Sécurité et données

1. Le principe

Nous préférons une mesure vérifiable à une formule rassurante. Cette page n’emploie donc ni « chiffrement de bout en bout », ni « certifié », ni « audité », ni « anonymisé » lorsque ce n’est pas le cas. Ce qui est écrit ici est ce que le logiciel fait réellement.

Les engagements contractuels correspondants figurent aux articles 18, 19, 23 et 27 des conditions générales de vente et dans l’accord de traitement des données.

2. Où vivent vos données

• Chaque entreprise cliente dispose de sa propre instance : une application et une base de données qui lui sont affectées. Il n’existe pas de base commune dans laquelle les données de plusieurs clients seraient mélangées.
• Cette instance est installée sur un compte Scaleway dont votre entreprise est titulaire, en France. Vous restez propriétaire du compte, vous en réglez les factures, vous pouvez en révoquer les accès.
• Vos documents, fiches, conversations et rapports sont conservés sur cette instance.
• Vous conservez l’intégralité de vos droits sur ces contenus. L’Éditeur n’acquiert aucun droit de propriété sur eux.

3. Ce qui sort de votre instance

L’hébergement en France ne signifie pas que tout traitement reste en France. Lorsqu’une demande nécessite un modèle d’intelligence artificielle, les extraits nécessaires à cette demande sont transmis au fournisseur configuré, puis la réponse revient sur votre instance.

Ce qui sort, quand et vers qui est décrit intervenant par intervenant sur la page Sous-traitants. Les modules optionnels ne transmettent rien tant que vous ne les avez pas activés.

Ni vos données ni les productions du logiciel ne sont utilisées pour entraîner un modèle général ou mutualisé, ni pour améliorer le service au bénéfice d’autres clients, sauf accord écrit, distinct et révocable de votre part.

4. Chiffrement : portée exacte

Gentica n’est pas un service à chiffrement de bout en bout et ne se présente pas comme tel : pour analyser un document et citer ses sources, le logiciel doit pouvoir le lire en clair. Une entreprise qui souhaite un chiffrement de volume supplémentaire peut le demander ; sa mise en œuvre fait l’objet d’un devis distinct, conformément à l’article 18.4 des conditions générales de vente.

5. Accès au logiciel

• Le mot de passe n’est jamais conservé en clair. Seule une empreinte calculée par une fonction de dérivation lente (scrypt), avec un sel aléatoire propre à chaque mot de passe, est stockée. La comparaison est réalisée en temps constant, de manière à ne pas révéler d’information par la durée de la réponse.
• La session repose sur un jeton signé (HMAC-SHA256) déposé dans un cookie inaccessible aux scripts de la page, limité au site et transmis en connexion sécurisée. Sa durée de vie est de sept jours, et un jeton dont la fenêtre de validité est anormale est refusé.
• Changer le mot de passe invalide les sessions en cours : la clé de signature est dérivée de l’empreinte du mot de passe en vigueur.
• Les tentatives de connexion sont limitées, par adresse IP et globalement, afin de ralentir une attaque par essais successifs, y compris distribuée.
• Une adresse IP transmise par un intermédiaire réseau n’est prise en compte que si la requête prouve provenir de l’intermédiaire attendu : elle ne peut pas être usurpée pour contourner ces limites.
• Vous désignez vos utilisateurs et leur attribuez des rôles. Le périmètre exact attaché à chaque rôle est celui décrit dans la documentation remise à l’installation.

Les actions réalisées avec un compte sont présumées faites par son titulaire. Il vous appartient de retirer sans délai les accès des personnes ayant quitté l’entreprise.

6. Secrets et clés d’API

• La valeur d’une clé n’est jamais réaffichée dans l’interface, ni écrite dans les journaux, ni renvoyée par les points d’état du service. Ces derniers indiquent uniquement si une capacité est disponible ou non, et quelle variable manque le cas échéant.
• Aucune clé d’API ne descend jusqu’au navigateur. Pour l’assistant vocal, le serveur demande au fournisseur un jeton éphémère à durée de vie courte, et c’est ce jeton — jamais la clé — qui est transmis à la page.
• Une clé absente se traduit par une capacité indisponible, annoncée comme telle : jamais par un plantage, jamais par une donnée inventée silencieusement.
• Les clés sont transmises uniquement par l’interface prévue à cet effet, jamais par un document importé ou un courrier électronique.

7. Ce que le logiciel ne peut pas faire

Gentica produit des brouillons. Il n’exécute aucune action irréversible à votre place.

• Il n’envoie aucun courrier électronique. Les messages rédigés sont déposés à l’état de brouillon. Lorsque vous connectez une messagerie Google, l’autorisation demandée porte sur la lecture et la création de brouillons — jamais sur l’envoi.
• Il ne supprime aucun document, message ou enregistrement dans vos systèmes ou connecteurs.
• Il n’effectue aucun paiement, aucune commande, aucune souscription et ne conclut aucun engagement en votre nom.
• Il ne publie rien sur un site, un réseau social ou tout autre canal externe.
• Il ne transmet aucune production à un tiers de sa propre initiative.

Ces limites ne sont pas de simples consignes données au modèle : aucun outil d’envoi ni de suppression n’est déclaré dans le serveur. La capacité n’existe pas, elle n’est pas seulement déconseillée. L’acte d’envoyer, de publier ou d’engager appartient à une personne de votre entreprise.

8. Actions à effet de bord et canal vocal

Une demande vocale susceptible de produire un effet — créer un brouillon, modifier une fiche — n’est jamais exécutée au premier appel. Le serveur renvoie un résumé et un jeton ; l’assistant énonce le résumé ; l’exécution n’a lieu qu’au second appel, avec le même jeton et les mêmes arguments.

• Le jeton est signé, à durée de vie courte et à usage unique.
• Il est lié à l’outil et à l’empreinte exacte des arguments : il ne peut pas être réutilisé pour une autre action, ni pour la même action avec d’autres valeurs.
• Un jeton absent, forgé, expiré ou rejoué est refusé avec un motif explicite, jamais par un échec silencieux.

Aucune ressource extérieure fournie par l’utilisateur n’est branchée sur le canal vocal, et le service n’utilise la voix ni pour identifier biométriquement une personne, ni pour inférer les émotions des salariés sur leur lieu de travail.

9. Journalisation et sauvegardes

Les événements techniques et de sécurité sont journalisés sur votre instance. Ces journaux vous appartiennent et suivent le sort de l’instance.

Les sauvegardes s’exécutent sur les ressources de votre propre compte Scaleway. Leur périmètre et leur fréquence sont ceux convenus au bon de commande ou décrits dans la documentation technique applicable : aucune sauvegarde n’est incluse implicitement. Les sauvegardes servent la continuité technique et ne constituent pas un service d’archivage légal. Conservez des copies indépendantes de vos documents critiques.

10. Accès de l’Éditeur à votre instance

L’Éditeur reçoit uniquement les autorisations techniques nécessaires à l’installation, à la maintenance, à la sécurité et au support. Les accès de support à vos données sont limités aux interventions nécessaires et, dans la mesure du possible, tracés.

Vous restez titulaire du compte Scaleway : vous pouvez consulter, restreindre ou révoquer ces autorisations à tout moment, étant entendu qu’une révocation peut empêcher l’Éditeur d’assurer la maintenance et le support.

L’Éditeur est un entrepreneur individuel : l’article 27 des conditions générales de vente précise ce qui se passe en cas d’empêchement durable, et rappelle que votre accès à votre propre compte et à votre instance n’en dépend pas.

11. Ce que nous n’avons pas

Par honnêteté commerciale, et parce qu’une affirmation invérifiable est une faute :

• Aucune certification : ni ISO/IEC 27001, ni HDS, ni SecNumCloud, ni aucune autre. Le service ne doit pas être utilisé pour héberger des données de santé.
• Aucun audit de sécurité externe ni test d’intrusion réalisé par un tiers à ce jour.
• Aucune authentification multifacteur disponible à ce jour sur le portail de connexion.
• Aucun chiffrement de bout en bout, ni chiffrement applicatif de la base de l’instance.
• Aucune pseudonymisation automatique des contenus avant transmission à un fournisseur de modèle.
• Aucun engagement chiffré de disponibilité, aucun délai garanti de rétablissement, aucun crédit de service : les délais annoncés sont des objectifs de première réponse.
• Aucune garantie d’exactitude des réponses produites. Les citations, la recherche fondée sur les sources et l’abstention réduisent le risque d’une réponse non étayée ; elles ne le suppriment pas. Toute production doit être vérifiée avant une décision engageante.
• Aucune promesse de résultat : ni gain de chiffre d’affaires, ni économie, ni temps gagné, ni retour sur investissement.

Ces manques sont réels aujourd’hui. Ils seront corrigés au fur et à mesure, et cette page sera mise à jour à ce moment-là — pas avant.

12. Le site gentica.fr

• Aucun cookie n’est déposé.
• Aucun outil de mesure d’audience, aucun pixel publicitaire, aucun réseau social embarqué.
• Aucune ressource chargée depuis un tiers : ni police distante, ni bibliothèque externe, ni carte, ni vidéo.
• Le site est servi en HTTPS et hébergé en France par Scaleway.

Le détail figure dans la politique de confidentialité.

13. Signaler une vulnérabilité

Si vous découvrez une faille, écrivez à contact@gentica.fr en décrivant précisément le problème et la manière de le reproduire. Une réponse est apportée dans un délai raisonnable au regard de la gravité.

Aucune action ne sera engagée contre une personne qui signale de bonne foi une vulnérabilité, dès lors qu’elle n’a ni exfiltré, ni altéré, ni supprimé de données, qu’elle n’a pas dégradé le service et qu’elle laisse un délai raisonnable de correction avant toute publication.

14. Incident de sécurité

En cas de violation de données personnelles affectant les données d’un client, l’Éditeur le notifie sans délai injustifié après en avoir pris connaissance, avec les éléments disponibles, afin de lui permettre de respecter le délai de soixante-douze heures prévu à l’article 33 du RGPD. La procédure complète figure à l’article 9 de l’accord de traitement des données.

Une notification ne vaut pas reconnaissance de responsabilité. La décision de notifier l’autorité de contrôle ou les personnes concernées appartient au client, responsable du traitement.

15. Qui est responsable de quoi

16. Fin de contrat

À la fin de l’abonnement, vous disposez de trente jours pour récupérer votre export. Il comprend notamment les fichiers sources conservés, un manifeste des documents, les fiches de référence, les entités et relations du graphe, les liens de provenance, les conversations et rapports conservés, ainsi qu’un fichier de contrôle d’intégrité. Les secrets, le code de Gentica et ses invites système propriétaires n’en font pas partie.

Passé ce délai, les données sous le contrôle de l’Éditeur sont supprimées et ses accès techniques révoqués, dans les conditions de l’article 23 des conditions générales de vente. L’instance résidant sur votre compte Scaleway, il vous appartient de décider de sa conservation ou de sa suppression, et d’arrêter la facturation correspondante.