Sécurité et hébergement des données

Dernière mise à jour : 1er août 2026

Vous nous confiez des contrats confidentiels. Cette page décrit ce qui est réellement en place, et ce qui ne l'est pas encore. Pour un questionnaire de sécurité fournisseur, écrivez à contact@wyncove.fr : la politique de gouvernance des données et de l'IA est communicable, datée et versionnée.

1. Où vivent vos données

• Base de données et fichiers : Paris (Supabase, région eu-west-3). Aucune donnée au repos hors Union européenne.
• Traitement : Paris (fonctions Vercel, région cdg1). Ce choix n'est pas cosmétique : la région par défaut de l'hébergeur est Washington, ce qui aurait fait transiter le texte de chaque contrat par les États-Unis à chaque analyse.
• Chiffrement en transit (TLS) et au repos sur la base comme sur le stockage de fichiers.

2. Cloisonnement entre organisations

Chaque donnée métier porte l'identifiant de son organisation, et cet identifiant provient de la session — jamais d'un paramètre d'URL ou d'un champ de formulaire. Une requête ne peut donc pas être détournée vers les données d'un autre client en modifiant une adresse.

Le corpus interne qui sert à mesurer la qualité de l'extraction est une organisation distincte, soumise au même cloisonnement : aucun document de client ne peut y arriver par inadvertance, et il ne contient que des documents synthétiques ou anonymisés.

3. Accès aux comptes

• Aucun mot de passe. La connexion se fait par lien à usage unique, valable quinze minutes. Il n'y a donc aucun mot de passe à voler, à réutiliser ailleurs ou à retrouver dans une fuite.
• Sessions révocables côté serveur. Elles sont stockées en base et non dans un jeton auto-porteur : couper l'accès d'un compte est une écriture, immédiate et prouvable — pas une attente d'expiration.
• Liste d'accès explicite. Les comptes autorisés sont énumérés, et le comportement par défaut est de refuser : une configuration absente n'ouvre pas la porte, elle la ferme.
• Invitations nominatives et tracées, avec trois rôles (administrateur, membre, lecture seule).
• Journal d'audit des accès et des modifications : qui a validé, corrigé ou supprimé quoi, et quand.
• Le seul accès sans session est le flux d'agenda, et il est traité comme tel. Il est désactivé par défaut, n'est activé que par un administrateur, et ne contient ni montant ni extrait de contrat — le nom de la contrepartie, la référence, la date, le préavis, un lien. Son adresse est signée cryptographiquement et n'est pas stockée chez nous : elle est recalculée à chaque lecture. La régénérer produit toujours une adresse neuve, jamais une ancienne remise en service.

4. Ce que l'intelligence artificielle voit, et ce qu'elle en fait

• Le texte du contrat est transmis au fournisseur du modèle le temps de l'analyse. Rien n'est conservé chez lui pour entraîner un modèle : c'est un engagement contractuel, pas une déclaration d'intention.
• Aucune information n'est inventée. Une donnée absente du contrat est présentée comme absente. Une donnée incertaine est soumise à validation humaine au lieu d'être affirmée.
• Chaque information cite sa source, et la citation est vérifiée mot à mot dans le texte du document : une citation introuvable force la revue humaine. Vous pouvez voir le passage surligné dans le document, dans sa phrase.
• Les documents scannés sans couche de texte sont refusés explicitement plutôt que traités approximativement — un contrat mal lu est plus dangereux qu'un contrat non traité.

5. Sauvegardes et continuité

Sauvegardes chiffrées de la base avec rotation sur 30 jours. Les versions précédentes de l'application restent déployables, ce qui permet un retour arrière en une action. Une migration destructive est accompagnée de sa migration de retour arrière, écrite en même temps.

6. Développement

• Toute modification passe par une revue et une intégration continue : vérification des types, tests unitaires, et mesure de la qualité d'extraction sur un jeu de référence qui bloque la fusion en cas de régression.
• Aucun secret n'est stocké dans le code. Aucun jeton capable de modifier le code ne vit dans l'environnement de l'application.
• Les journaux techniques ne contiennent jamais le contenu d'un contrat, et des tests le vérifient.

7. Incidents

En cas de violation de données susceptible d'engendrer un risque : notification à la CNIL dans les 72 heures, information directe des clients affectés, et registre des incidents tenu en interne. Pour signaler une vulnérabilité, écrivez à contact@wyncove.fr — un signalement de bonne foi ne fera l'objet d'aucune poursuite.

8. Ce qui n'est pas en place

Cette section existe pour la même raison que le score de confiance du produit : dire ce dont on n'est pas sûr vaut mieux que laisser croire.

• Aucune certification. Wyncove n'est ni certifié ISO 27001 ni attesté SOC 2. L'architecture est conçue en alignement avec les exigences ISO 27001, et cette trajectoire est documentée en interne — ce n'est pas la même chose qu'un certificat, et nous ne l'écrirons pas comme si ça l'était.
• Aucun engagement de disponibilité chiffré (SLA) à ce stade.
• Accords de traitement en cours de signature avec les sous-traitants d'hébergement et d'intelligence artificielle. Ils seront signés avant le traitement de la première donnée client réelle.
• Analyse d'impact (AIPD) à conduire avant l'ouverture commerciale.

Les finalités, bases légales, durées de conservation et sous-traitants figurent dans la politique de confidentialité.