Nous avons terminé notre audit RGPD. Voici ce que nous avons réellement clôturé.
Il y a quelques semaines, nous écrivions que « conforme RGPD » sur la page d'accueil d'un outil de visioconférence signifie moins que vous ne le pensez — que le RGPD est un ensemble d'obligations qui pèsent sur vous, le responsable de traitement, qu'un fournisseur vous aide à respecter ou qu'il laisse discrètement à votre charge. La façon honnête de défendre cette affirmation, c'est de faire le travail de notre côté et de le montrer, ligne par ligne.
C'est donc ce que nous avons fait. Nous avons mené un audit complet de la base de code InterMIND face aux obligations qui nous incombent en tant que sous-traitant, corrigé chaque manquement appuyé par du code, et vérifié chacun d'eux face au produit en fonctionnement. Cet article est le rapport de clôture — pas un badge, une checklist avec nos réponses.
Nous nous gardons délibérément de revendiquer une « certification RGPD à 100 % ». Le RGPD n'est pas un certificat que l'on obtient — et nous n'agiterons pas un badge ISO que nous ne détenons pas encore. Ce que nous pouvons dire : les obligations architecturales et procédurales sur lesquelles travaille un DPO ont désormais des réponses concrètes et vérifiables, chacune confrontée au code en fonctionnement.
Ce que nous avons clôturé
Droit à l'effacement (art. 17) — la cascade s'exécute réellement
Supprimer votre compte ne se contente pas de le désactiver. POST /api/user/delete-account exécute une véritable cascade : elle efface vos réunions → participants, messages, conférences, transcriptions ; elle évacue vos blobs de stockage de Tigris avant la cascade en base de données afin que rien ne reste orphelin — pièces jointes de chat et fichiers d'enregistrement vidéo, dans les deux colonnes ; et elle annule vos abonnements Stripe et supprime le client Stripe. La suppression à la demande est également présente — retirez un canal ou un message depuis l'interface et il disparaît. Les comptes anonymes (invités) disposent de leur propre endpoint de suppression, complété par un balayage de fond toutes les 6 heures, sous un cron supervisé. L'audit a fait apparaître un manque sur ce point — des blobs d'enregistrement que la cascade en base de données supprimait mais que le stockage conservait — et nous l'avons corrigé : l'effacement ne laisse désormais plus rien derrière lui dans le stockage objet.
Conservation (art. 5(1)(e)) — un critère documenté
L'art. 5(1)(e) n'exige pas une durée de vie automatique. Il exige un critère de conservation défini. Le nôtre est désormais inscrit dans la Politique de confidentialité : les données sont conservées jusqu'à ce que vous ou le propriétaire de votre équipe les supprimiez, et la suppression de votre compte efface tout. C'est le même modèle que celui sur lequel reposent des outils de collaboration comme Slack et Notion — la persistance est le comportement attendu, et vous en gardez la maîtrise. Le critère est énoncé, pas sous-entendu.
Consentement aux analytics (art. 6/7) — opt-out par défaut
Une bannière de consentement Usercentrics (affichée aux visiteurs de l'UE) conditionne les analytics, et PostHog est livré avec opt_out_capturing_by_default: true — rien n'est capturé tant que le consentement n'est pas donné, et non l'inverse.
Portabilité des données (art. 20) — un véritable export
GET /api/user/export constitue un ZIP de vos réunions, messages, enregistrements et traductions, avec une fenêtre de téléchargement de 7 jours et un nettoyage automatique. L'accès, la suppression et la portabilité sont des outils qui fonctionnent, pas des promesses dans une politique.
Aucun contenu de réunion n'atteint un modèle domicilié aux États-Unis
Le plus grand flux de contenu de réunion — la traduction vocale et de chat en temps réel — s'exécute sur notre propre moteur en France, jamais sur un LLM tiers. Les étapes IA post-réunion qui utilisent un modèle généraliste (le digest, les actions génératives de l'éditeur de notes) s'exécutent sur Mistral hébergé dans l'UE avec zero-data-retention, épinglé suffisamment fermement pour que la requête échoue plutôt que de basculer vers un hôte non-ZDR ou américain. Nous avons aussi nettoyé les noms des participants et le texte des prises de parole des logs du navigateur de conférence que le session-recording de PostHog aurait pu capturer. La carte complète, fournisseur par fournisseur, se trouve dans Où s'exécute réellement une réunion InterMIND.
Transparence — sous-traitants et registre de traitements, publiés
La liste des sous-traitants est en ligne, avec ce que fait chaque fournisseur et où il est domicilié — pas « disponible sur demande ». Derrière, un Registre des activités de traitement (ROPA) construit à partir du schéma vivant : 11 opérations de traitement, les mesures de sécurité associées à chacune, ainsi que les voies d'effacement et de portabilité. Notre Politique de confidentialité et nos Conditions d'utilisation sont désormais publiées sous notre propre entité juridique, avec la chaîne de traitement réelle décrite.
Exécution dans l'UE — épinglée, pas promise
Chaque étape d'exécution d'une réunion se déroule dans l'UE : l'application et les APIs sur Vercel Francfort, le serveur de réunion sur Fly Paris, les données applicatives dans Neon Postgres (AWS Francfort), les erreurs sur Sentry EU, les analytics sur PostHog EU, les e-mails via Resend Irlande. Le stockage objet sur Tigris est désormais épinglé sur des régions de l'UE (Francfort + Amsterdam) — chaque nouvelle écriture atterrit dans l'UE quelle que soit la localisation de l'utilisateur. L'architecture complète figure sur notre page sécurité.
Pourquoi cela compte pour vos achats
Pour la plupart des acheteurs européens — Mittelstand allemand, équipes régulées exécutant des DPA RGPD standard — la question de la résidence des données a désormais une réponse directe : les données ne quittent pas l'UE à l'exécution, l'effacement fonctionne, le critère de conservation est énoncé, et la liste des sous-traitants est sur la table. C'est une conversation bien plus courte que « laissez-nous revenir vers vous sur l'endroit où vont les données ».
Pour la souveraineté numérique à la française et les achats au niveau SecNumCloud, le domicile social du fournisseur est en lui-même un critère — une conversation plus approfondie sur la topologie de déploiement que nous mènerons honnêtement plutôt que de la survendre. Et la seule chose que nous ne ferons pas, c'est agiter un certificat ISO que nous ne détenons pas encore : les certifications sont sur la feuille de route, mais notre réponse à la checklist est architecturale et vérifiable dès aujourd'hui.
Constatez-le par vous-même
- Visioconférence conforme RGPD : la checklist complète du DPO — les sept points à faire trancher par tout fournisseur, et où se situe Zoom.
- Où s'exécute réellement une réunion InterMIND — la carte des fournisseurs, avec les manques nommés.
- Sécurité & Confidentialité · Sous-traitants · Politique de confidentialité · Conditions d'utilisation
/demo— exécutez le pipeline multilingue en direct, sur runtime UE, à partir de votre propre audio.
La conformité RGPD n'est pas un badge qui s'achète — c'est un travail que l'on fait et que l'on peut montrer. Voici le nôtre, ligne par ligne. Si votre DPO a besoin d'une réponse que cet article ne donne pas, écrivez-nous.
— The Mind.com Team