Sécurité et données
Où vont vos images
Pour la personne qui valide avant que votre équipe n'installe une extension : ce qui quitte QGIS, comment nous le protégeons, et le DPA à signer.
Dernière mise à jour 8 October 2026
Lire la politique de confidentialité complèteCe qui quitte QGIS
Ce qu'envoie chaque mode
L'extension vérifie votre licence au démarrage de QGIS, et demande confirmation avant le premier envoi d'images ou de données de projet.
Semi-Auto sur votre propre machine
Aucune image. Le modèle s'exécute sur votre processeur. L'extension vérifie tout de même votre licence et envoie des diagnostics.
AI Segmentation dans le cloud
Un clic Cloud AI envoie un petit carré d'imagerie autour du point. Une exécution Automatique envoie les tuiles de la zone que vous avez dessinée, le mot que vous avez saisi, jusqu'à 8 cadres d'exemple, le contour de la zone et ses coordonnées. Les polygones que vous conservez nous reviennent également.
AI Edit
La zone sélectionnée, votre prompt et les éventuelles images de référence, avec l'étendue de la zone, son système de coordonnées et le nom de son fond de carte. La génération s'exécute sur Google Vertex AI.
AI Agent
Votre demande, l'éventuelle image jointe, vos instructions enregistrées, et une description du projet ouvert : chemin du fichier, étendue, CRS, nom, champs, nombre d'entités et étendue de chaque couche, une ligne d'exemple pour les huit premières couches, les exécutions récentes de Traitements et les avertissements QGIS. Le contenu des couches et les fichiers restent sur votre ordinateur.
Ce que nous ne recevons jamais
- Votre fichier de projet et vos autres couches.
- Depuis AI Edit et AI Segmentation : les noms de couches, les chemins de fichiers ou l'URL de votre source d'imagerie (le champ du fond de carte ne conserve qu'un nom de fournisseur et un hôte). AI Agent envoie les noms de couches et le chemin du fichier de projet, comme indiqué ci-dessus.
- Aucune image dans les diagnostics. Ils contiennent des erreurs, des versions, le système d'exploitation et les fonctions utilisées, rattachés à votre compte, et un seul interrupteur les désactive dans les trois extensions.
Sécurité
Principales mesures de sécurité
Chaque point correspond à notre code ou à nos contrats, et change lorsque ceux-ci changent.
Localisation des données
La base de données, les fichiers, AI Segmentation et AI Agent restent dans l'Union européenne : Paris pour la base de données et les fichiers, Belgique pour AI Segmentation, Europe de l'Ouest et zone de données UE pour AI Agent. La génération AI Edit s'exécute sur le point de terminaison global de Google Vertex AI, dans le cadre UE-États-Unis de protection des données.
Chiffrement
TLS 1.2 ou supérieur sur chaque connexion. Les données au repos sont chiffrées par le prestataire (AES-256 chez Supabase, Google Cloud et Azure).
Accès
Seuls deux des trois cofondateurs ont accès à la production, avec une double authentification sur chaque console de fournisseur. Aucun prestataire, aucun support offshore et aucun compte partagé.
Suppression
Vous supprimez votre compte depuis le tableau de bord. Il reste récupérable pendant 15 jours, puis chaque ligne, fichier et contact e-mail est effacé et l'effacement est vérifié.
Export des données
Vos résultats se trouvent déjà dans QGIS, sur votre ordinateur. Les données de compte et d'usage sont exportées au format JSON sur demande, sous 30 jours.
Notification de violation
Une violation de données personnelles est notifiée à la CNIL dans les 72 heures suivant sa découverte, et aux clients concernés dans les meilleurs délais.
Pro : votre historique, aussi longtemps que vous le choisissez
Sur Pro, seul vous voyez votre historique, et rien de ce que vous envoyez n'entraîne un modèle. Les conversations AI Agent font exception : nous les conservons 30 jours et notre équipe peut les lire pour corriger les échecs, sauf si vous choisissez 0 jour. Vous choisissez combien de temps le reste est conservé, ou qu'aucune copie ne soit écrite. Les contrats Enterprise peuvent ajouter une rétention zéro donnée.
Accord de traitement des données
Un DPA à signer avant de payer
Pré-rempli au titre de l'article 28(3) du RGPD, TerraLab agissant en qualité de sous-traitant. Complétez le bloc du responsable du traitement, signez-le et envoyez-le à notre contact vie privée. Sa liste de sous-traitants renvoie à notre page des sous-traitants, qui reste ainsi à jour sans nouvelle signature.
Ce que nous n'avons pas
Si vous nous demandez ces éléments, la réponse est non
Nous sommes une entreprise française de trois cofondateurs. Nous ne pouvons pas fournir :
- Un rapport SOC 2 ni une certification ISO 27001.
- Une installation sur site ou en cloud privé des extensions : la détection et la génération dans le cloud s'exécutent sur nos serveurs. Semi-Auto est la voie hors ligne gratuite ; la détection sur vos propres serveurs est un projet sur mesure distinct.
- Authentification unique (SSO) : vous vous connectez avec un lien envoyé par e-mail.
- Une page publique de statut, pas encore.
À qui écrire
Questions ou questionnaire de sécurité
Écrivez à yvann.barbot@terra-lab.ai et un fondateur répond par écrit. Nous remplissons votre questionnaire et pouvons signer le formulaire DPA de votre propre entreprise au lieu du nôtre. Nous n'avons pas de délégué à la protection des données, que le RGPD n'exige pas à notre taille ; cette adresse est donc le contact du responsable du traitement.
yvann.barbot@terra-lab.aiAvec qui vous contractez
- TerraLab, société par actions simplifiée, capital social de 1,000 euros
- SIREN 104 501 861, RCS Paris B 104 501 861
- TVA intracommunautaire FR43104501861
- 173 rue de Courcelles, 75017 Paris, France
- Président et directeur de la publication : Yvann Barbot