Contenu sensible.
Plusieurs niveaux de protection.

1. Votre texte est traité sur le serveur applicatif

Lorsque vous utilisez l’application cloud, vous envoyez du texte ou des fichiers depuis votre navigateur vers le serveur applicatif. Celui-ci lit le document, détecte les données personnelles et produit le résultat. Les scans y sont convertis en texte par OCR. La détection utilise des modèles linguistiques installés localement, sans envoyer le texte des documents à un service d’IA externe.

Le serveur peut lire le texte original pendant ce traitement. « Modèles linguistiques locaux » signifie ici locaux au serveur. Le traitement ne s’effectue donc pas intégralement dans votre navigateur. La configuration de production nécessite HTTPS et des cookies de session sécurisés pour protéger la connexion.

Les fichiers sources sont utilisés temporairement, puis nettoyés. Le texte source complet et les positions des éléments détectés ne sont pas conservés comme source permanente dans votre dossier. Ils peuvent être temporairement disponibles pour le traitement et votre écran de vérification.

2. Le chiffrement protège le contenu stocké

L’application conserve par défaut les résultats, les clés de réidentification et la mémoire des identités des projets sous forme chiffrée avec une clé serveur. Ces données stockées ne sont pas lisibles sans la clé correspondante. Le chiffrement par défaut utilise Fernet.

Lors de la pseudonymisation, les correspondances entre données originales et pseudonymes restent volontairement disponibles pour permettre la restauration. Ces correspondances sont également des données personnelles et sont conservées chiffrées. Lors de l’anonymisation, aucune clé de réidentification ni mémoire des identités n’est conservée pour ce traitement.

Une protection supplémentaire du stockage avec votre clé de coffre

Un administrateur d’organisation peut activer une clé propre à l’espace de travail, également appelée BYOK. Le navigateur chiffre alors en plus le contenu des documents stockés et les correspondances des clés avec AES-256-GCM. Le fichier de clé n’est pas conservé sur le serveur. Vous l’importez dans le navigateur pour ouvrir le contenu.

Cette couche supplémentaire protège le contenu stocké. Pendant la détection et l’OCR, le serveur voit toujours le texte original. Le code du navigateur est en outre fourni par la plateforme. Il ne s’agit donc pas d’un chiffrement intégral de bout en bout ni d’une protection absolue contre tout accès du fournisseur.

Conservez une copie de sauvegarde sûre de votre clé de coffre en dehors de l’application. Les autres membres autorisés ont besoin de la même clé ; partagez-la par un canal sécurisé. Si toutes les copies sont perdues, nous ne pouvons pas restaurer le contenu protégé par cette clé. La clé de coffre est distincte de la clé de réidentification qui permet de rétablir les données remplacées par des pseudonymes.

Les données des comptes, droits d’accès, informations de facturation et données techniques d’utilisation restent entièrement ou partiellement lisibles par le serveur. Un contenu documentaire chiffré ne signifie donc pas que toute la base de données est illisible.

3. L’accès est contrôlé par espace de travail

Un compte accède aux espaces de travail pour lesquels il est autorisé. Les rôles et droits supplémentaires sur les documents encadrent notamment la consultation, la modification, la révision et l’export. Le serveur vérifie ces droits lors de la consultation et de la modification des données.

Les mots de passe sont hachés avec un sel individuel. L’application permet l’authentification à deux facteurs avec une application d’authentification et des codes de récupération à usage unique. Les cookies de session sont inaccessibles à JavaScript ; des contrôles supplémentaires protègent les requêtes contre les abus provenant d’autres sites.

Les administrateurs d’organisation définissent quels membres ont accès. Utilisez un compte individuel par personne, activez l’authentification à deux facteurs et retirez l’accès dès qu’il n’est plus nécessaire.

4. Vous choisissez la durée de conservation des résultats et des clés

Vous pouvez définir des durées de conservation distinctes pour les résultats et les clés de réidentification. Par défaut, aucune suppression automatique n’est configurée pour ces deux catégories. Ce contenu est alors conservé jusqu’à sa suppression. Pour un stockage plus court, choisissez délibérément une durée adaptée à votre objectif et à vos obligations.

Lorsqu’une durée est définie, l’application supprime le contenu arrivé à expiration. Une clé peut expirer avant un résultat, ou l’inverse. Une fois les correspondances de la clé supprimées, vous ne pouvez plus restaurer un texte pseudonymisé avec cette clé. La mémoire du projet est également soumise à la durée applicable aux clés.

Raccourcir une durée peut également supprimer du contenu existant. Prolonger ensuite cette durée ne fait pas revenir le contenu supprimé. L’administration technique et la facturation ne sont pas automatiquement soumises à la durée de vos documents.

Une suppression dans l’application n’efface pas les téléchargements antérieurs ni les copies auprès d’autres services. Les sauvegardes ont leur propre politique de conservation ; les durées précises et la procédure de restauration seront définies avant la mise en service.

5. Hébergement et modalités opérationnelles

L’hébergement prévu pour l’application est Zerops à Prague, région prg1, Tchéquie, Union européenne. OVH est prévu pour le service DNS qui dirige le nom de domaine vers l’hébergement. Il s’agit de l’orientation choisie ; la configuration effective de production et les lieux de traitement seront confirmés avant le lancement.

Ce que nous précisons avant la mise en service

L’accord de traitement des données et ses annexes décrivent les mesures techniques et organisationnelles, dont au moins :

• la région effective d’hébergement, les sous-traitants ultérieurs utilisés et les éventuels transferts internationaux ;
• les personnes disposant d’un accès à la production et au support, leur finalité et leurs obligations de confidentialité ;
• la protection, les durées de conservation et la procédure de restauration des sauvegardes ;
• la procédure de suppression à l’expiration d’une durée de conservation ou de l’accord ;
• les contacts et les procédures pour les incidents de sécurité, violations de données et demandes des personnes concernées.

L’architecture technique seule ne confirme pas ces mesures opérationnelles. Les dispositions encore à compléter dans l’accord de traitement des données seront donc finalisées avant le traitement de documents réels.

Si vous choisissez ensuite une connexion cloud pour importer ou exporter des documents, l’application échange des données avec ce service à cette fin. Des services distincts interviennent également pour les paiements et l’éventuelle connexion externe. Les services activés et les données qu’ils traitent doivent figurer dans les dispositions définitives.

6. Un partage sûr passe aussi par votre dernière vérification

La sécurité protège le traitement et le stockage. La possibilité de partager un résultat de manière responsable dépend aussi de son contenu. La détection automatique peut manquer des données personnelles ou en signaler à tort. Le contexte peut également laisser une personne identifiable, même après la suppression de son nom.

• Traitez uniquement les données que vous êtes autorisé à utiliser et qui sont nécessaires à votre objectif.
• Vérifiez le résultat, y compris le contexte et les erreurs de lecture des scans, avant de le partager.
• Conservez les clés de réidentification en sécurité, séparément des documents que vous diffusez.
• Définissez des durées de conservation appropriées et supprimez le contenu dont vous n’avez plus besoin.
• Limitez l’accès aux personnes autorisées et sécurisez également vos appareils et téléchargements.

La pseudonymisation est réversible et reste un traitement de données personnelles. Un résultat anonymisé doit lui aussi être évalué quant au risque d’identification. Nous ne garantissons pas que toutes les données personnelles seront détectées automatiquement et ne présentons pas l’application comme un produit certifié RGPD.