Comment Minds gère la protection des données et la sécurité en octobre 2026 : DPA, hébergement des données, sous-traitants IA, chiffrement et absence d'entraînement de modèles sur vos données.
Minds fournit les documents et les contrôles requis pour un audit de sécurité et de conformité au RGPD : un accord de traitement des données selon l'article 28 du RGPD, une liste publique de sous-traitants ultérieurs avec leurs localisations, des mesures techniques et organisationnelles, ainsi qu'une politique de confidentialité. En octobre 2026, l'application est hébergée à Francfort et la base de données à Stockholm, tandis que le traitement IA recourt à des fournisseurs de modèles basés aux États-Unis sous le régime des clauses contractuelles types de la Commission européenne. Les données client ne sont pas utilisées pour entraîner des modèles génériques ou tiers. La conformité de votre utilisation dépend des données que vous importez et de votre base juridique : examinez ces documents avec votre délégué à la protection des données.
À qui s'adresse cet aperçu de la sécurité et de la conformité
Cette page s'adresse aux délégués à la protection des données, aux équipes de sécurité informatique, juridiques et des achats qui évaluent Minds, ainsi qu'aux responsables d'études qui doivent répondre à leurs questions. Pour comprendre comment le RGPD s'applique de manière générale aux études synthétiques, consultez les répondants synthétiques sont-ils conformes au RGPD.
Quelles données Minds traite et où
Minds traite les données que vous et votre équipe y intégrez : données de compte et d'utilisation, fichiers et stimuli importés, prompts et réponses aux Studies, ainsi que les sources utilisées pour calibrer les Minds et les Audiences. D'après la liste des sous-traitants ultérieurs :
L'hébergement de l'application est assuré par DigitalOcean à Francfort, en Allemagne.
La base de données et l'authentification reposent sur Supabase à Stockholm, en Suède.
Le traitement par IA fait appel à OpenAI, Anthropic et Google Cloud Vertex AI aux États-Unis, certaines requêtes OpenAI et Anthropic étant routées via Vercel AI Gateway vers les API professionnelles de ces fournisseurs.
La recherche web pour l'ancrage contextuel utilise des prestataires tels qu'Exa et Firecrawl aux États-Unis.
La politique de confidentialité précise la base juridique applicable à chaque prestataire et mentionne les clauses contractuelles types de la Commission européenne comme base de transfert vers les États-Unis. Si vos politiques internes exigent que les données concernées ne quittent jamais l'Union européenne, ne les intégrez pas à la plateforme.
Chiffrement en transit avec TLS 1.2 ou supérieur, y compris pour le trafic interne entre services.
Chiffrement au repos avec AES-256 pour la base de données, le stockage de fichiers et les sauvegardes.
Séparation logique des organisations clientes au sein de la base de données grâce à la sécurité au niveau des lignes.
Identifiants, jetons OAuth et clés API stockés de manière chiffrée, limités en périmètre et révocables.
DigitalOcean et Supabase détiennent des certifications telles que SOC 2 Type II et ISO 27001. Il s'agit des certifications propres à ces prestataires ; Minds ne détient pas directement de rapport SOC 2 ou de certification ISO à ce jour.
Data use and model training
L'accord de traitement des données stipule que les données client ne sont pas utilisées, et que les sous-traitants ultérieurs ne peuvent pas les utiliser, pour entraîner, affiner ou améliorer des modèles génériques, des modèles fondateurs, partagés ou tiers. Un modèle privé spécifique à un client n'est créé que sur vos instructions documentées et uniquement pour votre espace de travail.
Quand Minds est adapté à votre organisation
Minds est adapté si vos critères d'évaluation acceptent les modalités de traitement décrites ci-dessus, notamment le recours à des fournisseurs de modèles d'IA situés aux États-Unis dans le cadre de clauses contractuelles types, et que votre équipe souhaite mener des études synthétiques sans recruter de participants.
Minds n'est en revanche pas adapté si votre politique interne interdit tout transfert de données hors de l'Union européenne, ou si vous exigez un fournisseur disposant de son propre rapport SOC 2 ou de sa propre certification ISO. Dans ce cas, n'utilisez Minds qu'avec des données publiques ou agrégées, ou optez pour une configuration différente. Pour structurer l'évaluation de vos prestataires, consultez le guide RGPD sur la sécurité des données dans les études de marché par IA.
Questions fréquentes
Minds est-il conforme au RGPD ?
Minds fournit les éléments nécessaires à un audit RGPD : un accord de traitement des données au titre de l'article 28, une liste publiée de sous-traitants ultérieurs, des mesures techniques et organisationnelles ainsi qu'une politique de confidentialité. La conformité d'une utilisation précise dépend des données que vous intégrez sur la plateforme et de votre propre base légale, c'est pourquoi Minds ne prétend pas que chaque utilisation est conforme par défaut.
Où les données de Minds sont-elles hébergées et traitées ?
Depuis octobre 2026, l'application fonctionne sur DigitalOcean à Francfort, en Allemagne, et la base de données sur Supabase à Stockholm, en Suède. Le traitement par IA fait appel à des fournisseurs de modèles situés aux États-Unis, notamment OpenAI, Anthropic et Google Cloud Vertex AI ; la politique de confidentialité désigne les clauses contractuelles types de la Commission européenne comme base de transfert. Chaque sous-traitant ultérieur est répertorié avec sa localisation.
Minds utilise-t-il nos données pour entraîner des modèles d'IA ?
Non. Conformément au DPA, les données client ne sont pas utilisées, et les sous-traitants ultérieurs ne peuvent pas les utiliser, pour entraîner, affiner ou améliorer des modèles génériques, des modèles fondateurs ou des modèles tiers. Un modèle privé spécifique à un client n'est créé que si vous en faites explicitement la demande.
Comment Minds sécurise-t-il les concepts et fichiers importés ?
Les données sont chiffrées en transit avec TLS 1.2 ou supérieur et au repos avec AES-256, y compris le stockage des fichiers et les sauvegardes. Les données client sont isolées par organisation au niveau de la base de données. Les hébergeurs disposent de certifications telles que SOC 2 Type II et ISO 27001 ; il s'agit de certifications détenues par ces prestataires, et Minds ne détient pas directement de rapport SOC 2 ou de certification ISO à ce jour.
Faut-il importer des données personnelles pour utiliser Minds ?
Non. Vous pouvez créer des Audiences à partir de descriptions, d'études publiées et de résultats d'enquêtes agrégés ou anonymisés. Si vous importez des fichiers contenant des données personnelles, ou si vous créez un Mind représentant une personne nominative, ces données sont traitées dans le cadre du DPA et requièrent une base légale de votre côté.
Comment notre équipe de sécurité peut-elle auditer Minds ?
Commencez par consulter le DPA, la liste des sous-traitants ultérieurs, les mesures techniques et organisationnelles ainsi que la politique de confidentialité, tous disponibles sur les pages juridiques de Minds. Les entreprises clientes peuvent poser des questions complémentaires lors du processus d'achat.
