Données et confidentialité

Présentation#

SpineOS héberge sa plateforme sur une infrastructure dédiée en France, chiffre les informations sensibles au repos et en transit, et isole chaque bureau dans sa propre machine virtuelle.

Où sont stockées vos données#

La plateforme SpineOS fonctionne sur des serveurs dédiés situés en France (UE) : vos enregistrements en base de données et vos sauvegardes y restent. Pendant la phase actuelle de test de la plateforme, certains bureaux — et donc les fichiers qu'ils contiennent — peuvent être exécutés sur un serveur d'essai OVHcloud situé en Australie ; les conditions de ce transfert sont décrites à la section 6 de la Politique de confidentialité. Ce serveur a vocation à être retiré. Vos données restent soumises aux lois européennes de protection des données, y compris le RGPD.

Nous n'utilisons pas de cloud providers partagés pour le calcul. Chaque VM de bureau tourne sur notre propre matériel -- pas sur AWS, GCP ou Azure.

Ce qui est chiffré#

Clés API et configuration du fournisseur#

Lorsque vous ajoutez votre clé API de fournisseur IA (Anthropic, OpenAI ou OpenRouter), elle est chiffrée au repos dans notre base de données avant d'être transmise à votre VM. La clé n'est déchiffrée qu'au démarrage du bureau, quand il doit se connecter à votre fournisseur.

Cookies#

Tous les cookies d'authentification utilisent le préfixe __Secure- ou __Host-, sont marqués httpOnly et secure, et utilisent sameSite=lax. Ils ne sont donc transmis que via HTTPS, ne peuvent pas être lus par JavaScript, et sont protégés contre le cross-site request forgery.

Données en transit#

Toutes les connexions entre votre navigateur et SpineOS utilisent HTTPS (TLS). Les connexions WebSocket pour le terminal et le VNC sont également chiffrées. Il n'y a aucun endpoint non chiffré.

Isolation des VM#

Chaque bureau est une machine virtuelle séparée avec son propre CPU, sa propre RAM, un disque virtuel dédié et une interface réseau isolée. Les VM ne peuvent pas communiquer entre elles.

Il ne s'agit pas d'isolation au niveau conteneur. Chaque bureau est une machine virtuelle complète avec son propre kernel, les utilisateurs sont donc séparés au niveau matériel.

Ce à quoi nous n'accédons pas#

• Aucun membre de notre équipe ne lit vos fichiers ni ne regarde votre bureau pendant que vous travaillez.
• Nous n'utilisons pas vos données pour entraîner des modèles IA, et nous ne les vendons pas.
• Nous ne partageons vos données qu'avec les sous-traitants listés dans notre Politique de confidentialité, et seulement dans la mesure nécessaire à chacun.

Vos conversations avec un agent sont conservées, parce que la plateforme doit garder votre historique pour que vous puissiez y revenir. Le raisonnement du modèle et les arguments passés à ses outils le sont également. Ce que nous collectons, pourquoi, qui le reçoit et combien de temps c'est conservé est détaillé dans notre Politique de confidentialité.

Suppression des données#

Vous pouvez supprimer n'importe quel bureau à tout moment depuis votre tableau de bord. Cela supprime définitivement la VM et toutes les données associées. Si vous souhaitez supprimer votre compte entier et toutes les données associées, contactez-nous à contact@spinestudio.dev. Consultez notre politique RGPD pour les détails sur vos droits concernant vos données.