Vos documents et la table de correspondance entre scellés et noms réels sont traités en France, chez Scaleway (Paris), dans un périmètre applicatif clos que nous appelons la zone de confiance. Ils n'en sortent pas.
Ce qui franchit la frontière, et rien d'autre : un texte dont chaque élément identifiant a été remplacé par un scellé neutre, envoyé à un modèle servi depuis une région de l'Union européenne, avec zéro persistance côté passerelle.
Cette page est écrite pour être transmise à un DPO ou à un responsable informatique. Elle nomme les sous-traitants, les régions et les durées, et elle indique en fin de page ce que nous n'avons pas encore fait.
La frontière, et ce qui la franchit
| Élément | Franchit la frontière ? | Où il vit |
|---|---|---|
| Document d'origine (.docx, PDF) | Non, jamais | Zone de confiance — mémoire d'instance, Scaleway fr-par |
| Table de correspondance scellé ↔ valeur réelle | Non, jamais | Zone de confiance — mémoire d'instance, expiration 24 h |
| Noms, adresses, IBAN, références cadastrales, montants | Non, jamais | Zone de confiance uniquement |
Texte scellé ([PERSONNE_1]…) | Oui — c'est le seul | Passerelle, puis modèle en région UE. Aucune persistance |
| Livrable reconstruit | Non — reconstruit en zone de confiance | Zone de confiance, puis votre poste |
| Adresse e-mail professionnelle du compte | Oui — pour l'authentification seule | Fournisseur d'identité, sans lien avec les données d'actes |
Le parcours d'un document, étape par étape
- Dépôt. Le document est reçu par le service de pseudonymisation, en zone de confiance. Il n'est pas écrit sur disque : il vit en mémoire d'instance, le temps du traitement.
- Détection locale. Un modèle de reconnaissance d'entités s'exécute entièrement dans la zone de confiance, sans aucun appel à une IA externe. Aucune donnée ne sort à cette étape.
- Validation humaine. Vous voyez chaque détection, vous la confirmez, la corrigez ou l'étendez. L'écran « Contrôle avant transmission » affiche mot pour mot le texte qui sera envoyé : c'est votre dernier mot, et il est éclairé.
- Analyse. Le seul texte scellé traverse la frontière vers la passerelle, authentifiée par clé machine-à-machine, puis vers le modèle en région UE. Rien n'y est conservé.
- Réintégration. La réponse revient scellée. Les valeurs réelles y sont réinjectées en zone de confiance, au moyen de la table qui n'en est jamais sortie. Les scellés non résolus vous sont signalés.
- Purge. Document et table sont purgés en fin de flux, avec une expiration de 24 heures au plus comme filet de sécurité.
Sous-traitants et régions
| Sous-traitant | Rôle | Région | Ce qu'il voit |
|---|---|---|---|
| Scaleway (société française) | Hébergement de la zone de confiance : interface, traitement des actes, envoi des e-mails transactionnels | France — fr-par (Paris) | L'infrastructure. Prestataire engagé dans la qualification SecNumCloud |
| Google Cloud — Vertex AI | Inférence des modèles Gemini et Claude (Claude via Model Garden) | Union européenne — Paris europe-west9 pour Gemini, multi-région eu pour Claude | Le texte scellé uniquement. Aucune donnée nominative. Aucune persistance |
| Firebase Authentication (Google) | Comptes des utilisateurs habilités | — | L'e-mail professionnel du compte. Aucun lien avec les données d'actes, qui ne quittent pas la zone de confiance |
Aucun transfert hors Union européenne n'a lieu pour le traitement des actes. Sur la question de la nationalité des sociétés propriétaires des modèles, qui est distincte de celle du lieu d'hébergement, nous avons publié une note dédiée : Claude et Gemini sont américains — notre réponse au critère de souveraineté.
Durées de conservation
| Donnée | Durée |
|---|---|
| Document déposé | Le temps de la session de travail, en mémoire ; purgé en fin de flux |
| Table de correspondance | Purge en fin de flux, 24 heures maximum en filet de sécurité |
| Texte transmis au modèle | Aucune conservation, ni par la passerelle ni par le fournisseur |
| Journaux techniques | Journalisation sans contenu de document |
| Compte utilisateur | Durée de la relation contractuelle |
Garanties structurelles
- Séparation en deux zones à flux unidirectionnel. La zone publique ne peut pas remonter vers la zone de confiance. La frontière est architecturale, pas contractuelle : ce n'est pas une promesse de ne pas regarder, c'est une impossibilité d'accéder.
- Séparation de la clé. Le texte scellé et la table qui permet de le résoudre ne se trouvent jamais au même endroit. C'est la mesure de pseudonymisation au sens de l'article 4(5) du RGPD.
- Passerelle authentifiée. L'appel aux modèles n'est possible qu'avec un secret machine-à-machine, comparé en temps constant.
- Chiffrement en transit et au repos, journalisation sans contenu, purge automatique.
- Authentification obligatoire. Comptes nominatifs, provisionnement par l'administrateur, pas d'auto-inscription.
Ce que nous n'avons pas encore fait
Nous préférons l'écrire que de le laisser découvrir.
- Authentification multifacteur et rattachement à l'annuaire du cabinet : non encore disponibles. C'est un préalable identifié avant tout traitement de dossiers réels.
- AIPD à finaliser avec un DPO. Notre analyse d'impact est rédigée ; elle doit être confrontée au DPO d'un premier cabinet pilote.
- Cadre contractuel : contrat de sous-traitance (art. 28), conditions d'utilisation et mention type pour les lettres de mission sont en cours de rédaction.
- Stockage managé chiffré : le document vit aujourd'hui en mémoire d'instance. Le passage à un stockage managé chiffré avec expiration est engagé.
- Qualité de détection : mesurée en continu sur un corpus de référence, mais nous ne publions pas de taux — un chiffre de banc d'essai vieillit mal et se compare mal. La méthode est communicable sur demande.
- Qualification SecNumCloud : notre hébergeur est engagé dans la démarche ; la qualification n'est pas acquise à ce jour.
Le dossier complet — analyse RGPD, AIPD avec cotation des risques, positionnement AI Act, registre des traitements et analyse déontologique par profession — est communiqué aux cabinets, aux études et à leurs DPO dans le cadre de leur propre analyse d'impact. Demandez-le.