Les données sensibles ne rentrent pas dans l’outil

Vous avez des informations que vous ne voulez voir sortir nulle part. Des dossiers de personnes, des prix d’achat, des formules, un carnet de clients.

La question que vous posez alors à un prestataire est « est-ce que vous faites ça ». J’ai longtemps répondu que j’évitais, à cause du travail de sécurisation que ça demande. C’était une mauvaise réponse. La bonne tient en une phrase : les données sensibles ne rentrent pas dans l’outil, et vous devez savoir où elles vont.

Un cas réel, et la décision qui a été prise

Sur un dossier de 2026, un des formulaires d’entrée d’une application contenait des informations de santé, qui relèvent de l’article 9 du règlement européen, la catégorie la plus protégée.

Trois options. Les stocker en prenant toutes les précautions. Refuser le projet. Ou décider qu’elles n’entrent pas.

C’est la troisième qui a été retenue, et elle est écrite noir sur blanc dans la convention : ces données sont exclues de l’application, et le client s’engage à ne pas en saisir. Autour de cette décision, trois mesures qui ne dépendent pas de la bonne volonté : un cloisonnement par rôle et par périmètre, de sorte que personne ne voit ce qui ne le concerne pas, un journal des accès et des modifications, et une purge automatique, 24 mois pour les dossiers clos, 12 mois pour les contacts qui n’ont pas donné suite.

Ce n’est pas un refus déguisé. C’est un arbitrage d’architecture, pris avant d’écrire la première ligne, et c’est le seul moment où il peut se prendre. La façon dont ces décisions se prennent et s’écrivent est sur la page méthode, et le guide pourquoi un outil tient, ou pas rassemble les autres conditions de fiabilité.

Où vont les données qui, elles, entrent

La liste doit être nominative, sinon elle ne vaut rien. Elle figure en annexe de la convention, avec pour chaque prestataire technique son rôle et le pays où le traitement a lieu.

La base de données et l’authentification sont hébergées dans l’Union européenne, en Allemagne. La diffusion de l’application passe par un service européen. Le serveur de production est en France.

Un seul traitement sort de l’Union : l’analyse de texte, qui passe par une interface américaine, encadrée par les clauses contractuelles types et l’accord de traitement du fournisseur. Je l’écris parce que c’est le point que tout le monde escamote. Aujourd’hui, les modèles les plus capables sont opérés hors d’Europe. Le dire permet d’en discuter et, si votre secteur l’exige, d’aller chercher une solution qui reste en Europe ou tourne chez vous, plus lente et plus chère. Ne pas le dire revient à laisser le client le découvrir.

Deux engagements complètent la liste. Les contenus transmis pour extraction ne servent pas à entraîner des modèles. Et chaque information extraite passe par une validation humaine avant d’être enregistrée dans un dossier.

Ce qui protège, au-delà des déclarations

Le chiffrement des échanges et des données au repos, que vous êtes en droit d’exiger et que personne ne devrait vous vendre comme un avantage.

Une connexion par code à usage unique envoyé par courriel, sans inscription libre. Personne ne crée un compte de lui-même.

Les secrets d’accès conservés côté serveur, jamais dans le navigateur. Une erreur courante et grave consiste à laisser une clé d’accès dans une page web, où n’importe quel visiteur peut la lire.

Un journal des accès et des modifications à partir du premier lot, et des sauvegardes régulières.

Une notification en cas de violation de données, dans les meilleurs délais et au plus tard sous 48 heures.

Un droit d’audit annuel, avec un préavis écrit de 30 jours. Vous pouvez venir vérifier. Ce qui change dans la durée, quand un prestataire technique modifie son service de son côté, est raconté dans la panne silencieuse.

Et à la fin : restitution selon l’annexe prévue, puis effacement sous 60 jours après confirmation écrite que tout est bien arrivé. Ce volet est développé dans ce qui vous reste si je disparais.

Ce que je ne prends pas

Deux périmètres demandent un agrément réglementaire que je ne détiens pas : l’hébergement de données de santé, qui exige un agrément HDS, et la production pharmaceutique sous qualification GxP. Sur ces deux-là, je vous oriente vers quelqu’un dont c’est le métier, et je le dis au premier rendez-vous plutôt qu’au troisième.

Ça n’exclut pas les données sensibles en général. Ça exclut les traitements réglementés, ce qui n’est pas la même chose : une entreprise peut avoir des informations délicates sans être dans un cadre qui impose un agrément. La question à poser n’est donc pas « avez-vous des données sensibles », mais « lesquelles n’ont aucune raison d’entrer dans l’outil ».

Posez-la avant de choisir un prestataire. Elle trie plus vite qu’un questionnaire de sécurité.