Affirmation 01 · Conformité EFVP — Évaluation des facteurs relatifs à la vie privée
T6AI Canada Inc. a complété sa première EFVP le 2026-03-27, couvrant l'usage de l'API Claude d'Anthropic dans les opérations internes. Version actuelle : v2.0, révisée 2026-06-09.
Ce qu'elle contient : diagramme de flux de données, liste des sous-traitants, périodes de rétention, processus de réponse aux brèches, flux des droits de la personne concernée, classification de risque AI Act européen.
EFVP par produit : Sellovo, Relevia et OpenTac auront chacun leur EFVP dédiée avant le premier utilisateur en production. Celle de Sellovo est en brouillon.
Limite honnête : le document complet contient du détail opérationnel (identifiants fournisseurs, contacts internes, contrôles de sécurité). Un résumé caviardé est disponible aux investisseurs, auditeurs, régulateurs, et prospects sérieux sur demande.
Demander l'EFVP caviardée → Affirmation 02 · Couche de sécurité NVIDIA NeMo Guardrails — 56 rails actifs, fail-closed
Chaque appel LLM provenant d'un agent T6IA en production est filtré par ot-guardrails, notre déploiement interne de NVIDIA NeMo Guardrails. Le filtre tourne sur localhost:8090 en développement et dans un conteneur durci en production.
Ce que veut dire « 56 rails actifs » : 54 flows Colang déclaratifs (27 sécurité + 27 conformité) plus 2 rails d'auto-vérification LLM servis par nemotron-mini-4b-instruct via NVIDIA AI Endpoints. Catégories : détection RP, détection d'injections de prompt, heuristiques anti-jailbreak, restrictions thématiques, minimisation Loi 25 art. 8.1, crochets de journalisation d'audit.
Fail-closed veut dire : si la couche de garde-fous est inatteignable pour quelque raison que ce soit—endpoint NVIDIA hors-ligne, partition réseau, redémarrage de conteneur—l'appel LLM est refusé avec HTTP 503 et une entrée de journal safe-deny. Aucun passage silencieux.
Limite honnête : le compte de rails et le code source Colang ne sont pas encore publics. Ils seront publiés dans le dépôt OpenTac à son ouverture (voir Affirmation 05). On fait volontiers une démo en direct pour les reviewers sérieux—écrivez-nous.
Affirmation 03 · Résidence des données AWS ca-central-1 — Montréal, de bout en bout
Chaque octet de données client réside dans AWS ca-central-1 (Montréal). Base de données, stockage d'objets, courriel (SES), inférence IA (Bedrock lorsqu'utilisé), et épinglage régional du CDN.
Posture technique : RDS / Aurora avec --storage-encrypted, groupe de paramètres rds.force_ssl=1, IAM moindre privilège, groupes de sécurité restrictifs par défaut, aucun RDS public, volumes EBS chiffrés, buckets S3 chiffrés.
Transfert transfrontalier : nous ne transférons pas de RP client hors Canada sans consentement explicite. Les fonctions Vercel sont épinglées à yul1 (Montréal) pour les produits qui nécessitent du edge compute.
Limite honnête : l'API Claude (Anthropic) est hébergée aux États-Unis et traite le contenu des prompts. C'est divulgué dans notre EFVP et dans la politique de confidentialité de chaque produit. Bedrock ca-central-1 est le chemin résidence-verrouillée quand la conformité spécifique au produit l'exige.
Affirmation 04 · Couverture de tests 2 300+ tests automatisés à travers le portfolio et les produits internes
Nous testons les bords ennuyants : autorisation, race conditions, tentatives d'accès inter-tenants, idempotence des paiements, intégrité du journal d'audit. Décomposition par produit :
- Relevia — 549 tests, tous verts en CI (2026-06-10)
- OpenTac — ~1 295 tests · 15 fournisseurs OAuth · 36 outils
- FoundMyBiz — 504 tests
Limite honnête : ces comptes proviennent de notre CI interne (GitHub Actions). Ils ne sont pas audités à l'externe. On peut montrer les tableaux de bord CI et les artéfacts de tests aux reviewers sérieux sous entente de non-divulgation.
Affirmation 05 · Logiciel libre OpenTac — licence Apache 2.0 rédigée, dépôt public au V1
OpenTac est notre plan de contrôle universel pour flottes d'agents IA. La licence Apache 2.0 est rédigée et déjà engagée dans le dépôt (actuellement privé). Le dépôt s'ouvre au public quand V1 sera durci—usage interne aujourd'hui, aucun badge « OSS en ligne » trompeur.
Ce que vous pouvez vérifier aujourd'hui : les pages d'architecture de ce site, les extraits de README dans la page produit, un résumé caviardé de l'arborescence des modules sur demande.
Ce qui change au lancement : le dépôt bascule public, README + LICENSE + CONTRIBUTING deviennent canoniques, docker compose up amorce le même code que nous exécutons à l'interne.
M'aviser au lancement → Affirmation 06 · Brèche et droits Notification 72h, droits Loi 25 / RGPD honorés
La Loi 25 art. 3.5 exige d'aviser la Commission d'accès à l'information dans les 72 heures d'un incident confirmé. RGPD art. 33 impose le même SLA au responsable du traitement. Notre runbook d'intervention en cas d'incident (privé) vise une trajectoire détection interne en 4h → triage en 24h → notification au régulateur en 72h.
Flux des droits : les demandes d'accès, rectification, effacement, portabilité sont acheminées à contact@t6ai.co avec une cible de réponse de 30 jours (Loi 25). Pour les décisions automatisées Loi 25 art. 12.1 (par exemple le jumelage Relevia), la personne affectée reçoit une explication lisible par un humain et peut demander une révision humaine.
Limite honnête : nous n'avons pas eu d'incident à signaler. Le SLA 72h est notre posture engagée, testée contre des exercices d'incident synthétiques à l'interne.