Rien n’entre dans vos conclusions sans vérification.

Une base distincte par dossier

Chaque dossier est isolé de tous les autres, et une recherche dans l’un n’a aucun accès à un autre. Une formule à plusieurs dossiers comprend une base par dossier client, et un client invité en lecture voit ce dossier et rien au-delà.

Où sont vos données

L’application et les dossiers sont hébergés sur Hetzner Cloud à Falkenstein, en Allemagne, dans un centre de données certifié ISO/IEC 27001:2022. Les services cloud de Hetzner disposent également d’une attestation BSI C5 Type 2, le référentiel fédéral allemand de sécurité du cloud. L’opérateur, A2Z WEB PTE. LTD., dispose d’un rapport SOC 2 Type II. Avec la formule Enterprise, l’application et les dossiers peuvent être hébergés sur vos propres serveurs, dans la région géographique de votre choix, avec l’OCR et les modèles de langage de fournisseurs choisis avec vous, sur vos propres clés.

Les données ne quittent nos serveurs que pour deux types de prestataires. L’OCR se fait d’abord sur nos serveurs, et seules les pages numérisées qui ne peuvent pas y être lues sont transmises à Amazon Textract, dans la région AWS de Francfort. L’analyse par les modèles de langage est réalisée chez OpenAI et Anthropic, aux États-Unis, dans le cadre de clauses contractuelles types et de contrats qui interdisent l’entraînement des modèles sur vos documents. Aucun autre tiers ne voit un document. Ce que chaque fournisseur fait de ce qu’il reçoit est décrit sur la page traitement des données et conformité.

RGPD et PDPA

Nous appliquons le RGPD pour les clients de l’Union européenne, son équivalent britannique (UK GDPR) pour ceux du Royaume-Uni, et, en tant que société singapourienne, la loi singapourienne sur la protection des données personnelles (Personal Data Protection Act). Pour les données contenues dans un dossier, nous agissons en qualité de sous-traitant pour votre compte, au titre d’un accord de sous-traitance, et tout transfert hors de l’EEE est encadré par des clauses contractuelles types. Nous ne traitons les pièces que sur vos instructions, nous vous assistons dans le traitement des demandes des personnes concernées, et nous vous notifions dans les meilleurs délais toute violation de données touchant votre dossier. La politique de confidentialité indique ce que nous collectons et pourquoi.

Les pièces ne peuvent pas être réécrites

L’empreinte d’un document, son fichier et son texte extrait sont figés dès son entrée au dossier, et l’application refuse de les écraser. Ce que l’IA écrit sur un document est conservé à côté et peut être régénéré sans toucher à la pièce. C’est aussi l’empreinte qui prouve qu’un fichier n’a pas changé depuis son arrivée, et qui empêche de verser deux fois le même document sous deux noms différents.

Aucun lien public vers les pièces

Un document n’est accessible qu’aux membres connectés de son dossier. Il n’existe aucun lien public à partager, ni de lien qui continue de fonctionner après le départ d’une personne.

Les rôles et le droit de supprimer

Chaque personne d’un dossier a un rôle, et ce rôle détermine ce qu’elle peut faire. Seuls le propriétaire et un administrateur peuvent supprimer des éléments partagés, certains rôles n’ont pas accès aux catégories marquées comme sensibles, et un lecteur consulte et exporte sans rien modifier. Chaque action importante est inscrite dans un journal d’audit que personne au sein du dossier ne peut modifier.

L’IA, et ses limites

L’analyse repose sur des modèles de langage commerciaux, dans le cadre de contrats qui interdisent l’entraînement sur vos documents. Tout ce qu’écrit un modèle porte la mention « document de travail », et un constat qu’il établit reste une suggestion jusqu’à ce qu’un avocat le confirme. Le nom de l’avocat et l’heure de sa décision sont enregistrés. Chaque projet et chaque réponse de l’assistant sont vérifiés au regard du dossier avant de vous être présentés : le document et la page cités existent, la citation y figure bien. Tout ce qui échoue à ce contrôle est signalé, jamais corrigé en silence.

L’assistant lit les données du dossier et ne voit que ce que la personne qui l’interroge a le droit de voir. Sur demande, il ajoute à un sous-dossier un document, une affirmation, un événement ou une contradiction, ou laisse une note signalée comme la sienne. Il ne fait ni l’un ni l’autre de sa propre initiative et ne modifie rien d’autre. Legalnaut ne donne pas de consultation juridique, ne dépose rien auprès d’une juridiction et ne décide pas de ce que signifie un document. Le fonctionnement de la vérification des citations est décrit sur la page des fonctionnalités.

Sous-traitants ultérieurs

La liste nominative à jour, avec les pays d’établissement, figure dans notre accord de sous-traitance.

Conservation

Aucune formule ne limite la durée de conservation de votre dossier, et aucun calendrier ne supprime les données d’un dossier payé. Si un abonnement expire, le dossier est verrouillé jusqu’au choix d’une formule, et le propriétaire peut toujours en télécharger un export complet ou le supprimer. Son contenu n’est pas touché. L’effacement est un acte délibéré, et même alors il n’intervient qu’au terme d’un délai de 30 jours, pendant lequel un clic suffit à conserver le dossier. Un avertissement est envoyé 7 jours avant l’effacement.

Une exception, signalée pour éviter toute surprise : un essai terminé et jamais utilisé est programmé pour suppression 30 jours après sa fin, avec le même avertissement et le même délai de grâce. Les exports que vous générez expirent après 7 jours, mais pas les données dont ils sont issus.

Signaler un problème

Si vous pensez qu’un compte a été compromis ou si vous avez découvert une vulnérabilité, écrivez à contact@legalnaut.com. Legalnaut est exploité par A2Z WEB PTE. LTD., société immatriculée à Singapour sous le numéro 202614429R.