Microsoft 365 Copilot
Stockage des données 2/3
Déclaration du fournisseur (notre résumé):
EU Data Boundary (inclut la Suisse)
Ce que cela signifie: UE/EEE, ou région au choix incluant la Suisse. Le lieu de stockage détermine quel droit et quelles autorités peuvent accéder aux données. Les études suisses exigent souvent une résidence en Suisse pour les dossiers clients.
Où tourne l’IA / sous-traitants 1/3
Déclaration du fournisseur (notre résumé):
EU Data Boundary ; le « flex routing » peut traiter hors de la zone (US, CA, AU) s'il n'est pas désactivé
Ce que cela signifie: Peut quitter la région, ou recourt à des API de LLM américaines. Stockage et traitement IA se trouvent souvent à des endroits différents. Un outil peut stocker à Zurich et envoyer les requêtes à des modèles dans un autre pays.
Exposition au Cloud Act 0/3 ⚖︎
Déclaration du fournisseur (notre résumé):
Fournisseur américain
⚖︎ Appréciation éditoriale: Fournisseur domicilié aux États-Unis, directement soumis au Cloud Act.
Ce que cela signifie: Fournisseur domicilié aux États-Unis ou traitement uniquement aux États-Unis. Le CLOUD Act permet aux autorités américaines d’exiger des prestataires américains la remise de données en leur possession, sous leur garde ou leur contrôle, où qu’elles soient stockées. Cette note est toujours une appréciation éditoriale.
Clauses d’auxiliaire art. 321 CP 2/3
Déclaration du fournisseur (notre résumé):
Engagement contractuel général : données utilisées uniquement selon les instructions du client (DPA/Product Terms) ; pas de clause d'auxiliaire
Ce que cela signifie: Déclaration générale de confidentialité, sans clause d’auxiliaire. Selon l’art. 321 CP, les auxiliaires de l’avocat sont tenus au secret professionnel, et l’art. 13 al. 2 LLCA charge l’avocat de veiller à ce qu’ils le respectent. Des clauses écrites d’auxiliaire aident à le documenter.
Contrat de sous-traitance nLPD / RGPD 3/3 ⚖︎
Déclaration du fournisseur (notre résumé):
Couvert par le DPA public de Microsoft (Products and Services DPA, Microsoft sous-traitant) ; un avenant suisse applique le DPA à la nLPD une fois accepté
⚖︎ Appréciation éditoriale: Le DPA de base est public mais centré sur le RGPD ; la nLPD est nommée dans l'avenant suisse de Microsoft (version d'avril 2023, copie hébergée par Swisscom), à accepter séparément.
Ce que cela signifie: DPA public mentionnant la nLPD. L’art. 9 nLPD et l’art. 28 RGPD exigent un contrat (ou une base légale) lorsqu’un sous-traitant traite des données personnelles pour votre compte.
Pas d’entraînement sur les données 3/3
Déclaration du fournisseur (notre résumé):
Prompts, réponses et données Graph non utilisés pour entraîner les LLM de base
Ce que cela signifie: Interdiction contractuelle, y compris pour les fournisseurs de modèles. Si les données clients entraînent un modèle, du contenu confidentiel pourrait réapparaître ailleurs. Cherchez une interdiction contractuelle qui lie aussi les fournisseurs de modèles.
ISO 27001 / SOC 2 3/3
Déclaration du fournisseur (notre résumé):
Microsoft Copilot cite ISO 27001 et ISO 42001 parmi ses certifications ; certificat ISO 27001:2022 de Microsoft 365 (2024-2027)
Ce que cela signifie: ISO 27001 ou SOC 2 Type II propre. Des audits indépendants (ISO 27001, SOC 2 Type II) attestent que des contrôles de sécurité existent et sont testés.
Questions à poser à ce fournisseur
- Stockage des données Dans quel pays et quel centre de données nos documents, requêtes, résultats et sauvegardes sont-ils stockés ?
- Stockage des données Pouvons-nous fixer contractuellement le stockage en Suisse ?
- Où tourne l’IA / sous-traitants Dans quels pays les modèles d’IA traitent-ils nos requêtes, y compris en cas de repli ou de pic de charge ?
- Où tourne l’IA / sous-traitants Merci de fournir la liste complète des sous-traitants avec leur localisation et la procédure de notification des changements.
- Exposition au Cloud Act Votre société ou un sous-traitant de la chaîne de traitement est-il une société américaine ou la filiale d’une telle société ?
- Exposition au Cloud Act Comment répondriez-vous à une demande d’une autorité étrangère portant sur nos données, et nous en informeriez-vous ?
- Clauses d’auxiliaire art. 321 CP Acceptez-vous contractuellement le statut d’auxiliaire au sens de l’art. 321 CP et le répercutez-vous sur vos sous-traitants ?
- Clauses d’auxiliaire art. 321 CP Qui, chez vous ou chez vos sous-traitants, peut accéder à nos contenus en clair ?
À titre informatif uniquement, ne constitue pas un avis juridique. Les résultats reflètent les déclarations publiques des fournisseurs à la date de vérification et nos règles de notation. Vérifiez vous-même les contrats avant d’utiliser un outil avec des données clients.