Cette page est écrite pour votre délégué à la protection des données et votre responsable de la sécurité. Elle dit ce qui reste sur notre infrastructure, ce qui en sort, vers qui, et sous quelle forme. Elle est faite pour être jointe telle quelle à un dossier de consultation.
Ce que nous ne revendiquons pas. Solidae n'est pas hébergeur : nous ne détenons pas de certification d'hébergement en propre, et nous n'en afficherons pas le logo. Ce que nous pouvons établir, c'est le périmètre — composant par composant, flux par flux. C'est l'objet de tout ce qui suit.
L'ensemble de la plateforme — application, base de données, coffre de fichiers, index de recherche, sauvegardes — tourne sur une infrastructure OVHcloud située en France. OVHcloud est hébergeur de données de santé certifié.
La question qui compte pour votre DPO n'est pas « qui héberge » mais « qu'est-ce qui quitte cet hébergement ». Le tableau ci-dessous y répond composant par composant, et distingue explicitement les six briques qui ne sortent jamais des quatre services tiers auxquels nous faisons appel.
| Composant | Où il tourne | Sous-traitant |
|---|---|---|
| Application et API | Serveur dédié OVHcloud, France | Aucun |
| Base de données PostgreSQL | Même serveur, conteneur dédié | Aucun |
| Coffre de fichiers (preuves, procès-verbaux, justificatifs) | Même serveur — objets chiffrés en AES-256-GCM, la clé ne quitte pas l'application | Aucun |
| Index de recherche vectorielle | Même serveur, instance dédiée sans port publié | Aucun |
| Calcul des vecteurs (embeddings) | Modèle embarqué dans notre propre image applicative | Aucun |
| Sauvegardes de la base | Même serveur, rotation quotidienne | Aucun |
| Modèle de langage — assistance, synthèses, analyse de comptes rendus, transcription | API Mistral AI (France, Union européenne) | Mistral AI |
| Modèle de langage — synthèse au niveau de l'organisation | API Anthropic | Anthropic |
| Envoi des courriels transactionnels | Resend | Resend |
| Signature électronique des procès-verbaux (option, activée à votre demande) | Yousign (France, Union européenne, conforme eIDAS) | Yousign |
Le moteur principal est Mistral AI, éditeur français dont l'API est hébergée dans l'Union européenne. Mistral s'engage contractuellement à ne pas utiliser pour l'entraînement de ses modèles les données transmises par son API payante.
Un second moteur, Anthropic, produit la synthèse au niveau de l'organisation. Il ne reçoit que des scores agrégés : les champs identifiants sont retirés de la charge et un contrôle bloquant refuse l'envoi si une donnée personnelle subsiste.
Disons-le franchement : ce sont des API externes. Ce qui leur est transmis quitte notre infrastructure. C'est précisément pourquoi rien ne leur est transmis sans être passé par le masquage décrit ci-dessous, et pourquoi le tableau des flux existe. Un éditeur qui vous parle d'« IA souveraine » sans vous dire à quelle adresse partent les requêtes ne vous dit pas tout.
| Traitement | Moteur | Ce qui est transmis |
|---|---|---|
| Assistance au questionnaire de diagnostic | Mistral | La question et les messages de l'échange, après masquage des données personnelles |
| Synthèse par établissement | Mistral | Les scores et les verbatims, après masquage des données personnelles |
| Analyse d'un compte rendu de réunion | Mistral | Le compte rendu, après masquage des données personnelles |
| Transcription d'un enregistrement de séance | Mistral | L'enregistrement audio — fonction désactivable au niveau de votre organisation |
| Synthèse au niveau de l'organisation | Anthropic | Des scores agrégés, sans aucune donnée personnelle : les champs identifiants sont retirés et un contrôle bloque l'envoi en cas de doute |
L'appel au modèle de langage passe par une interface unique et interchangeable, conçue dès l'origine pour que changer de moteur soit une décision d'exploitation et non un chantier. Cette architecture a une conséquence directe : l'hébergement du modèle sur notre propre infrastructure est arbitré et planifié. Le jour où il est en place, le transfert vers un tiers disparaît sans que rien ne change pour vos utilisateurs, ni dans les écrans, ni dans les données.
Aucun texte libre ne part vers un moteur d'IA sans être masqué au préalable. Le masquage opère à deux niveaux, et il est appliqué à la sortie — au moment de l'appel — plutôt qu'à l'entrée : ce que vous saisissez est conservé tel quel dans votre base, parce que c'est votre donnée.
Sa limite, puisqu'il en a une : la reconnaissance d'entités nommées n'est pas infaillible, et un patronyme rare peut lui échapper. Nous le disons plutôt que de promettre un zéro absolu que personne ne peut tenir. Les noms de communes, eux, ne sont pas masqués — la zone géographique est une donnée légitimement transmise pour produire une analyse.
Ces deux garde-fous sont couverts par des tests automatisés qui bloquent toute mise en production les faisant régresser. Ce n'est pas une règle écrite dans une procédure : c'est une condition de déploiement.
Un procès-verbal nomme qui a dit quoi et qui a voté quoi : c'est sa fonction juridique. Le masquer en base le détruirait. Le module Gouvernance manipule donc des données nominatives — et c'est exactement pour cela que son régime d'usage de l'IA est explicite plutôt qu'implicite.
Chaque organisation choisit son régime parmi trois :
Seuls des traitements déclarés à l'avance, avec leur finalité et leur destinataire, peuvent emprunter ce chemin ; chaque envoi est journalisé, sans jamais consigner ni le contenu ni un nom. Et là encore la limite est dite : la pseudonymisation est déterministe pour les personnes convoquées à la séance, tributaire de la reconnaissance d'entités pour celles qui ne sont que citées.
La transcription d'un enregistrement est le seul flux où l'audio brut sort de notre infrastructure. Elle se désactive au niveau de l'organisation, et le dépôt d'un compte rendu déjà rédigé produit exactement les mêmes objets — le module reste entier sans elle. Les personnes convoquées reçoivent une mention d'information qui nomme le sous-traitant, dérivée de la configuration réelle et non écrite en dur.
La recherche sémantique s'appuie sur un index vectoriel auto-hébergé : instance dédiée sur notre propre serveur, aucun port publié, authentification obligatoire. Aucun sous-traitant supplémentaire — ni pour l'index, ni pour le calcul des vecteurs, qui s'exécute dans notre image applicative.
Ce choix n'est pas seulement juridique, et c'est ce qui le rend solide : les jetons de pseudonymisation sont numérotés par appel, de sorte qu'un corpus pseudonymisé puis vectorisé au dehors cesserait tout simplement d'être cherchable. L'option externe ne fonctionnait pas, indépendamment de ce que nous aurions été prêts à signer.
L'index n'ingère que des pièces approuvées, se vide d'une délibération dès son abrogation, et se purge avec la pièce source. Le périmètre de lecture d'un utilisateur y est le même que dans l'application : un directeur retrouve les avis de son conseil de la vie sociale, et rien du siège.
Chaque organisation ne voit que ses données. Trois mécanismes superposés, dont aucun ne suppose que les deux autres fonctionnent :
L'isolation est vérifiée par des tests bloquants sur les trois surfaces où elle pourrait céder — l'API et la base, le coffre de fichiers, l'index de recherche. Ils s'exécutent avant le reste de la suite à chaque modification du produit ; aucune livraison ne passe s'ils échouent.
Les durées de conservation sont définies par nature de pièce, avec un défaut produit que votre organisation peut allonger ou raccourcir. Elles ne sont pas seulement documentées : une tâche planifiée les applique et détruit physiquement les objets échus dans le stockage avant de les marquer en base. Une rétention qui ne s'exécute jamais n'est pas une rétention, c'est une intention.
La base est sauvegardée automatiquement chaque jour, avec une rotation sur quatorze jours.
Réversibilité — tout ce que la plateforme produit s'exporte dans des formats ouverts et normés : tableurs, PDF, Word, JSON, et les formats attendus par les plateformes officielles du secteur. Vous ne dépendez pas de nous pour relire vos propres données.
Nous répondons aux questionnaires sécurité et aux demandes de votre DPO — registre des traitements, éléments de sous-traitance, description des flux. Si une question de votre grille n'a pas sa réponse ci-dessus, posez-la : nous préférons y répondre avant le premier rendez-vous.