Sécurité et confiance

Ce qu'il advient d'un document que vous envoyez à DocSolved.

Cette page répond aux questions qu'une revue de sécurité pose en premier. Chaque ligne indique ce que DocSolved fait aujourd'hui et comment c'est établi. Les points que nous ne pouvons pas encore prouver sont listés comme ouverts, pas omis.

Vérifié établi dans le code ou la configuration de l'application et vérifié par la suite de tests Déclaré par le fournisseur repose sur l'engagement publié d'un hébergeur ou d'un fournisseur d'IA Ouvrir pas encore confirmé ; en cours

Les faits

Sujet	Ce que fait DocSolved	Statut
Chiffrement en transit	TLS sur chaque connexion, HTTPS imposé par un en-tête Strict-Transport-Security préchargé. Les livraisons de webhooks sont signées HMAC-SHA256 pour que les destinataires vérifient l'origine et l'intégrité.	Vérifié
Chiffrement au repos	La base de production et les objets de documents stockés sont chiffrés au repos par les hébergeurs (PostgreSQL managé et stockage objet compatible S3, AES-256). DocSolved n'ajoute pas de couche de chiffrement applicative distincte par-dessus.	Déclaré par le fournisseur
Authentification	La connexion des utilisateurs est déléguée à Clerk ; DocSolved ne stocke jamais de mots de passe. Les clés API sont des jetons aléatoires de 256 bits stockés uniquement sous forme de hachage, à portée limitée (extract, history), affichés une seule fois et révocables immédiatement. L'accès administrateur utilise PBKDF2-SHA256 avec cookies HttpOnly et protection CSRF.	Vérifié
Isolation des locataires	Chaque analyse sauvegardée et chaque fichier stocké sont cloisonnés au compte ou à l'espace de travail propriétaire. Les lectures revérifient la propriété ; les fichiers stockés ne sont accessibles que via des liens éphémères liés au propriétaire. L'isolation entre comptes et espaces de travail est couverte par un audit interne et des tests automatisés.	Vérifié
Conservation	Les documents analysés sans sauvegarde sont traités en mémoire et ne sont pas écrits dans votre historique. Les analyses sauvegardées sont conservées jusqu'à ce que vous les supprimiez. Aucune suppression automatique basée sur le temps n'est configurée pour les analyses sauvegardées. Les enregistrements opérationnels expirent d'eux-mêmes : journaux d'accès aux liens de partage après 180 jours, journaux de livraison des webhooks après 30 jours, lots de tâches asynchrones après 7 jours.	Vérifié
Suppression	Supprimez n'importe quel enregistrement, ou tout, depuis l'application à tout moment ; les fichiers stockés et les artefacts dérivés partent avec. Supprimer votre compte efface votre historique, vos tâches, vos clés API, vos liens de partage et vos données de cycle de vie. Les documents d'un espace de travail restent dans l'espace de travail.	Vérifié
Entraînement de modèles	Vos documents et données extraites ne servent jamais à entraîner des modèles, ni par nous ni par nos fournisseurs d'IA, dont les conditions d'API excluent les données de requête de l'entraînement.	Déclaré par le fournisseur
Sous-traitants	L'extraction IA s'exécute sur OpenAI (États-Unis, ou le point de terminaison UE en mode traitement UE) ou OVH AI Endpoints (Union européenne). Les fournisseurs d'identité, de paiement, d'hébergement, d'OCR, de stockage objet et de suivi des erreurs sont listés avec leurs régions dans la liste des sous-traitants.	Vérifié
Journalisation	Les journaux applicatifs contiennent les identifiants de requête, les routes et les temps, jamais le contenu des documents, les valeurs extraites ou le texte OCR. Le suivi des erreurs s'exécute avec les données personnelles retirées et les jetons de partage masqués.	Vérifié
En-têtes de sécurité	Une Content-Security-Policy stricte à base de nonce, X-Frame-Options DENY, nosniff, des politiques d'ouverture et de ressources same-origin, et une Permissions-Policy qui désactive caméra, micro et géolocalisation.	Vérifié
Signaler une vulnérabilité	Écrivez à [email protected]. Nous visons un accusé de réception sous 72 heures. Le même contact est publié dans `/.well-known/security.txt`.	Vérifié
Sauvegardes	L'hébergeur effectue des sauvegardes quotidiennes automatiques de la base et le stockage objet conserve un historique de versions. La durée de rétention des sauvegardes et un test de restauration documenté ne sont pas encore publiés.	Ouvrir
Accord de traitement des données	Un DPA et la base de transfert actuelle de chaque sous-traitant sont disponibles sur demande à [email protected] ; un DPA en libre-service n'est pas encore publié.	Ouvrir
Attestation par un tiers	DocSolved n'a pas été audité ni certifié de façon indépendante (pas de rapport SOC 2 ni ISO 27001). Les revues de sécurité menées jusqu'ici sont internes et leurs constats sont suivis dans le dépôt.	Ouvrir
Engagement de disponibilité	Aucune garantie de disponibilité n'est encore publiée. L'application tourne actuellement en instance unique avec contrôles de santé et redémarrages automatiques ; une page de statut publique est prévue.	Ouvrir

Lire le détail

Questions fréquentes

Utilisez-vous mes documents pour entraîner des modèles d'IA ?

Non. Vos documents et les données qui en sont extraites ne sont pas utilisés pour entraîner des modèles d'IA.

Combien de temps mes données sont-elles conservées, et puis-je les supprimer ?

L'historique des analyses est conservé pendant une période configurée, puis automatiquement purgé, et vous pouvez le supprimer à tout moment. La section sur la conservation des données répertorie ce qui est conservé et pour combien de temps.

Comment mes données sont-elles protégées ?

Les documents sont chiffrés en transit, avec un chiffrement au repos géré par le fournisseur, et les données de chaque compte sont isolées. Le tableau de sécurité de cette page indique quels faits sont vérifiés dans le code et lesquels reposent sur l'engagement d'un fournisseur.