Affirmation 01 · Conformité EFVP — Évaluation des facteurs relatifs à la vie privée
T6AI Inc. a complété sa première EFVP le 2026-03-27, couvrant l'usage de l'API Claude d'Anthropic dans les opérations internes. Version actuelle : v1.4, dernière mise à jour 2026-05-15.
Ce qu'elle contient : diagramme de flux de données, liste des sous-traitants, périodes de rétention, processus de réponse aux brèches, flux des droits de la personne concernée, classification de risque AI Act européen.
EFVP par produit : Calypack, Relevia et OpenTac auront chacun leur EFVP dédiée avant le premier utilisateur en production. Celle de Calypack est en brouillon.
Limite honnête : le document complet contient du détail opérationnel (identifiants fournisseurs, contacts internes, contrôles de sécurité). Un résumé caviardé est disponible aux investisseurs, auditeurs, régulateurs, et prospects sérieux sur demande.
Demander l'EFVP caviardée → Affirmation 02 · Couche de sécurité NVIDIA NeMo Guardrails — 60 rails Colang, fail-closed
Chaque appel LLM provenant d'un agent T6IA en production est filtré par mc-guardrails, notre déploiement interne de NVIDIA NeMo Guardrails. Le filtre tourne sur localhost:8090 en développement et dans un conteneur durci en production.
Ce que veut dire « 60 rails Colang » : 60 règles de politique déclaratives écrites dans le langage Colang de NeMo. Catégories : détection RP, détection d'injections de prompt, heuristiques anti-jailbreak, classificateurs de sécurité de contenu (NeMo Guard 8B), restrictions thématiques, minimisation Loi 25 art. 8.1, crochets de journalisation d'audit.
Fail-closed veut dire : si la couche de garde-fous est inatteignable pour quelque raison que ce soit—NIM hors-ligne, partition réseau, redémarrage de conteneur—l'appel LLM est refusé avec HTTP 503 et une entrée de journal safe-deny. Aucun passage silencieux.
Limite honnête : le compte de rails et le code source Colang ne sont pas encore publics. Ils seront publiés dans le dépôt OpenTac à son ouverture (voir Affirmation 05). On fait volontiers une démo en direct pour les reviewers sérieux—écrivez-nous.
Affirmation 03 · Résidence des données AWS ca-central-1 — Montréal, de bout en bout
Chaque octet de données client réside dans AWS ca-central-1 (Montréal). Base de données, stockage d'objets, courriel (SES), inférence IA (Bedrock lorsqu'utilisé), et épinglage régional du CDN.
Posture technique : RDS / Aurora avec --storage-encrypted, groupe de paramètres rds.force_ssl=1, IAM moindre privilège, groupes de sécurité restrictifs par défaut, aucun RDS public, volumes EBS chiffrés, buckets S3 chiffrés.
Transfert transfrontalier : nous ne transférons pas de RP client hors Canada sans consentement explicite. Les fonctions Vercel sont épinglées à yul1 (Montréal) pour les produits qui nécessitent du edge compute.
Limite honnête : l'API Claude (Anthropic) est hébergée aux États-Unis et traite le contenu des prompts. C'est divulgué dans notre EFVP et dans la politique de confidentialité de chaque produit. Bedrock ca-central-1 est le chemin résidence-verrouillée quand la conformité spécifique au produit l'exige.
Affirmation 04 · Couverture de tests ~1 600 tests automatisés à travers le portfolio
Nous testons les bords ennuyants : autorisation, race conditions, tentatives d'accès inter-tenants, idempotence des paiements, intégrité du journal d'audit. Décomposition par produit :
- Relevia — 514 tests (404 web + 79 admin + 18 auth + 13 quiz)
- ThisIsMyFlight — 591 tests
- OpenTac — 515 tests, 28 intégrations OAuth
- FoundMyBiz — 504 tests
Limite honnête : ces comptes proviennent de notre CI interne (GitHub Actions). Ils ne sont pas audités à l'externe. On peut montrer les tableaux de bord CI et les artéfacts de tests aux reviewers sérieux sous entente de non-divulgation.
Affirmation 05 · Logiciel libre OpenTac — licence Apache 2.0 rédigée, dépôt public au V1
OpenTac est notre plan de contrôle universel pour flottes d'agents IA. La licence Apache 2.0 est rédigée et déjà engagée dans le dépôt (actuellement privé). Le dépôt s'ouvre au public quand V1 sera durci—usage interne aujourd'hui, aucun badge « OSS en ligne » trompeur.
Ce que vous pouvez vérifier aujourd'hui : les pages d'architecture de ce site, les extraits de README dans la page produit, un résumé caviardé de l'arborescence des modules sur demande.
Ce qui change au lancement : le dépôt bascule public, README + LICENSE + CONTRIBUTING deviennent canoniques, docker compose up amorce le même code que nous exécutons à l'interne.
M'aviser au lancement → Affirmation 06 · Brèche et droits Notification 72h, droits Loi 25 / RGPD honorés
La Loi 25 art. 3.5 exige d'aviser la Commission d'accès à l'information dans les 72 heures d'un incident confirmé. RGPD art. 33 impose le même SLA au responsable du traitement. Notre runbook d'intervention en cas d'incident (privé) vise une trajectoire détection interne en 4h → triage en 24h → notification au régulateur en 72h.
Flux des droits : les demandes d'accès, rectification, effacement, portabilité sont acheminées à contact@t6ai.co avec une cible de réponse de 30 jours (Loi 25). Pour les décisions automatisées Loi 25 art. 12.1 (par exemple le jumelage Relevia), la personne affectée reçoit une explication lisible par un humain et peut demander une révision humaine.
Limite honnête : nous n'avons pas eu d'incident à signaler. Le SLA 72h est notre posture engagée, testée contre des exercices d'incident synthétiques à l'interne.