EU Hosting · Governance
Two labels.
A distinction that matters.
ELYSÉA does not group ethics and EU hosting under a single vague label. These are two distinct labels, with different conditions. The ethical pipeline is designed to apply at every call that goes through it — EU hosting is conditional and documented honestly.
Reservation: in the deployed brain, the fallback to an OpenAI model and vector memory are removed (an OpenAI model is only called with the builder’s own key, if the builder chooses it); voice is removed from the brain; the Supabase database region, eu-central-1 (Frankfurt), was read on the provider’s dashboard on 01/10 at 18:03, formal evidence to be attached; other providers are outside the EU possible (full list in the privacy policy).
The two labels
What each label means.
The 4 prohibitions applied by the pipeline
Domination, dependency, manipulation, substitution — four behaviours the ELYSÉA pipeline blocks, regardless of hosting, region, or pricing plan. The barrier is in the code, not in the contract.
EU hosting — regions set by the code
When region: 'EU' is active, brain processing goes through the European Union regions set by the code (list below). A provider whose region is not set by the code is shown as “outside the EU possible” — never presented as European.
Infrastructure
What “EU region” covers.
Each link below is read from the single compliance source (exact copy, fingerprint checked). A region is “EU” only where the code sets it; otherwise the provider is shown as “outside the EU possible” and the transfer basis as “not established”.
European Union region set by the code : Google Cloud (Cloud Functions, Cloud Logging) (europe-west1) ; Google Firebase (Firestore) (europe-west9) ; Amazon Web Services (Bedrock) (eu-west-3) ; Google Cloud (Vertex AI) (eu) ; Supabase (eu-central-1 (Francfort)).
Outside the European Union possible (region not proven by the code) : Anthropic (API directe) ; OpenAI ; Deepgram ; audEERING ; Scaleway (Generative APIs) ; Mistral AI ; Google AI (API Gemini) ; DuckDuckGo ; Telegram ; Notion ; Resend ; Stripe ; Vercel ; Brevo ; Sentry ; PostHog ; Messagerie de l'éditeur.
Hors UE possible ⇒ traité comme un transfert hors UE. Aucune base de transfert n'est présumée : tant qu'une pièce (contrat signé, clauses contractuelles types acceptées) n'est pas inscrite ici, la base est « non établie ».
Data is only sent to the providers below. The list is the exact copy of the single compliance source; no entry is written by the site.
| Provider | Role | Data | Region | Shown as | Transfer basis |
|---|---|---|---|---|---|
| Google Cloud (Cloud Functions, Cloud Logging) | Exécution du cerveau (toutes les routes) et journaux techniques | Messages, identifiants pseudonymisés, métadonnées de requête | europe-west1 | UE | aucun (région UE prouvée) |
| Google Firebase (Firestore) | Base du cerveau : applications SDK, usage, registre des consentements, conversations | Identifiants, consentements, conversations, métadonnées | europe-west9 | UE | aucun (région UE prouvée) |
| Amazon Web Services (Bedrock) | Modèle de génération et classifieurs de sûreté (LLM_PROVIDER / SAFETY_LLM_PROVIDER = BEDROCK_EU) | Messages des utilisateurs, invites système | eu-west-3 | UE | aucun (région UE prouvée) |
| Google Cloud (Vertex AI) | Classifieurs de crise ; génération (VERTEX_EU) et palier de secours de génération, même modèle (décision du 01/10) | Messages des utilisateurs, invites système | eu | UE | aucun (région UE prouvée) |
| Anthropic (API directe) | Génération et filet de sûreté si LLM_PROVIDER ou SAFETY_LLM_PROVIDER = US_DIRECT | Messages des utilisateurs, invites système | États-Unis (api.anthropic.com) | hors UE possible | non établie |
| OpenAI | Sur main : mémoire vectorielle (embeddings), repli de génération, raisonneur, voix (synthèse), apport de clé. Après #1066 : raisonneur, voix (synthèse), apport de clé. | Messages (500 premiers caractères pour les embeddings sur main), textes à vocaliser | non fixée par le code | hors UE possible | non établie |
| Deepgram | Voix : transcription (STT) Removal decided, not yet effective in the code | Voix des utilisateurs | non fixée par un paramètre de région (hôte api.eu.deepgram.com fixé par le code ; lieu de traitement non prouvé) | hors UE possible | non établie |
| audEERING | Voix : analyse émotionnelle en ombre (si AUDEERING_API_KEY) Removal decided, not yet effective in the code | Voix des utilisateurs | non fixée par le code | hors UE possible | non établie |
| Scaleway (Generative APIs) | Classifieur de sûreté (SAFETY_LLM_PROVIDER = SCALEWAY_EU) | Messages des utilisateurs | non fixée par un paramètre (hôte api.scaleway.ai) | hors UE possible | non établie |
| Mistral AI | Détection sémantique du gardien (SEMANTIC_DETECTION_ENABLED=true, désactivée par défaut) ; pipeline de génération Mistral (apport de clé) | Messages des utilisateurs | non fixée par le code | hors UE possible | non établie |
| Google AI (API Gemini) | Pipeline de génération Gemini (fournisseur d'application ou apport de clé) | Messages des utilisateurs, invites système | non fixée par le code | hors UE possible | non établie |
| DuckDuckGo | Outil de recherche web du pipeline | Requêtes issues des messages des utilisateurs | non fixée par le code | hors UE possible | non établie |
| Telegram | Bot de conversation (webhook) | Messages et identifiants Telegram des utilisateurs du bot | non fixée par le code | hors UE possible | non établie |
| Notion | Journal interne de l'activité des dépôts (webhook GitHub) | Activité des dépôts (auteurs, messages de commit) ; aucune donnée d'utilisateur final | non fixée par le code | hors UE possible | non établie |
| Resend | E-mails transactionnels (constructeurs, avertissements de rétention, invitations) | Adresses e-mail, contenu des e-mails | non fixée par le code | hors UE possible | non établie |
| Stripe | Facturation des constructeurs et paiement (fermé tant que les ventes sont fermées) | Identité et coordonnées de facturation des constructeurs | non fixée par le code | hors UE possible | non établie |
| Supabase | Comptes et authentification ; mémoire, consentements, journal d'audit | E-mails, sessions, mémoire, consentements | eu-central-1 (Francfort) | UE | aucun (région UE relevée) |
| Vercel | Hébergement du site et de ses routes serveur (portail, formulaire de contact) | Messages du formulaire de contact, jetons de session transmis au cerveau, journaux | non fixée (vercel.json sans région) | hors UE possible | non établie |
| Brevo | Relais SMTP du formulaire de contact du site | Nom, adresse e-mail et message des personnes qui écrivent | non fixée par le code (hôte smtp-relay.brevo.com) | hors UE possible | non établie |
| Sentry | Remontée d'erreurs du site (et du cerveau après #1066, si SENTRY_DSN) | Traces d'erreur, adresses de requête, métadonnées techniques | non fixée par un paramètre (CSP du site vers *.ingest.de.sentry.io ; DSN serveur non lu) | hors UE possible | non établie |
| PostHog | Mesure d'audience du site, après consentement | Événements de navigation pseudonymes | non fixée par un paramètre de région (hôte eu.i.posthog.com fixé par le code ; lieu de traitement non prouvé) | hors UE possible | non établie |
| Messagerie de l'éditeur | Boîte qui reçoit les messages du formulaire de contact (variable CONTACT_INBOX) | Nom, adresse e-mail et message des personnes qui écrivent | non établie (fournisseur de la boîte non inscrit dans une pièce) | hors UE possible | non établie |
User memory
Memory belongs to the user.
Not to your app, not to ELYSÉA.
Memory data (M1–M6) is indexed by the user, not by your app. The user can consult, export, and erase it via their ID portal. Your app does not receive raw memory — it receives a consented filtered synthesis (rule K: raw memories do not leave for another application).
Read access
Memory write
Portability
Erasure
Honest scope
What we assert.
What we do not claim.
ELYSÉA does not claim total legal immunity. EU hosting is a property of the region:EU configuration — documented, verifiable, honest about its current state.
EU regions set by the code: see the list above. The code still accepts possible non-EU paths (direct model access, providers whose region is not set): they are listed, not hidden.
Ethics in the pipeline.
EU hosting by configuration.