Marianne et le RGPD : données et hébergement

Principe fondateur : Civik-ia applique la protection des données dès la conception (article 25 du RGPD) et consigne dans son registre des incidents les écarts qu'elle constate.

1. Cadre juridique applicable

Civik-ia respecte l'ensemble des textes suivants :

Règlement (UE) 2016/679 du 27 avril 2016, Règlement Général sur la Protection des Données (RGPD)
Loi n° 78-17 du 6 janvier 1978 modifiée, Informatique et Libertés
Ordonnance n° 2018-1125 du 12 décembre 2018 prise en application de l'article 32 de la loi n° 2018-493 du 20 juin 2018
Directive 2002/58/CE (ePrivacy) concernant le traitement des données dans le secteur des communications électroniques
Règlement (UE) 2023/2854 du 13 décembre 2023 concernant des règles harmonisées portant sur l'équité de l'accès aux données et de l'utilisation des données (règlement sur les données), applicable depuis le 12 septembre 2025 : juridictions et accès des autorités d'un pays tiers (articles 28 et 32, voir la section 4.4) et, pour Marianne, changement de fournisseur (chapitre VI, article 14 des conditions générales de vente)
Lignes directrices et recommandations de la CNIL, en particulier le Guide de sensibilisation au RGPD pour les collectivités territoriales

2. Rôles et qualifications au sens du RGPD

Articles 4(7), 4(8) et 28 du RGPD

2.1. Pour le site vitrine civik-ia.fr

Civik-ia est responsable du traitement pour les données collectées via le site (formulaire de contact, analytics).

2.2. Pour la Plateforme d'Intelligence Citoyenne

La collectivité territoriale cliente est responsable du traitement pour les données de ses administrés traitées via la plateforme. Civik-ia agit en qualité de sous-traitant.

Contrat de sous-traitance (DPA) : conformément à l'article 28.3 du RGPD, un accord de sous-traitance est conclu avec chaque collectivité cliente. Ce contrat précise : l'objet et la durée du traitement, la nature et la finalité, les types de données traitées, les catégories de personnes concernées, et les obligations respectives des parties.

3. Principes de protection appliqués

3.1. Minimisation des données (article 5.1.c RGPD)

Le chatbot citoyen fonctionne sans aucune collecte de données d'identification. Aucune inscription, aucun login, aucune identification n'est requise pour poser une question. Les conversations ne sont rattachées à aucun compte ni à aucune identité.

3.2. Protection dès la conception et par défaut (article 25 RGPD)

Les questions reconnues comme portant sur un thème sensible (santé, justice, urgence, prestations sociales, emploi, situation administrative) ne sont pas écrites dans la base. Le texte des autres questions est effacé de la base au bout de quatre-vingt-dix jours. L'espace mairie, qui n'est pas encore ouvert, sera réservé aux agents et aux élus que la collectivité désigne.

3.3. Limitation des finalités (article 5.1.b RGPD)

Les données sont collectées pour des finalités déterminées, explicites et légitimes, et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités.

3.4. Limitation de la conservation (article 5.1.e RGPD)

Les durées de conservation sont définies pour chaque catégorie de données et strictement respectées. Voir notre Politique de Confidentialité pour le détail.

4. Hébergement et infrastructure

4.1. Site vitrine (civik-ia.fr)

Le site vitrine est hébergé par OVH SAS, sur un serveur virtuel OVHcloud situé en Allemagne. Les formulaires des pages d'accueil, Conseil, Atelier, des prix, du calculateur de la page Marianne, du livre blanc et de la page de démonstration sont reçus par le serveur de Civik-ia, chez OVH en Allemagne, qui les transmet par courriel via Brevo, avec Formspree, Inc. en secours ; le formulaire de contact de la page Marianne est reçu par Formspree, Inc. (voir section 7).

4.2. Plateforme d'Intelligence Citoyenne

Hébergeur : OVH SAS (société française), serveur situé en Allemagne
Moteur d'intelligence artificielle : Mistral AI (société française), selon ses conditions et son accord de traitement des données

Règlement (UE) 2024/1689 sur l'intelligence artificielle : les rôles de Civik-ia et de la commune, la mention d'intelligence artificielle, le marquage des réponses et le lieu de calcul sont décrits dans la section Intelligence artificielle des mentions légales. Ce qui revient à la commune figure dans la notice d'utilisation de Marianne.

4.3. Transferts de données

Les données des collectivités clientes et de leurs administrés (conversations chatbot, statistiques d'usage) sont hébergées sur le serveur OVH, situé en Allemagne.

Pour rédiger chaque réponse, la question et les échanges précédents de la même conversation sont transmis au moteur d'intelligence artificielle de Mistral AI, société française, qui les traite selon ses conditions et son accord de traitement des données (voir section 7, Sous-traitants) ; le lieu de calcul n'est pas fixé par contrat. Les lieux de traitement et les éventuels transferts hors de l'Union européenne sont décrits dans l'accord sur le traitement des données remis à chaque collectivité.

Transparence : Civik-ia décrit les flux de données dans l'accord sur le traitement des données remis à chaque collectivité et notifie à ses collectivités clientes toute évolution de son infrastructure.

4.4. Juridictions et accès des autorités

Articles 28 et 32 du règlement (UE) 2023/2854 sur les données

Cette section indique, pour chaque service de Civik-ia, la juridiction dont relève l'infrastructure qui traite ses données, et les mesures prises contre l'accès d'une autorité d'un pays tiers aux données détenues dans l'Union européenne. L'accord sur le traitement des données de Marianne y renvoie.

Marianne, pour les collectivités

Serveur, base de données et sauvegardes : serveur virtuel loué à OVH SAS, société de droit français, dans un centre de données situé en Allemagne. Juridictions : Allemagne et France, dans l'Union européenne.
Copie hors site des sauvegardes : poste de travail de Civik-ia, en France, sur un disque chiffré. Juridiction : France.
Moteur d'intelligence artificielle : Mistral AI, société de droit français. Civik-ia l'appelle par son point d'accès européen : d'après la documentation de Mistral AI, le calcul se fait dans des centres de données de l'Union européenne et de l'AELE, ce qui n'est pas un engagement de son contrat standard. Selon Mistral AI, les données sont hébergées par défaut dans l'Union européenne et peuvent, selon les fonctions, être transférées temporairement hors de l'Union. Mistral AI recourt à ses propres sous-traitants, dont elle publie la liste. Juridictions : France, et celles du lieu de calcul (pays de l'Union européenne et de l'AELE) et des sous-traitants que retient Mistral AI.
Courriels de l'espace mairie, à son ouverture : Sendinblue SAS (Brevo), société de droit français. Le lieu de ses serveurs est communiqué par écrit à la collectivité avant l'ouverture. Juridiction : France.
Outils de travail de Civik-ia : Civik-ia garde des copies de travail de la base de connaissances de chaque commune, bâtie à partir des informations qu'elle publie, avec l'historique des versions et les réglages de la commune, dans son dépôt de code et ses outils de développement. Pendant la mise en service, avant l'ouverture au public, des questions posées sur la page de test peuvent figurer dans les courriels internes de Civik-ia et, tronquées et masquées, dans sa relecture des réponses. Ces outils et cette messagerie sont fournis par des sociétés établies aux États-Unis ou rattachées à des groupes de ce pays : ils peuvent traiter ces données aux États-Unis et relever du droit de ce pays. Après l'ouverture au public, ni ces courriels ni cette relecture ne reprennent le texte des questions et des réponses.

Comitia, pour les associations

Serveur, base de données et sauvegardes : les mêmes que pour Marianne, chez OVH SAS en Allemagne, avec la copie hors site en France.
Courriels aux membres : Sendinblue SAS (Brevo), société de droit français. Juridiction : France.
Notifications : transmises au téléphone ou à l'ordinateur du membre par le service de notification de l'éditeur de son navigateur ou de son système (Apple, Google, Microsoft ou Mozilla), qui peut relever du droit des États-Unis. Le contenu de chaque notification est chiffré pour le seul appareil du membre.
Outils de travail de Civik-ia : copies de travail du code et des contenus publiés par l'association, dans les mêmes outils que pour Marianne.

Comitia n'appelle aucun moteur d'intelligence artificielle.

Mesures contre l'accès des autorités d'un pays tiers

Techniques : les données des services sont hébergées sur le serveur situé en Allemagne, administré par clé cryptographique par le seul président de Civik-ia. Les index de recherche et la lecture des documents scannés sont calculés sur ce serveur, sans service extérieur. Les échanges sont chiffrés (HTTPS). La copie hors site des sauvegardes reste en France, sur un disque chiffré.
Organisationnelles : Civik-ia est une société de droit français, sans établissement ni filiale hors de l'Union européenne. Son hébergeur et le fournisseur du moteur d'intelligence artificielle de Marianne sont des sociétés de droit français. Le président de Civik-ia est la seule personne de la société qui accède aux données.
Contractuelles : Civik-ia ne donne suite à une décision d'une juridiction ou d'une autorité d'un pays tiers exigeant l'accès à des données détenues dans l'Union européenne, ou leur transfert, que si elle est fondée sur un accord international en vigueur avec l'Union européenne ou la France (article 48 du RGPD). Pour les données à caractère non personnel, à défaut d'un tel accord, elle n'y donne suite que dans les conditions de l'article 32, paragraphe 3, du règlement sur les données. Elle peut solliciter l'avis de l'autorité nationale compétente, rejette la demande qui ne remplit pas ces conditions et ne communique que le volume minimal de données admissible. Elle informe le client avant d'y donner suite, sauf si la demande sert des fins répressives, aussi longtemps que cela est nécessaire. L'accord sur le traitement des données de Marianne, version du 21 octobre 2026, reprend ces engagements (article 10.4).
Portée : ces mesures protègent les données détenues sur le serveur et dans la copie hors site. Les copies et les échanges décrits aux points « Outils de travail de Civik-ia » et « Notifications » peuvent relever du droit des États-Unis.

5. Mesures de sécurité techniques et organisationnelles

Article 32 du RGPD : Sécurité du traitement

Chiffrement des échanges : HTTPS (TLS) entre le navigateur et la plateforme, et vers les sous-traitants
Accès au serveur : administration par clé cryptographique seulement, réservée au président de Civik-ia
Espace mairie, à son ouverture : comptes créés à la demande de la collectivité, mots de passe et codes de connexion conservés sous forme d'empreinte
Conservation : texte des questions effacé de la base au bout de 90 jours, questions reconnues comme portant sur un thème sensible non écrites dans la base, journal du serveur web conservé 14 jours
Sauvegardes : quotidiennes, conservées 14 jours sur le serveur et 30 jours dans une copie hors site en France
Tests de sécurité : batterie d'attaques rejouée après chaque modification des consignes du modèle, de l'authentification ou du serveur web

6. Obligations contractuelles du sous-traitant

Article 28.3 du RGPD : Clauses obligatoires

Dans le cadre de chaque contrat de sous-traitance, Civik-ia s'engage à :

Ne traiter les données que sur instructions documentées du responsable du traitement (la collectivité)
Garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité
Prendre toutes les mesures de sécurité requises par l'article 32 du RGPD
Ne pas engager de sous-traitant ultérieur sans autorisation écrite préalable de la collectivité
Assister la collectivité dans le respect de ses obligations : réponse aux demandes d'exercice de droits, notification de violations, analyse d'impact
Notifier à la collectivité toute violation de données dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance (article 33.2 du RGPD)
Mettre à disposition toutes les informations nécessaires pour démontrer le respect des obligations et permettre des audits
À la fin du contrat, restituer ou supprimer toutes les données selon le choix de la collectivité

7. Sous-traitants ultérieurs

Civik-ia fait appel aux sous-traitants ultérieurs suivants :

OVH SAS (Roubaix, France, siège social) : hébergement, infrastructure cloud, serveur situé en Allemagne
Mistral AI (société française, lieu de calcul non fixé par contrat) : rédaction des réponses par un modèle de langage, selon les conditions et l'accord de traitement des données de Mistral AI. La question est transmise telle que la personne l'a écrite, avec les échanges précédents de la même conversation, sans compte ni identifiant. Civik-ia a désactivé dans sa console Mistral AI l'usage de ses données pour améliorer les modèles (réglage relevé le 14/09/2026). Ce sous-traitant est désigné dans l'accord sur le traitement des données remis à chaque collectivité.
Sendinblue SAS (Brevo) (société française), à l'ouverture de l'espace mairie : envoi des codes de connexion aux agents et aux élus. Pour le compte de Civik-ia : envoi à Civik-ia des demandes reçues par les formulaires des pages d'accueil, Conseil, Atelier, des prix, du calculateur de la page Marianne, du livre blanc et de la page de démonstration, et des accusés de réception à leurs auteurs ; pour ce flux, Brevo ne reçoit que les données saisies dans ces formulaires.
Formspree, Inc. (États-Unis) : réception du formulaire de contact de la page Marianne, et, en secours seulement, quand le serveur de Civik-ia ne répond pas ou ne peut pas traiter la demande, des formulaires des pages d'accueil, Conseil, Atelier, des prix, du calculateur de la page Marianne, du livre blanc et de la page de démonstration. Transfert encadré par les clauses contractuelles types de la Commission européenne. Base légale et données : celles de chaque formulaire, détaillées dans la Politique de Confidentialité. Ce sous-traitant n'a accès à aucune donnée de la Plateforme.

Toute modification de cette liste est communiquée aux collectivités clientes trente jours avant sa mise en œuvre, ou dans les quarante-huit heures en cas de remplacement d'urgence, selon l'accord sur le traitement des données (article 28.2 du RGPD).

Hébergement et moteur d'IA : les données des collectivités et de leurs administrés sont hébergées par OVH sur un serveur situé en Allemagne, et les réponses sont rédigées par le moteur de Mistral AI, société française, dont le lieu de calcul n'est pas fixé par contrat. Les demandes envoyées par les formulaires des pages d'accueil, Conseil, Atelier, des prix, du calculateur de la page Marianne, du livre blanc et de la page de démonstration arrivent sur le serveur de Civik-ia, qui les transmet par le relais de Brevo, société française, à la messagerie Google Workspace de Civik-ia ; celles du formulaire de contact de la page Marianne passent par Formspree, qui reçoit aussi les autres en secours. Google, Anthropic, dont l'assistant aide Civik-ia à lire et classer son courrier, et Formspree peuvent les traiter hors de l'Union européenne. Ces flux ne concernent que les données volontairement fournies par les visiteurs dans ces formulaires (voir la Politique de Confidentialité).

8. Registre des traitements

Article 30 du RGPD

Dès son premier contrat avec une collectivité, Civik-ia tient le registre des activités de traitement qu'elle effectue en tant que sous-traitant (article 30.2 du RGPD) et le met à disposition de la CNIL sur demande.

9. Analyse d'Impact (AIPD)

Articles 35 et 36 du RGPD

Il appartient à la collectivité, responsable du traitement, d'apprécier si une Analyse d'Impact relative à la Protection des Données (AIPD) est requise et de la conduire. Avant l'ouverture au public, Civik-ia lui remet les éléments de cette analyse : description du traitement, mesures de sécurité, risques identifiés et mesures qui y répondent.

Civik-ia répond aux questions de la collectivité et, le cas échéant, de la CNIL lors d'une consultation préalable (article 36 du RGPD).

10. Notification de violations

Articles 33 et 34 du RGPD

En cas de violation de données personnelles, Civik-ia s'engage à :

Notifier la collectivité cliente dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par courriel à son référent et à son délégué à la protection des données
Fournir toutes les informations nécessaires pour que la collectivité décide de notifier la CNIL (dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, article 33) et d'informer les personnes concernées (article 34)
Documenter la violation, ses effets et les mesures correctives prises

11. Contact

Pour toute question relative à la protection des données :
Email : contact@civik-ia.fr, Objet : « Protection des données »

Autorité de contrôle : CNIL, 3 Place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07, www.cnil.fr