Une croissance qui vous appartient. Des données que vous gardez.

Apportez votre propre modèle

Chaque fournisseur est atteint par la même interface compatible OpenAI, de sorte que changer de fournisseur est un réglage, pas une migration. Pointez InRoots vers un Ollama local et le texte des points quotidiens ne transite jamais par une API publique.

Flux de données

• Entrée : messages de votre serveur Matrix, ou des espaces Slack et Teams reliés par passerelle
• Traitement : analyse, notation, règles de coaching et couche neuronale s’exécutent dans le conteneur InRoots, sur votre infrastructure
• Appels au modèle : uniquement le texte dont une fonction a besoin, vers le fournisseur que vous avez choisi ; avec un modèle local, rien ne quitte l’hôte
• Stockage : SQLite ou Postgres, à vous ; identifiants d’intégration chiffrés au repos
• Sortie : tableaux de bord, messages directs, exports et les webhooks signés que vous configurez
• Rien d’autre ne sort : pas de télémétrie, pas de balises d’usage, pas de rapports de plantage sortants

Ce que le modèle voit, et ce qu’il ne voit jamais

Un appel au modèle contient le texte du point quotidien en cours d’analyse, les points quotidiens et totaux de la période pour un récit hebdomadaire, la question saisie dans Ask AI avec les données nécessaires pour y répondre, ou une phrase de blocage en cours de routage. Il ne reçoit ni contenu de documents RH, ni code source, ni e-mails, ni fichiers, ni écrans. Les conversations Ask AI sont stockées sur votre serveur, limitées à l’utilisateur ; les administrateurs peuvent voir qu’une question a été posée, pas le corps de la réponse.

• InRoots ne collecte pas vos données et n’entraîne aucun modèle qui lui soit propre sur celles-ci
• La conservation ou non des requêtes par un fournisseur tiers relève des conditions de ce fournisseur ; un modèle local élimine la question
• Tout ce que vous collez dans Ask AI est envoyé tel quel ; le produit invite donc les utilisateurs à ne pas y coller de secrets

Budgets de jetons et mémoïsation

Chaque appel sortant au modèle est comptabilisé par jour et affiché sur le tableau de bord. Un budget quotidien fixé par l’administrateur refuse les appels non essentiels (routage d’intention, détection par IA) une fois atteint, et chaque appelant concerné se rabat sur des chemins par mots-clés ou heuristiques ; les résumés et Ask AI ne sont jamais soumis au budget. Les classifications déterministes sont mémoïsées pendant des heures, de sorte qu’un même message ne coûte jamais deux fois. Le score étant de l’arithmétique, le coût d’inférence reste proche de zéro, même chez les fournisseurs payants.

Géolocalisation et intelligence IP sur l’hôte

Une base IP locale — db-ip Lite sans clé ou MaxMind, actualisée sur votre hôte par un script hebdomadaire — classe bureau, domicile, mobile et VPN sur l’hôte ; aucune IP d’employé ne quitte jamais le serveur. L’IPv6 est indexée sur le /64, de sorte qu’une ligne domestique est reconnue comme un seul réseau récurrent. Le lieu est soumis au consentement et visible par l’employé concerné ; si la base est absente, les signaux géographiques restent neutres plutôt que de deviner.

Consentement signé

Les politiques sont versionnées. Chaque signature lie la personne à une empreinte du titre, de la version et du corps exacts qu’elle a lus, de sorte qu’une modification ultérieure ne peut pas être présentée comme déjà acceptée. Le partage de lieu et toute fonction de capture restent désactivés tant que la personne n’a pas signé, et la révocation les arrête immédiatement.

Audit

Chaque action de bot, dérogation d’administrateur, changement de pondération, signature de consentement, approbation automatique et connexion est consigné dans un journal d’audit avec qui, quoi et quand. Les lignes d’avertissement sont en ajout seul ; lorsque l’évaluateur en lève un par la suite, la levée et sa raison figurent à côté. Le journal est filtrable, triable et exportable, et chaque indicateur de la fiche d’un employé ouvre les lignes exactes à partir desquelles il a été calculé.

Contrôle d’accès

• Cinq rôles : employé, chef d’équipe, manager, administrateur, superadministrateur ; les RH voient les documents selon le rôle
• Codes à usage unique pour la connexion, sessions sur appareils de confiance, jetons d’API personnels stockés uniquement sous forme d’empreinte et limités à ce que leur titulaire peut voir
• Les jetons en lecture seule sont refusés pour toute écriture ; la révocation prend effet à la requête suivante
• Authentification unique disponible sur les déploiements entreprise et auto-hébergés
• Les webhooks sortants sont signés avec un secret partagé que vous vérifiez à la réception

Aucune télémétrie

Le produit ne contacte jamais l’extérieur. Il n’y a pas de balises d’usage, pas de rapports de plantage sortants et pas d’analytique cachée. Aucun octet ne sort tant que vous n’avez pas configuré de destination.

Signaler une vulnérabilité

Écrivez à security@inroots.ai. Nous accusons réception des signalements et tenons leurs auteurs informés jusqu’à la clôture du problème. Les certifications publiques ne sont listées ici qu’une fois délivrées ; nous n’affichons pas de badges que nous ne détenons pas.