Hébergement EU · Gouvernance
Deux labels.
Une distinction qui compte.
ELYSÉA ne regroupe pas éthique et hébergement EU sous un seul label flou. Ce sont deux labels distincts, avec des conditions différentes. Le pipeline éthique est conçu pour s’appliquer à chaque appel qui le traverse — l’hébergement EU est conditionnel et documenté honnêtement.
Réserve : dans le cerveau déployé, le repli vers un modèle OpenAI et la mémoire vectorielle sont retirés (un modèle OpenAI n'est appelé qu'avec la clé du constructeur, s'il le choisit) ; la voix est retirée du cerveau ; la région de la base Supabase, eu-central-1 (Francfort), a été relevée sur le tableau de bord du fournisseur le 01/10 à 18:03, pièce formelle à joindre ; d'autres prestataires sont hors UE possible (liste complète dans la politique de confidentialité).
Les deux labels
Ce que chaque label signifie.
Les 4 interdits appliqués par le pipeline
Domination, dépendance, manipulation, substitution — quatre comportements que le pipeline ELYSÉA bloque, quel que soit l’hébergement, la région, ou le plan tarifaire. La barrière est dans le code, pas dans le contrat.
Hébergement EU — régions fixées par le code
Quand region: 'EU' est actif, les traitements du cerveau passent par les régions de l’Union européenne fixées par le code (liste ci-dessous). Un prestataire dont la région n’est pas fixée par le code est indiqué « hors UE possible » — jamais présenté comme européen.
Infrastructure
Ce que “région EU” recouvre.
Chaque maillon ci-dessous est lu dans la source unique de conformité (copie conforme, empreinte vérifiée). Une région n’est « UE » que si le code la fixe ; sinon le prestataire est indiqué « hors UE possible » et la base de transfert « non établie ».
Région de l'Union européenne fixée par le code : Google Cloud (Cloud Functions, Cloud Logging) (europe-west1) ; Google Firebase (Firestore) (europe-west9) ; Amazon Web Services (Bedrock) (eu-west-3) ; Google Cloud (Vertex AI) (eu) ; Supabase (eu-central-1 (Francfort)).
Hors de l'Union européenne possible (région non prouvée par le code) : Anthropic (API directe) ; OpenAI ; Deepgram ; audEERING ; Scaleway (Generative APIs) ; Mistral AI ; Google AI (API Gemini) ; DuckDuckGo ; Telegram ; Notion ; Resend ; Stripe ; Vercel ; Brevo ; Sentry ; PostHog ; Messagerie de l'éditeur.
Hors UE possible ⇒ traité comme un transfert hors UE. Aucune base de transfert n'est présumée : tant qu'une pièce (contrat signé, clauses contractuelles types acceptées) n'est pas inscrite ici, la base est « non établie ».
Les données ne sont transmises qu'aux prestataires ci-dessous. La liste est la copie conforme de la source unique de conformité ; aucune entrée n'est rédigée par le site.
| Prestataire | Rôle | Données | Région | Affichage | Base de transfert |
|---|---|---|---|---|---|
| Google Cloud (Cloud Functions, Cloud Logging) | Exécution du cerveau (toutes les routes) et journaux techniques | Messages, identifiants pseudonymisés, métadonnées de requête | europe-west1 | UE | aucun (région UE prouvée) |
| Google Firebase (Firestore) | Base du cerveau : applications SDK, usage, registre des consentements, conversations | Identifiants, consentements, conversations, métadonnées | europe-west9 | UE | aucun (région UE prouvée) |
| Amazon Web Services (Bedrock) | Modèle de génération et classifieurs de sûreté (LLM_PROVIDER / SAFETY_LLM_PROVIDER = BEDROCK_EU) | Messages des utilisateurs, invites système | eu-west-3 | UE | aucun (région UE prouvée) |
| Google Cloud (Vertex AI) | Classifieurs de crise ; génération (VERTEX_EU) et palier de secours de génération, même modèle (décision du 01/10) | Messages des utilisateurs, invites système | eu | UE | aucun (région UE prouvée) |
| Anthropic (API directe) | Génération et filet de sûreté si LLM_PROVIDER ou SAFETY_LLM_PROVIDER = US_DIRECT | Messages des utilisateurs, invites système | États-Unis (api.anthropic.com) | hors UE possible | non établie |
| OpenAI | Sur main : mémoire vectorielle (embeddings), repli de génération, raisonneur, voix (synthèse), apport de clé. Après #1066 : raisonneur, voix (synthèse), apport de clé. | Messages (500 premiers caractères pour les embeddings sur main), textes à vocaliser | non fixée par le code | hors UE possible | non établie |
| Deepgram | Voix : transcription (STT) Retrait décidé, non encore effectif dans le code | Voix des utilisateurs | non fixée par un paramètre de région (hôte api.eu.deepgram.com fixé par le code ; lieu de traitement non prouvé) | hors UE possible | non établie |
| audEERING | Voix : analyse émotionnelle en ombre (si AUDEERING_API_KEY) Retrait décidé, non encore effectif dans le code | Voix des utilisateurs | non fixée par le code | hors UE possible | non établie |
| Scaleway (Generative APIs) | Classifieur de sûreté (SAFETY_LLM_PROVIDER = SCALEWAY_EU) | Messages des utilisateurs | non fixée par un paramètre (hôte api.scaleway.ai) | hors UE possible | non établie |
| Mistral AI | Détection sémantique du gardien (SEMANTIC_DETECTION_ENABLED=true, désactivée par défaut) ; pipeline de génération Mistral (apport de clé) | Messages des utilisateurs | non fixée par le code | hors UE possible | non établie |
| Google AI (API Gemini) | Pipeline de génération Gemini (fournisseur d'application ou apport de clé) | Messages des utilisateurs, invites système | non fixée par le code | hors UE possible | non établie |
| DuckDuckGo | Outil de recherche web du pipeline | Requêtes issues des messages des utilisateurs | non fixée par le code | hors UE possible | non établie |
| Telegram | Bot de conversation (webhook) | Messages et identifiants Telegram des utilisateurs du bot | non fixée par le code | hors UE possible | non établie |
| Notion | Journal interne de l'activité des dépôts (webhook GitHub) | Activité des dépôts (auteurs, messages de commit) ; aucune donnée d'utilisateur final | non fixée par le code | hors UE possible | non établie |
| Resend | E-mails transactionnels (constructeurs, avertissements de rétention, invitations) | Adresses e-mail, contenu des e-mails | non fixée par le code | hors UE possible | non établie |
| Stripe | Facturation des constructeurs et paiement (fermé tant que les ventes sont fermées) | Identité et coordonnées de facturation des constructeurs | non fixée par le code | hors UE possible | non établie |
| Supabase | Comptes et authentification ; mémoire, consentements, journal d'audit | E-mails, sessions, mémoire, consentements | eu-central-1 (Francfort) | UE | aucun (région UE relevée) |
| Vercel | Hébergement du site et de ses routes serveur (portail, formulaire de contact) | Messages du formulaire de contact, jetons de session transmis au cerveau, journaux | non fixée (vercel.json sans région) | hors UE possible | non établie |
| Brevo | Relais SMTP du formulaire de contact du site | Nom, adresse e-mail et message des personnes qui écrivent | non fixée par le code (hôte smtp-relay.brevo.com) | hors UE possible | non établie |
| Sentry | Remontée d'erreurs du site (et du cerveau après #1066, si SENTRY_DSN) | Traces d'erreur, adresses de requête, métadonnées techniques | non fixée par un paramètre (CSP du site vers *.ingest.de.sentry.io ; DSN serveur non lu) | hors UE possible | non établie |
| PostHog | Mesure d'audience du site, après consentement | Événements de navigation pseudonymes | non fixée par un paramètre de région (hôte eu.i.posthog.com fixé par le code ; lieu de traitement non prouvé) | hors UE possible | non établie |
| Messagerie de l'éditeur | Boîte qui reçoit les messages du formulaire de contact (variable CONTACT_INBOX) | Nom, adresse e-mail et message des personnes qui écrivent | non établie (fournisseur de la boîte non inscrit dans une pièce) | hors UE possible | non établie |
Mémoire utilisateur
La mémoire appartient à l’utilisateur.
Pas à votre app, pas à ELYSÉA.
Les données mémoire (M1–M6) sont indexées par l’utilisateur, pas par votre app. L’utilisateur peut les consulter, les exporter, les effacer via son portail ID. Votre app ne reçoit pas la mémoire brute — elle reçoit une synthèse filtrée consentie (règle K : les souvenirs bruts ne sortent pas vers une autre application).
Accès lecture
Écriture mémoire
Portabilité
Effacement
Périmètre honnête
Ce que nous affirmons.
Ce que nous ne prétendons pas.
ELYSÉA ne prétend pas à l'immunité juridique totale. L'hébergement EU est une propriété de la configuration — documentée, vérifiable, honnête sur son état réel.
Régions UE fixées par le code : voir la liste ci-dessus. Le code accepte encore des chemins hors UE possibles (accès direct au modèle, prestataires dont la région n'est pas fixée) : ils sont listés, pas cachés.
L'éthique dans le pipeline.
Hébergement EU par configuration.