie l’état de l’API, sa disponibilité et celle de l’inscription lorsque vous l’ouvrez.
Ouvrir la page d’étatSignaler une vulnérabilité
Envoyez le chemin concerné, les étapes pour la reproduire et l’impact. N’accédez pas aux données d’autres clients et ne perturbez pas le service.
- Signalements de sécurité
- security@diriai.com
- Incidents de vie privée
- privacy@diriai.com
Documents publiés
Les documents sont publiés en anglais et en tchèque.