La confiance ne se fait pas confiance sur parole.
Prouvio héberge vos données en Europe, applique les exigences du RGPD et du RNQ Qualiopi, et publie ouvertement la liste de ses sous-traitants. Voici ce qui se passe sous le capot.
Hébergement
Union Européenne
Conformité
RGPD + RNQ V9
Chiffrement
TLS 1.3 + AES-256
DPA
Disponible sur demande
Hébergement et localisation des données
Toutes les données clients sont hébergées dans l'Union Européenne, sur l'infrastructure Supabase région Francfort (Allemagne). Aucun transfert hors UE n'a lieu sans clauses contractuelles types validées par la Commission européenne. Les sauvegardes quotidiennes sont également stockées dans la même zone géographique.
Sous-traitants ultérieurs
Prouvio s'appuie sur les fournisseurs suivants pour opérer la plateforme. Chacun est lié par un DPA et opère depuis l'UE ou via les clauses contractuelles types validées par la Commission européenne.
| Sous-traitant | Finalité | Localisation | DPA |
|---|---|---|---|
| Supabase | Base de données PostgreSQL, authentification, stockage, edge functions | Union Européenne (Francfort) | supabase.com/legal/dpa |
| Stripe | Traitement des paiements, facturation, abonnements | Irlande (UE) | stripe.com/legal/dpa |
| Brevo | Envoi d'emails transactionnels et SMS | France | brevo.com/legal/dpa |
| FloSign | Signature électronique des conventions et contrats (eIDAS) | France | flosign.com/legal/dpa |
| Mistral AI | Traitements IA : audit gratuit des programmes, analyse des besoins, extraction et vérification de documents (Kbis, RIB, conventions, CV), contenus pédagogiques, assistant et recherche dans l'aide | Union européenne (France) | legal.mistral.ai/terms/data-processing-addendum |
| Google Cloud (Gemini API) | Génération d'images (logos, couvertures, illustrations), extraction de documents DOCX, assistant de construction du site vitrine | États-Unis (décision d'adéquation UE, Data Privacy Framework) | cloud.google.com/terms/data-processing-addendum |
Contrôles de sécurité
Chiffrement
TLS 1.3 en transit. AES-256 au repos sur le stockage et les sauvegardes.
Authentification
TOTP optionnel pour les administrateurs. Session JWT à durée limitée. Rotation des clés API.
Isolation des tenants
Row-Level Security PostgreSQL sur chaque table métier. Aucune donnée cross-organisation possible.
Journal d'audit
Toutes les actions sensibles (signature, suppression, export) sont horodatées et conservées 12 mois.
Durées de conservation
Chaque catégorie de donnée est conservée le temps strictement nécessaire à sa finalité, conformément au RGPD et aux obligations spécifiques aux organismes de formation.
| Catégorie | Durée | Base |
|---|---|---|
| Données pédagogiques (programmes, sessions, émargements) | 5 ans après la fin de session | RNQ Qualiopi V9 + obligation légale OF |
| Conventions et contrats signés | 10 ans après expiration | Code de commerce — pièces comptables |
| Factures et pièces comptables | 10 ans | Code de commerce |
| Données apprenants (compte, profil) | Pendant la durée du contrat + 3 ans | RGPD — durée nécessaire à la finalité |
| Données d'audit (snapshots conformité) | 5 ans | RNQ Qualiopi V9 — preuves d'audit |
| Logs techniques | 12 mois | Sécurité et débogage |
Traitements par intelligence artificielle
Prouvio confie ses traitements par intelligence artificielle à Mistral AI (établi en France, hébergement dans l'Union européenne) : audit gratuit des programmes, analyse des besoins, extraction et vérification de documents (Kbis, RIB, conventions, CV formateurs), génération de contenus pédagogiques, assistant. Google Gemini n'intervient plus que pour la génération d'images, l'extraction de documents DOCX et l'assistant de construction du site vitrine. Les règles ci-dessous s'appliquent à tous ces traitements.
- Aucune donnée d'apprenant identifiable n'est envoyée dans un prompt IA.
- Les documents analysés sont chiffrés en transit et supprimés des journaux du fournisseur sous 30 jours.
- Les sorties IA ne sont jamais utilisées comme preuve d'audit sans validation humaine.
- Vous pouvez désactiver toutes les fonctionnalités IA depuis les paramètres de votre organisation.
Vos droits sur vos données
Accès, rectification, portabilité, effacement, opposition, limitation. Vous pouvez exercer chacun de ces droits depuis l'espace dédié, ou en contactant directement notre DPO.
Pour toute demande de DPA, d'export ou d'effacement de données, écrivez à rgpd@prouvio.fr. Réponse sous 30 jours conformément au RGPD.