Conformité & Certifications
Cadres et normes auxquels nous adhérons
RGPD
ActivePleine conformité au Règlement Général sur la Protection des Données de l'UE
LPD Suisse
ActiveConforme à la Loi fédérale sur la protection des données (revLPD 2023)
Datacenter ISO 27001
ProviderInfrastructure hébergée dans des datacenters certifiés ISO 27001
EU AI Act
EvaluatingSystème IA standard. Conforme aux obligations de transparence de l'Art. 50 de l'EU AI Act. Outil de routage administratif — pas d'aide à la décision clinique.
SOC 2 Type II
ProviderThird-Party Voice AI Provider (EU) certifié SOC 2 Type II et conforme HIPAA. Fournisseur d'infrastructure certifié ISO 27001.
HIPAA (Fournisseur)
ProviderLe Third-Party Voice AI Provider (EU) est conforme HIPAA avec BAA. Mode zéro-rétention activé pour les conversations de santé.
Swissmedic CHRN (opérateur économique)
RegisteredExatoshi AG est enregistrée auprès de Swissmedic en tant qu'opérateur économique (CHRN-PR-20010601, CHE-266.634.159). Un CHRN identifie l'entreprise dans ce rôle uniquement : il ne constitue ni un enregistrement de produit, ni une certification, ni une autorisation, et ne dit rien de la conformité d'un produit donné.
Normes de Qualité Logicielle
InternalPistes d'audit complètes des conversations, surveillance de la précision du routage et processus d'assurance qualité pour un routage fiable des rendez-vous.
Documentation Sécurité
Rapports et évaluations publics
Auto-évaluation Confidentialité & Sécurité
Aperçu complet de nos pratiques et contrôles de sécurité (AS-2026-001)
Télécharger PDFPolitique de Confidentialité
Comment nous collectons, utilisons et protégeons vos données
Accord de Traitement des Données (DPA)
DPA standard avec CCT UE pour les clients enterprise
Healthcare Security Architecture
Technical architecture for secure medical records and healthcare compliance
Download PDFSub-processors List
Complete list of authorized sub-processors with data transfer mechanisms
Politiques de Sécurité
Alignement au Cadre ISO 27001
Toutes les politiques sont activement suivies dans le cadre de notre programme de sécurité
| Politique | Catégorie | Statut |
|---|---|---|
| Data Protection Policy | Data Privacy | In Practice |
| Data Retention Policy | Data Privacy | In Practice |
| Information Classification and Handling Policy | Data Privacy | In Practice |
| Information Transfer Policy | Data Privacy | In Practice |
| Information Security Policy | Security | In Practice |
| Access Control Policy | Security | In Practice |
| Cryptographic Control and Encryption Policy | Security | In Practice |
| Cryptographic Key Management Policy | Security | In Practice |
| Network Security Management Policy | Security | In Practice |
| Physical and Environmental Security Policy | Security | In Practice |
| Malware and Antivirus Policy | Security | In Practice |
| Patch Management Policy | Security | In Practice |
| Asset Management Policy | Operations | In Practice |
| Change Management Policy | Operations | In Practice |
| Backup Policy | Operations | In Practice |
| Logging and Monitoring Policy | Operations | In Practice |
| Business Continuity Policy | Operations | In Practice |
| Incident Response and Evidence Collection Policy | Operations | In Practice |
| Secure Development Policy | Development | In Practice |
| Cloud Service Policy | Development | In Practice |
| Risk Management Policy | Governance | In Practice |
| Third Party Supplier Security Policy | Governance | In Practice |
| Continual Improvement Policy | Governance | In Practice |
| Document and Record Policy | Governance | In Practice |
| Intellectual Property Rights Policy | Governance | In Practice |
| Information Security Awareness and Training Policy | Personnel | In Practice |
| Acceptable Use Policy | Personnel | In Practice |
| Clear Desk and Clear Screen Policy | Personnel | In Practice |
| Mobile and Teleworking Policy | Personnel | In Practice |
29 politiques alignées sur le cadre ISO 27001:2022
Sécurité Produit
Mesures techniques protégeant vos données
Chiffrement
TLS 1.3 en transit, AES-256-GCM au repos. Transcriptions et données sensibles chiffrées de bout en bout.
Isolation Multi-Tenant
Séparation complète des données entre clients avec Row-Level Security.
Authentification
Authentification basée sur JWT avec gestion sécurisée des sessions. OAuth 2.0 pour les intégrations.
Journalisation d'Audit
Piste d'audit immuable avec rétention configurable.
Sauvegarde & Récupération
Sauvegardes quotidiennes chiffrées sur un stockage suisse avec chiffrement de bout en bout et architecture zéro-accès. Reprise après sinistre testée régulièrement.
Surveillance
Surveillance de l'infrastructure 24/7. Alertes automatiques pour les anomalies.
Sécurité des Webhooks
Tous les webhooks entrants vérifiés via HMAC-SHA256 ou JWT. Aucun point de terminaison webhook non authentifié.
Sécurité Applicative
Contrôles alignés OWASP : prévention des injections SQL, protection XSS, durcissement path traversal, limitation de débit.
Protection des PII
Données sensibles masquées dans les journaux applicatifs. Adresses e-mail automatiquement expurgées.
Protection des Données
Vos données, votre contrôle
Résidence des Données
Toutes les données hébergées en Suisse et dans l'UE. Aucun transfert vers des pays tiers sans consentement explicite.
Conservation des Données
Par défaut, AIAgens ne conserve ni l'audio vocal ni le texte des conversations au-delà de la durée de l'interaction. L'enregistrement et la transcription des appels sont désactivés par défaut. Zéro rétention : les données conversationnelles sont traitées en temps réel et jamais conservées par AIAgens. Pour les plans médicaux, la conservation à long terme (10-20 ans, Art. 400 CO, FMH) est la responsabilité du médecin responsable. Données supprimées sur demande sous 30 jours.
Droits des Personnes
Support complet pour les demandes d'accès, rectification, effacement et portabilité.
Gestion du Consentement
Contrôles de consentement granulaires avec piste d'audit complète de toutes les modifications.
Trois types de consentement granulaires pour les déploiements médicaux : enregistrement d'appels, traitement des données de routage et stockage des transcriptions.
Gouvernance IA
IA responsable by design
Divulgation IA
Chaque interaction IA s'identifie clairement comme intelligence artificielle. Aucune pratique trompeuse.
Données d'Entraînement
Nous n'utilisons pas les données clients pour entraîner les modèles IA. Vos données restent les vôtres.
Supervision Humaine
Transfert à un agent humain toujours disponible. L'IA gère la routine, les humains les exceptions.
Prévention des Biais
Audits réguliers des sorties IA pour prévenir les réponses discriminatoires ou nuisibles.
Sous-traitants
Tiers qui traitent des données pour notre compte
Dernière mise à jour: February 2026
| Sous-traitant | Finalité | Localisation | Sécurité |
|---|---|---|---|
| Sauvegarde chiffrée CH | Stockage de sauvegardes chiffrées | CH (Switzerland) | Chiffrement E2E; architecture zéro-accès; ISO 27001; juridiction suisse |
| Email médicale sécurisée CH | Email santé sécurisé (HIN SMTP) et authentification d'identité | CH (Switzerland) | Chiffrement S/MIME (HIN-a-HIN automatique); OAuth 2.0 avec PKCE |
| Téléphonie/SIP CH | Téléphonie / SIP trunk pour appels vocaux | CH (Switzerland) | SIP sur TLS; pas d'enregistrement d'appels de leur côté |
| Emails transactionnels CH | Envoi d'emails transactionnels | CH (Switzerland) | TLS en transit; SOC 2 Type II; ISO 27001; région UE |
| Hébergement d'infrastructure | Hébergement infrastructure (serveurs dédiés, bases de données) | EU (Germany) | AES-256-GCM au repos; certifié ISO 27001 |
| Fournisseur Voice AI (UE) | Traitement vocal IA (STT/TTS, temps réel) | EU | Aucun audio stocké; résidence données UE; SOC 2 Type II; ISO 27001 |
| Traitement linguistique IA | Modèle de langage IA pour l'intelligence conversationnelle | EU | API zero-retention; pas d'entraînement sur données clients; endpoint UE |
| Paiements | Traitement des paiements et gestion des abonnements | EU (Ireland) | PCI-DSS Niveau 1; SOC 2 Type II; acquisition UE |
| Calendrier/OAuth | Intégration calendrier, authentification OAuth | EU (Belgium / Netherlands) | Tokens OAuth chiffrés; ISO 27001 / SOC 2; région données UE |
La liste complète avec les raisons sociales de chaque sous-traitant est disponible sur demande, sous NDA signé : contactez dpo@aiagens.ch.
Google Calendar & Réglementations Suisses
Comment nous assurons la conformité lors de l'intégration avec des services tiers
Data Privacy Framework
Depuis septembre 2024, la Suisse reconnaît le Swiss-US DPF. Google est certifié DPF.
Résidence des Données UE
Nous configurons tous les comptes avec résidence UE (Belgique). Les données ne quittent jamais l'UE.
Chiffrement E2E
Notes médicales chiffrées avec la clé publique du médecin. Seul lui peut déchiffrer.
Notes Médicales Zero-Knowledge
Nous allons au-delà des exigences légales. Les notes médicales collectées par l'IA sont chiffrées avec RSA-2048 + AES-256-GCM avant d'être sauvegardées dans Google Calendar. Ni Google ni AIAgens ne peuvent lire le texte en clair - seul le médecin avec sa clé privée et son PIN.
La clé privée ne quitte jamais l'appareil du médecin
Contact Sécurité
Pour les questions de sécurité ou pour signaler des vulnérabilités, contactez notre équipe.
security@aiagens.chLes questions de sécurité sont traitées en priorité.