Sécurité et données
Vous nous confiez vos accès. Voici ce qu’on en fait.
Qui manipule vos données, où elles sont stockées, combien de temps, et ce que vous pouvez exiger de nous. Une page écrite pour être lue par votre DSI, votre RSSI ou votre DPO.
Qui vous parle
Des certifications dites exactement.
Vincent Karpati, fondateur de Nexila. Vingt-trois ans de communication, et depuis 2025 un parcours de certification en sécurité de l’information mené chez Certi-Trust : examens ISO/IEC 27001 Foundation, ISO/IEC 27001 Auditor et HDS Foundation validés en 2025, évaluation terrain au grade Lead Auditor en janvier 2026.
Ces titres servent d’abord à sécuriser nos propres livraisons. Ils fondent aussi une activité distincte : préparer d’autres organisations à leur propre certification.
Ces certifications sont personnelles. Elles attestent que la personne qui conçoit vos agents et manipule vos accès sait auditer un système de management de la sécurité de l’information. Elles ne font pas de Nexila une organisation certifiée ISO 27001, et elles ne rendent pas nos agents IA « certifiés » : la norme certifie un système de management, jamais un logiciel ni un produit.
Sur chaque mission. Sans exception.
Une méthode alignée sur l’ISO/IEC 27001:2022, appliquée à l’échelle d’une petite structure : ce qui est utile est fait, ce qui ne l’est pas n’est pas mimé.
01 · risques
Analyse avant de commencer.
Quelles données entrent dans le projet, qui y accède, ce qui se passe si elles fuitent. Une page, écrite, annexée au devis.
02 · accès
Moindre privilège.
Le rôle le plus faible qui permet de travailler, jamais un compte administrateur « pour aller plus vite ».
03 · identité
Comptes nominatifs.
Double authentification sur tous les outils qui la proposent. Aucun mot de passe partagé par e-mail ou par message.
04 · cloisonnement
Un espace par client.
Pas de dossier commun, pas de fichier qui traîne d’une mission à l’autre.
05 · revue
Accès retirés sous 5 jours.
Revue des accès à chaque fin de phase, et retrait dans les 5 jours ouvrés qui suivent la fin de la mission.
06 · traces
Actions journalisées.
Les actions faites sur vos comptes sont tracées et restituables sur demande.
Agents IA : des règles écrites.
Nos engagements sont écrits dans le devis, pas seulement sur cette page.
Vos données n’entraînent aucun modèle.
Les contenus que traite votre agent ne servent pas à entraîner un modèle, ni le nôtre ni celui d’un fournisseur. Nous choisissons des offres qui l’excluent contractuellement, et nous vous nommons le fournisseur retenu.
Un périmètre écrit, et un agent qui s’y tient.
Ce que l’agent a le droit de lire, de dire et de déclencher est défini avant la mise en production. Hors de ce périmètre, il passe la main à un humain plutôt que d’improviser.
Pas de donnée sensible sans décision explicite.
Données de santé, données bancaires, données de mineurs : rien n’entre dans un agent sans un arbitrage écrit avec vous, et l’hébergement adapté quand la loi l’impose.
Conversations tracées et effaçables.
Vous décidez de la durée de conservation des échanges. Par défaut, nous proposons 12 mois pour pouvoir corriger l’agent, et la purge est automatique.
Où vont vos données.
- Hébergement dans l’Union européenne pour tout ce que nous maîtrisons. Un transfert hors UE vous est annoncé avant d’être mis en place.
- Sous-traitants nommés : la liste des services tiers utilisés sur votre projet vous est remise, avec leur rôle.
- Données de santé : hébergement certifié HDS, traité au démarrage du projet.
- Réversibilité : vos contenus, automatisations et accès récupérables à tout moment, dans un format exploitable.
- Suppression en fin de relation : sur demande écrite, effacement sous 30 jours, attestation à l’appui.
J+0accès demandé · compte publicitaire du client
J+0droits limités · lecture et publication
J+0double authentification activée
J+90fin de mission · accès retirés sous 5 jours ouvrés
RGPD et incidents.
Sur la plupart des missions, Nexila agit comme sous-traitant au sens de l’article 28 du RGPD : vous restez responsable de traitement. Un contrat de sous-traitance est signé avant le début des travaux.
Vos droits, côté clients finaux.
Accès, rectification, suppression, portabilité : nous vous fournissons ce qu’il faut pour y répondre dans les délais légaux.
Incident : prévenu sous 24 h.
Avec ce que nous savons, ce que nous ignorons encore, et ce que nous faisons. Vous gardez la main sur la notification à la CNIL.
Un contact unique.
Une adresse, une personne, une réponse : écrivez à contact@nexila.fr avec la mention « sécurité ».
Un questionnaire sécurité à nous faire remplir ?
Beaucoup de PME industrielles et d’établissements de santé en envoient un avant de signer. Envoyez-nous le vôtre : nous le remplissons, et nous vous disons franchement les lignes où nous ne cochons pas la case.