IA conforme RGPD.
Pourquoi la plupart des outils ne le sont pas, et comment Namulai s'y prend.
La conformité RGPD n'est pas un badge qu'un fournisseur d'IA s'attribue. C'est un ensemble d'obligations au titre du Règlement (UE) 2016/679 portant sur la base légale, la minimisation des données, la conservation, la transparence et les droits de la personne concernée. La plupart des outils IA généralistes ont été bâtis avant que ces obligations soient prises au sérieux. Namulai a été bâti après. Cette page expose, simplement, ce que nous faisons, ce que nous déléguons aux sous-traitants, et où se situent réellement les frontières.
Ce que le RGPD exige réellement d'un outil IA
Le Règlement (UE) 2016/679 n'est pas une checklist de mots-clés. Il exige une base légale au traitement (art. 6), la limitation des finalités (art. 5.1.b), la minimisation des données (art. 5.1.c), la limitation de la conservation (art. 5.1.e), et une chaîne d'imputabilité claire entre responsables et sous-traitants (art. 24 à 28).
Pour un assistant IA en particulier, cela se traduit par des questions concrètes. Pourquoi le prompt est-il stocké. Pour combien de temps. Sert-il à réentraîner un modèle, et sur quelle base. Qui sont les sous-traitants, où sont-ils localisés, et existe-t-il un mécanisme de transfert pour le trafic qui sort de l'EEE. Ce sont les questions qu'un DPO compétent pose avant de valider un outil, et ce sont les bonnes.
Là où la plupart des outils IA majeurs sont en deçà
Les manques se regroupent. Les paliers gratuits grand public utilisent souvent les prompts pour l'amélioration des modèles par défaut, avec un opt-out enfoui dans les paramètres. Les addenda standards de traitement des données sont absents ou réservés aux plans entreprise. Les listes de sous-traitants sont vagues ou non publiées. Les fenêtres de conservation sont décrites dans la copie marketing plutôt que dans le contrat.
Rien de tout cela ne rend les outils intrinsèquement illicites, mais cela transfère la charge de conformité sur le client. Un consultant solo ou un studio de cinq personnes aura rarement le temps ou le levier de négocier autrement. Le résultat, c'est une dérive silencieuse de données clients vers des systèmes dont la base légale n'a jamais été correctement établie.
Comment Namulai s'y prend
Namulai agit comme responsable de traitement pour les données de compte et comme sous-traitant pour le contenu de vos conversations. Données de compte, historique de messages et métadonnées de facturation vivent dans MongoDB sur une seule VM Hetzner à Falkenstein, en Allemagne. Pas d'entrepôt analytique, pas de seconde copie dans une autre région, pas de base fantôme.
La base légale est la nécessité contractuelle au titre de l'art. 6.1.b pour le service lui-même, et le consentement au titre de l'art. 6.1.a pour l'analytique optionnelle. Nous n'entraînons pas de modèles sur vos prompts. L'inférence passe par OpenRouter, qui a la conservation côté fournisseur désactivée par défaut. Vous pouvez exporter et supprimer votre compte depuis les paramètres, et les enregistrements sous-jacents sont purgés sous 30 jours via les index TTL de MongoDB.
Là où résidence UE et conformité RGPD divergent
Namulai n'est pas une stack purement UE, et prétendre l'inverse serait trompeur. OpenRouter route de nombreux modèles via des endpoints en région UE quand le fournisseur sous-jacent le permet, mais certains modèles ne sont servis que depuis une infrastructure US. Quand vous choisissez l'un de ces modèles, le prompt sort de l'EEE le temps de cette requête.
Ce transfert est encadré par les Clauses Contractuelles Types et des engagements côté fournisseur, ce qui est le même fondement légal que la plupart des SaaS d'entreprise après Schrems II. C'est licite, mais ce n'est pas la même chose que de ne jamais quitter Francfort. Nous mettons cette distinction en évidence dans le sélecteur de modèle plutôt que de la masquer, pour que vous puissiez choisir en conséquence.
Ce que cela veut dire pour les entreprises et freelances UE
Si vous traitez des données clients soumises au secret professionnel, des données de santé, des dossiers juridiques ou tout autre sujet relevant des catégories particulières de l'art. 9, vous ne devriez pas coller ce matériel dans un chatbot grand public gratuit. La base légale est fragile et la traçabilité est inexistante.
Namulai vous donne une posture plus défendable : un seul responsable hébergé en UE, une liste de sous-traitants publiée, pas d'entraînement sur les prompts, et la possibilité de cantonner votre travail sensible à des modèles routés UE. Ce n'est pas un substitut à votre propre AIPD, et cela ne transforme pas un cas d'usage relevant de l'art. 9 en cas anodin. Cela veut dire qu'au quotidien, pour le travail qui remplit une semaine type, l'histoire de conformité tient.
RGPD et IA, questions fréquentes
Namulai est-il responsable de traitement ou sous-traitant ?
Les deux, selon la donnée. Nous agissons comme responsable pour les informations de votre compte, les enregistrements de facturation et les métadonnées d'authentification, dont nous avons besoin pour faire tourner le service. Pour le contenu de vos conversations avec les modèles, nous agissons comme sous-traitant pour votre compte et routons la requête via notre sous-traitant, OpenRouter.
Signez-vous un addenda de traitement des données ?
Oui, sur demande pour les clients payants. Le DPA reflète la structure attendue à l'art. 28, liste les sous-traitants impliqués (OpenRouter, Stripe Payments Europe Ltd., le fournisseur email), précise les catégories de données traitées, et inclut les Clauses Contractuelles Types pour tout transfert de contenu de conversation vers des endpoints modèles hors EEE.
Quelle est la base légale du traitement de mes prompts ?
La nécessité contractuelle au titre de l'art. 6.1.b du Règlement (UE) 2016/679. Sans traiter le prompt, nous ne pouvons pas livrer le service auquel vous avez souscrit. L'analytique optionnelle, quand elle est activée, repose sur le consentement au titre de l'art. 6.1.a, et vous pouvez retirer ce consentement à tout moment sans affecter le contrat lui-même.
Combien de temps gardez-vous mon historique de conversation ?
Tant que votre compte est actif, pour que vous puissiez y revenir. Quand vous supprimez votre compte depuis les paramètres, l'historique de conversation et l'enregistrement de compte sont purgés de MongoDB via les index TTL sous 30 jours. Les sauvegardes chiffrées de la base sont conservées sur une fenêtre roulante de 24 heures et écrasées dans le cours normal.
Un flux IA défendable pour les équipes UE, sans le surcoût entreprise.
Essayer Namulai gratuitement30 jours d'essai gratuit · 19,80 €/mois ensuite · résiliable à tout moment