Faire fonctionner des agents selon les règles de l’UE en matière de données sans prétendre que c’est simple

De nombreux fournisseurs considèrent la protection européenne des données comme une annexe de conformité. Nous opérons depuis Barcelone, il s'agit donc simplement de l'environnement, et le design en découle plutôt que d'être modernisé.

Cela ne rend pas les choses simples. Cela le rend familier, ce qui est différent.

La distinction qui suscite le plus de confusion

La loi sur la protection des données sépare le responsable du traitement, qui décide pourquoi et comment les données personnelles sont traitées, du sous-traitant, qui agit sur les instructions du responsable du traitement.

Pour les données concernant nos propres clients, nous sommes le responsable du traitement. Pour le contenu que nos clients envoient via la plateforme, ils sont le contrôleur et nous le sous-traitant. Ce sont des obligations différentes, et les amalgamer donne lieu à des promesses trop prometteuses et à des résultats insuffisants.

En pratique : si un individu nous demande de supprimer les données qu'un client a saisies sur la plateforme, la demande appartient à ce client, et nous le lui disons plutôt que d'agir unilatéralement.

Les transferts sont évités plutôt que masqués

L’approche habituelle consiste à traiter le cas où cela est opportun et à couvrir le transfert par des clauses contractuelles. C'est légal et ce n'est pas notre défaut.

Notre valeur par défaut est le traitement au sein de l'Union européenne, avec Barcelone comme région principale, ce qui supprime la question pour la plupart des clients plutôt que d'y répondre. Lorsqu'un contrat nécessite un emplacement spécifique, le traitement peut y être épinglé. Lorsqu'un transfert en dehors de l'EEE est véritablement inévitable, il est couvert par les clauses contractuelles types ainsi que par le chiffrement au repos et en transit et le contrôle d'accès basé sur les rôles.

Les agents créent un problème de rétention que les documents ne créent pas

Un système traditionnel stocke ce que vous y mettez. Un système d'agent stocke également ce qu'il a fait : le plan, les étapes intermédiaires, les appels d'outils, la piste d'audit.

Ce record est véritablement nécessaire. C’est ce qui rend la gouvernance possible et ce qui répond à un régulateur onze mois plus tard. Il s’agit également de données personnelles lorsqu’elles concernent des personnes identifiables, et elles s’accumulent plus rapidement que prévu.

Notre position est que les données d'audit sont conservées pendant la période nécessaire pour répondre aux obligations légales et contractuelles, puis supprimées ou anonymisées de manière irréversible, et que les clients peuvent voir ce qui est détenu plutôt que d'avoir à le demander.

Nous ne formons pas sur vos données

C'est court parce que ça devrait l'être. Le contenu qui transite par la plateforme n'est pas utilisé pour former des modèles. Ce n'est pas un paramètre que vous devez rechercher et désactiver.

Là où la difficulté demeure

Deux endroits, honnêtement.

Le premier est la minimisation des données dans un système de récupération. Un agent fonctionne mieux avec un accès à plus de contexte, et la protection des données vous demande de traiter le minimum nécessaire. Ceux-ci tirent dans des directions opposées et la résolution est un jugement sur la portée plutôt qu’un contrôle technique. Nous aidons en rendant les limites d'accès exécutoires, mais la décision sur ce qu'un agent doit atteindre appartient au client.

La seconde consiste à expliquer un résultat. Le droit de comprendre une décision est plus facile à satisfaire pour un moteur de règles que pour un agent qui a élaboré un plan en plusieurs étapes. Une piste d'audit complète est la meilleure réponse disponible et constitue un enregistrement de ce qui s'est passé plutôt qu'une simple explication du pourquoi.

Dire le contraire serait plus clair et moins vrai.

Suivant

L'avis de confidentialité couvre notre propre traitement et le Trust Center couvre les sous-traitants ultérieurs, les transferts et les rapports de sécurité. Les accords de traitement des données et les questionnaires peuvent être demandés à contact@capconsultor.eu.