Cet article est volontairement précis. Il sert aussi de référence pour vos DPO, avocats, ou autorités de contrôle. Si vous avez une question RGPD spécifique non couverte, écrivez à contact@alesta-ai.com.
Les 5 engagements fondamentaux
- Nous n'entraînons aucun modèle sur vos contenus, vos articles, vos commentaires, votre BDD WordPress, vos clients. Jamais.
- Vos données restent sur votre serveur WordPress. Alesta est un plugin auto-hébergé : rien n'est stocké chez Alesta Computer. Les seuls flux sortants sont les appels API IA (Claude, Anthropic).
- Les appels API IA passent par l'endpoint EU d'Anthropic (Frankfurt), avec un DPA signé.
- Vous pouvez désactiver l'IA module par module. Plusieurs modules Alesta fonctionnent sans IA (cache, .htaccess, lazy loading…).
- Tout est journalisé. Module Journal d'activité : chaque appel IA est tracé (date, module, taille payload, statut), consultable par votre DPO.
Où vos données transitent — concrètement
Voilà le chemin exact d'une donnée traitée par un module Alesta. Prenons l'exemple du module Amélioration articles :
- Vous cliquez "Améliorer cet article" dans WordPress.
- Alesta lit le contenu de l'article depuis votre BDD locale.
- Alesta construit un prompt et l'envoie à l'API Claude (endpoint Frankfurt EU).
- Anthropic traite la requête, ne stocke pas le contenu au-delà de 30 jours (politique zero-retention disponible en plan Enterprise), ne l'utilise pas pour entraîner ses modèles.
- La réponse revient à Alesta sur votre serveur.
- Alesta affiche la suggestion dans l'éditeur, sans rien sauvegarder tant que vous n'avez pas cliqué "Accepter".
- Si vous acceptez, le contenu modifié est écrit dans votre BDD WP. C'est tout.
À aucun moment vos données ne passent par les serveurs d'Alesta Computer. Le plugin est un client API direct entre votre WordPress et Anthropic.
Sous-traitants au sens RGPD
Liste exhaustive à jour au 15 avril 2026 :
| Sous-traitant | Rôle | Localisation | DPA |
|---|---|---|---|
| Anthropic Inc. | API Claude (génération IA) | Frankfurt EU | ✓ Signé |
| Mistral AI (opt-in) | API IA alternative dès v1.4 | Paris FR | ✓ Signé |
| OpenAI (fallback) | GPT-4 pour 3 modules edge-case | EU + US | ✓ Signé |
| Cloudflare | CDN site marketing alesta-ai.com (pas votre site) | Anycast EU | ✓ DPA standard |
Aucun de ces sous-traitants n'a accès à votre WordPress. Ils reçoivent uniquement les payloads spécifiques aux appels IA qu'Alesta déclenche.
Données personnelles & modules à risque
3 modules peuvent traiter des données personnelles, et requièrent une attention particulière côté config :
Module Modération commentaires
Les commentaires de vos visiteurs (potentiellement nom + email) sont envoyés à Claude pour analyse de toxicité. Mitigations actives :
- Anonymisation du nom (remplacement par "user_xxx") avant envoi
- Email retiré du payload
- IP jamais transmise
- Désactivable totalement si vous préférez une modération 100 % locale
Module Chatbot IA
Les messages du visiteur sont envoyés à Claude pour générer une réponse. Mitigations :
- Bandeau d'opt-in obligatoire avant le premier message (RGPD-compliant)
- Pas de stockage long-terme côté Alesta (chat éphémère, 24h max si "mémoire" activée)
- Logs chiffrés AES-256 en BDD WordPress, anonymisables sur demande visiteur (droit à l'oubli)
Module Avis Google
Aspire les avis publics (déjà publiés sur Google), donc pas de donnée privée. Mais l'auteur de l'avis (prénom + initiale) est traité : opt-out automatique si l'avis contient un identifiant complet.
Vos droits, opérationnellement
En tant qu'utilisateur Alesta (vous, propriétaire WordPress) :
- Droit d'accès : tout est en local. Vous lisez votre BDD WP.
- Droit à l'effacement : désinstallez le plugin. Tout part avec.
- Droit à la portabilité : vos contenus améliorés par IA sont des contenus WP standards. Export XML natif WordPress.
- Droit d'opposition : désactivez un module IA dans les réglages Alesta. Les modules non-IA continuent de fonctionner.
Et pour vos visiteurs ?
Côté visiteur, le module Bannière RGPD détecte automatiquement les modules Alesta IA actifs et ajoute les bonnes cases au consentement. Aucune configuration manuelle requise dans 90 % des cas.
Notre principe : pas de consentement implicite. Si un module IA traite une donnée personnelle de visiteur, on demande explicitement. Si le visiteur refuse, le module dégrade gracieusement (ex : chatbot devient un formulaire de contact statique).
Audit indépendant
Alesta a été audité en mars 2026 par Vaadata, cabinet français spécialisé en cybersécurité WordPress. Le rapport est consultable sous NDA pour les clients plans Pro, Founders et Agency.
Conclusion
Le RGPD avec une IA générative, ce n'est pas compliqué — c'est juste rigoureux. Pas d'entraînement, pas de stockage central, sous-traitants documentés, opt-in explicite, mécanismes de droit d'opposition module par module. Si vous avez une question précise, on répond en moins de 48h à contact@alesta-ai.com.
