Vos données chez Forge

Une plateforme conçue pour les clients européens

Forge est développé par une société européenne et respecte les exigences du RGPD ainsi que les normes de sécurité attendues par les entreprises européennes. Notre philosophie est claire :

• vos données restent sous votre contrôle ;
• elles ne sont jamais revendues ;
• elles ne servent jamais à entraîner des modèles d'IA.

Forge agit uniquement sur instruction de ses clients, dans un cadre contractuel strict et auditable.

Où vos données sont-elles stockées ?

Hébergement principal, France (UE)

Les données de Forge sont hébergées en France par notre sous-traitant principal Scaleway. Cela comprend :

• les données personnelles (utilisateurs, identifiants, métadonnées) ;
• les contenus importés (documents, vidéos, fichiers, bases de connaissances) ;
• les index et représentations nécessaires aux fonctions de recherche.

Les données restent dans l'infrastructure de Forge et ne sont pas transférées hors de l'Union européenne par défaut. Source : scaleway.com/fr/privacy.

Sécurité et gouvernance

La certification ISO 27001 est détenue par SQUARANCE (Rise Up) et couvre les processus de sécurité mutualisés utilisés par Forge. Cette certification encadre :

• la gestion des accès et des habilitations ;
• la séparation des environnements ;
• la traçabilité des actions ;
• la gestion des incidents et des risques.

La sécurité est intégrée dès la conception et suivie en continu.

Observabilité et journaux

Datadog

Forge utilise Datadog pour le suivi technique et la détection d'incidents. Les données traitées se limitent :

• aux métriques techniques ;
• aux journaux applicatifs nécessaires à l'exploitation.

Les journaux ne contiennent aucun contenu client ni donnée personnelle exploitable. Leur conservation est limitée au strict nécessaire pour l'exploitation. Source : datadoghq.com, accord de traitement des données.

Usage de l'intelligence artificielle dans Forge

Forge s'appuie sur des technologies d'IA pour analyser vos contenus et fournir ses fonctionnalités. Nous faisons appel à des sous-traitants spécialisés uniquement lorsque c'est nécessaire.

Principes communs à tous les fournisseurs d'IA

Quel que soit le fournisseur :

• seules des données de contenu sont transmises, jamais les documents complets ;
• Forge met en œuvre des mécanismes de minimisation et de pseudonymisation pour limiter la présence de données personnelles dans les requêtes envoyées ;
• les données ne servent pas à entraîner les modèles ;
• les données ne sont pas revendues ;
• la conservation est limitée aux besoins techniques du service.

Données réellement transmises aux fournisseurs d'IA

Lorsque Forge fait appel à un fournisseur d'IA, le contenu client complet n'est jamais transmis. Les fournisseurs d'IA ne reçoivent ni documents complets, ni bases de connaissances, ni fichiers sources.

Les données transmises prennent la forme d'une requête technique, utilisée pour :

• répondre à la question d'un utilisateur ;
• ou générer une activité pédagogique (par exemple flashcards, quiz, synthèse, podcast, activité guidée).

Cette requête peut contenir :

• les instructions du coach Forge (rôle, ton, règles de réponse) ;
• le contexte du programme de formation (objectifs pédagogiques, structure, consignes) ;
• des extraits de texte issus du moteur de recherche documentaire (RAG) : jusqu'à 5 extraits, chacun limité à 512 tokens ;
• un historique de conversation récent : en général 5 à 10 messages, anonymisés (aucune donnée personnelle, aucun identifiant utilisateur).

Ces données :

• sont transmises uniquement pour produire la réponse ou l'activité demandée ;
• ne sont pas stockées par Forge sur les systèmes des fournisseurs ;
• ne sont conservées par les fournisseurs que temporairement, selon leurs politiques (sécurité, prévention des abus, débogage).

Fiabilité des réponses et réduction des hallucinations

Forge met en œuvre plusieurs mécanismes pour réduire le risque d'erreur ou d'hallucination de l'IA, notamment :

• une couche de contrôle interne (« Judge ») qui vérifie la cohérence de la réponse avec le contexte et les contenus fournis ;
• les filtres de sécurité et d'abus des fournisseurs d'IA ;
• la citation des sources lorsque c'est pertinent, pour que l'utilisateur identifie l'origine de l'information ;
• un mécanisme de feedback permettant de signaler une réponse incorrecte ou inadaptée.

L'IA est utilisée comme un outil d'assistance, pas comme une source de vérité autonome. Les réponses sont toujours replacées dans le contexte des contenus fournis par le client.

Sous-traitants IA, détail par fournisseur

Le tableau ci-dessous récapitule chaque sous-traitant IA utilisé par Forge. Le détail des traitements suit.

RGPD et rôle de Forge

Forge agit en qualité de sous-traitant au sens du RGPD. Nous nous engageons à :

• traiter les données uniquement pour le compte de nos clients ;
• garantir la confidentialité et la sécurité ;
• accompagner nos clients dans le respect de leurs obligations réglementaires.

Nous appliquons des mesures strictes de sécurité et de confidentialité pour vous garantir une totale sérénité.

Pour toute question : dpo@forgelearning.com.