Conforme par conception, pas par promesse.
Conformité
Cette page détaille, contrôle par contrôle, comment Kartio traite les référentiels qui comptent pour un assistant IA dans un ecommerce européen. Ce que vous lisez est déjà implémenté et vérifiable ; ce qui manque est déclaré en bas de page, sans détour.
EU AI Act
- Transparence au titre de l'article 50, applicable dès le 2 août 2026 : l'assistant déclare être une intelligence artificielle dans son message d'accueil, conserve une pastille persistante dans l'interface et étiquette les produits conseillés.
- Sorties marquées sous une forme lisible par les machines grâce à des attributs DOM dédiés, y compris dans la réponse vocale avec une information juste-à-temps. Ces attributs soutiennent la traçabilité : nous ne les présentons pas comme une certification formelle du marquage au titre de l'article 50(2).
- Le cas d'usage shopping n'entre pas dans les systèmes à haut risque de l'annexe III. L'évaluation sera rouverte si le produit devait entrer dans des domaines réglementés (crédit, emploi, éducation, biométrie).
- Aucune reconnaissance des émotions, aucune catégorisation biométrique : si elles étaient introduites à l'avenir, des informations supplémentaires obligatoires s'appliqueraient.
RGPD
- Minimisation réelle : aucun identifiant créé au chargement de la page, cookie de session uniquement à la première interaction volontaire, durée portée à 30 jours seulement après consentement explicite.
- Adresse IP jamais conservée en clair, conversations supprimées après quatre-vingt-dix jours, statistiques agrégées. La voix est traitée comme une donnée personnelle mais non biométrique : pas d'identification du locuteur, d'empreinte vocale ni de clonage.
- Des rôles clairs par contrat : la boutique est responsable du traitement, Kartio est sous-traitant ; dans le canal white-label, Kartio est sous-traitant ultérieur au titre de l'article 28.4, avec l'agence comme sous-traitant.
- À l'activation, la boutique reçoit l'accord de traitement des données et le registre complet des fournisseurs, avec la localisation, les sous-traitants ultérieurs et les durées de conservation de chacun.
ISO/IEC 42001 et 27001
- Management de l'IA (42001) : gouvernance du modèle, évaluation des réponses avec des benchmarks reproductibles, suivi de la qualité et des coûts par boutique.
- Sécurité de l'information (27001) : isolation de chaque boutique imposée par la base de données avec des rôles par tenant vérifiés, clés traitées comme des secrets, plafond de dépense par tenant, sauvegardes chiffrées avec rotation.
- Le produit est conçu par un auditeur principal de ces normes : les contrôles naissent des exigences, pas du marketing.
- Dit clairement : Kartio n'est pas certifié. La certification formelle fait partie de la roadmap ; les contrôles listés ici sont déjà en fonction et vérifiables.
Combien de temps restent les données
Des durées applicatives, pas des estimations commerciales. À l'échéance, la donnée est supprimée ou rendue non reliée à la personne ; une suppression peut subsister dans les sauvegardes chiffrées jusqu'à la rotation maximale de trente jours.
Les fournisseurs, sans boîtes noires
Le chat et le traitement du langage transitent par une infrastructure européenne, sans passerelles américaines ; la voix textuelle utilise des endpoints européens. La voix en temps réel n'est activable que par le propriétaire de la plateforme, boutique par boutique, et tant que le parcours contractuel extra-UE n'est pas clos, elle reste limitée à des données de démonstration non sensibles.
Chaque fournisseur effectif est couvert par un accord de traitement, avec sous-traitants ultérieurs, localisation et durées de conservation documentés dans le registre que la boutique reçoit avant de signer.
L'accord de traitement des données, clause par clauseLes sous-traitants, catégorie par catégorie
Ce qui revient à la boutique
La boutique reste responsable du traitement : elle met à jour sa propre politique de confidentialité, associe son gestionnaire de consentement au signal de Kartio et vérifie que les durées de conservation sont cohérentes avec ses propres finalités. L'autorisation du navigateur pour le microphone est un contrôle technique : elle ne remplace ni la base juridique ni l'information des personnes.
En roadmap, dit ouvertement
Certification formelle du produit, régionalisation complète du fournisseur de voix en temps réel et registre des modèles avec suivi continu de la qualité. Si vous souhaitez la documentation complète des contrôles, le registre des fournisseurs ou le projet d'accord de traitement, écrivez à info@kartio.ai.