Ce que votre DSI a besoin de savoir.
Où vivent vos documents, ce qui peut en sortir et quand, qui a accès à quoi, et comment chaque réponse se vérifie sans avoir à nous croire sur parole.
Où vont vos données
Ce qui reste chez vous, ce qui sort masqué, ce qui revient avec sa preuve.
Schéma animé : une frontière sépare chez vous (équipes, documents, Subsidia, machine locale, preuves) du dehors (un fournisseur d'IA externe). Trajet 1 : une demande sensible est traitée entièrement chez vous, rien ne franchit la frontière. Trajet 2 : une demande simple sort avec l'e-mail masqué, revient, et la vraie valeur est remise chez vous ; le certificat reste chez vous. Trajet 3 : les documents, leurs passages et l'index restent toujours rangés chez vous ; par défaut, les vecteurs sont calculés sur votre machine. Si vous avez choisi un fournisseur externe pour l'indexation, les passages sortent masqués et seuls des nombres reviennent. Les certificats et le registre restent chez vous. Vous savez toujours ce qui sort, et ce qui n'en sort pas.
Trois modes, un même moteur.
Le mode d'hébergement est un réglage, pas une promesse séparée : c'est le même moteur qui applique les mêmes règles de masquage et de preuve dans les trois cas.
Vos documents restent sur cet ordinateur et n'en sortent jamais.
Les réponses sont calculées ici, par les modèles installés sur la machine.
Une machine assez puissante. Fonctionne sans internet, coupure comprise.
Vos documents restent sur cet ordinateur : ils sont lus, découpés et indexés en local — dossiers surveillés et lecture des scans compris.
Seuls les extraits nécessaires à une réponse partent vers le moteur Subsidia en ligne.
Une connexion internet pour poser des questions, mais aucun modèle à installer sur la machine.
Vos documents sont hébergés sur les serveurs Subsidia : c'est là qu'ils sont classés, indexés et sauvegardés.
Les réponses sont calculées en ligne, par le moteur Subsidia.
Une connexion internet en permanence. Un dossier de cet ordinateur peut malgré tout être téléversé automatiquement vers votre espace.
En mode cloud, le site et l'application sont hébergés par Vercel ; la base de données et l'authentification par Supabase, sur une infrastructure basée dans l'Union européenne (région Francfort). Le détail est dans les mentions légales.
La ligne rouge sortante.
Ce qui quitte le cabinet est décidé par le moteur, pas par une consigne qu'on pourrait oublier de donner à l'IA.
Masquage avant tout appel externe
En mode standard, avant qu'une question ne parte vers un modèle externe, les e-mails, IBAN, numéros de téléphone et de carte bancaire sont remplacés par des alias cohérents, puis restaurés à l'écran : la même valeur garde le même alias d'un débat à l'autre, deux valeurs distinctes restent distinctes. Les noms de personnes et les adresses postales ne sont pas masqués dans ce mode : chaque espace peut activer l'option « Masquer aussi les noms de personnes », au prix d'une détection par indices qui peut en manquer et de réponses parfois moins précises ; le mode médical (norme HIPAA Safe Harbor) y ajoute noms, adresses, dates, numéros de sécurité sociale et identifiants de santé. Un modèle installé sur vos machines n'est jamais soumis à ce masquage : il n'y a rien à en protéger, les données n'en sortent pas.
PII/PHI Shield · modes standard, médical, désactivé
Une liste blanche de fournisseurs
Un administrateur choisit les fournisseurs externes autorisés pour son espace de travail ; sans réglage, une question reste sur le fournisseur déjà actif. Aucune capacité n'est imposée : elle s'active par une adresse explicite, jamais par défaut.
Réglage par espace de travail
Rien ne sort sans un humain
Un e-mail, un appel à un service, un dépôt : préparé, proposé, puis validé par une personne avant de partir. C'est une règle du moteur, pas une consigne donnée à l'IA — une réponse à un e-mail n'est par exemple jamais envoyée sans que le message exact ait été approuvé.
La ligne rouge sortante
Un copilote qui planifie d'abord
Décrire ce qu'on veut mettre en place produit un plan à relire, modifier et valider avant toute exécution — et tout s'annule.
Ce qui protège vos dossiers, ligne par ligne.
Des murailles par dossier
Un dossier s'ouvre à tout le cabinet ou à une liste de membres. Le filtre s'applique en base de données, pas dans l'interface : ni la recherche ni l'assistant ne peuvent le contourner. Un rôle fixe ce qu'une personne peut faire ; les murailles fixent ce qu'elle peut lire — les deux s'additionnent.
Console › Murailles
Un journal d'accès, humains et IA distingués
Qui a ouvert quel dossier, et quand — une lecture par une personne et une lecture par un agent sont deux lignes différentes, jamais confondues. Chaque membre du cabinet peut consulter ce journal.
Registre › Journal
Secrets scellés
Le mot de passe d'une boîte mail reliée, un jeton d'API, une clé de connecteur : chiffrés au repos (AES-256-GCM), jamais stockés ou journalisés en clair.
Un certificat par réponse
Chaque réponse porte un certificat signé (Ed25519) et chaîné à la précédente empreinte : les passages lus, le modèle, ce qui a été masqué. Il se vérifie hors ligne, avec la seule clé publique du cabinet — publiée sans authentification. Vérifier un certificat.
Les cinq mentions de l'AI Act.
Quel modèle, sur quelles données, à quelle date, combien de fois — et, une fois relu, validé par qui et avec quelles modifications. Les quatre premières viennent des certificats et du journal ; la cinquième est capturée au bas de chaque rapport de vérification, là où une relecture est sincère. Un export (CSV, JSON, attestation signée) engage la même chaîne de hachage que les certificats : une ligne supprimée y laisse un trou visible.
- Modèle, fournisseur, date, volume — par appel.
- Les pièces lues, par empreinte, jamais par contenu.
- Qui a agi : une personne ou un agent, jamais confondus.
- La relecture humaine : acceptée, modifiée ou rejetée.
- Un export signé, opposable, filtré et daté.
Qui fait quoi sur vos données.
Responsable de traitement
Protypa, entrepreneur individuel représenté par Dorian Lexteriaque. Le détail (identité, coordonnées, droits d'accès et de suppression) est dans la politique de confidentialité.
Sous-traitants
En mode cloud uniquement, et listés nommément dans la politique de confidentialité : hébergement, authentification, paiement, et les fournisseurs de modèles externes si votre espace de travail les autorise. En mode sur site, aucun sous-traitant n'intervient : rien ne sort de votre infrastructure.
Accord de sous-traitance (DPA)
Écrivez-nous pour en discuter — nous n'affichons rien de plus ici tant que ce n'est pas formalisé. Nous contacter.
Ce qu'on nous demande d'abord.
Reprendre la main sur l'IA de l'équipe
Les outils que vos équipes utilisent déjà passent par une seule adresse : le sensible reste chez vous, chaque appel est compté et inscrit au registre.
Quatre outils d'IA utilisés dans l'organisation (Claude Code, Cursor, n8n, un assistant interne) appellent chacun leur fournisseur cloud avec leur propre clé : personne ne sait qui envoie quoi. Ils sont ensuite tous pointés vers une seule adresse, la Gateway de Subsidia. Une demande sensible, adressée pulse-sensitive, est traitée par un modèle local et ne sort pas de chez vous. Une demande simple, adressée pulse-auto, part vers un fournisseur cloud après masquage de l'e-mail et de l'IBAN. La Console compte les appels de chaque clé, équipe par équipe, et la part des appels restés en local ou partis en externe. Chaque appel devient une ligne du Registre d'usage de l'IA, avec le modèle, les données, la date et la personne. Une adresse pour tous vos outils. Tout est compté.
Une vulnérabilité à signaler ?
Écrivez directement à dorian@protypa.fr — chaque signalement est lu par le fondateur.