Hébergement en Europe
L'application et vos données sont hébergées sur Microsoft Azure, région France Central (Paris). Aucune donnée de dossier n'est stockée hors de l'Union européenne.
Sécurité & RGPD
Vos dossiers sont traités dans le respect du secret professionnel.
Voici comment, concrètement.
TOM est conçu pour des professions réglementées : hébergement en France, cloisonnement entre cabinets, IA européenne qui cite ses sources et n'entraîne aucun modèle sur vos données, et réversibilité complète de vos données.
Engagements
Six garanties structurelles, pas des promesses marketing.
Chiffrement systématique
Chiffrement TLS pour tous les échanges, chiffrement au repos (AES-256) pour la base de données et les pièces stockées. Les secrets techniques sont conservés dans Azure Key Vault.
Cloisonnement par cabinet
Chaque cabinet dispose d'un espace isolé. Le cloisonnement est appliqué à chaque requête, dans l'application et dans la base de données : les données d'un cabinet ne sont jamais servies à un autre.
IA encadrée
L'IA est fournie par Azure OpenAI, hébergée dans l'Union européenne. Vos données ne servent jamais à entraîner un modèle. L'assistant répond à partir de vos pièces, cite ses sources, et chaque appel est tracé (modèle, coût, pièces utilisées).
Traçabilité
Les actions sensibles (exports, modifications de rapport, accès administratifs) sont journalisées et consultables par l'administrateur du cabinet.
Réversibilité
Vos données restent les vôtres : export complet de l'espace à la demande, suppression ou pseudonymisation en fin de contrat.
Le principe
Le meilleur de l'IA, sans les dangers.
L'IA fait gagner un temps considérable. À condition de ne jamais transiger sur la confidentialité ni sur votre jugement.
Ce que TOM ne fait jamais
- cancelEntraîner un modèle d'IA sur vos dossiers ou vos pièces, ni les transmettre à la société OpenAI.
- cancelInventer : l'assistant répond uniquement à partir de vos pièces et cite ses sources.
- cancelStocker la moindre donnée de dossier hors de l'Union européenne.
- cancelDécider à votre place : chaque action proposée par TOM attend votre validation.
Ce que TOM fait, à chaque étape
- check_circleChiffre vos données en transit et au repos, et les cloisonne cabinet par cabinet.
- check_circleTrace chaque traitement IA (modèle, coût, pièces utilisées).
- check_circleVous laisse relire et valider avant tout envoi ou export.
- check_circleVous rend vos données à la demande, et s'efface en fin de contrat.
verified_user
Compatible avec vos outils sécurisés, comme OPALEXE.
Les pièces que vous échangez avec les parties via OPALEXE restent dans leur cadre. TOM vous aide à les organiser et à les exploiter ; il ne remplace pas la plateforme de dépôt et ne sort pas vos échanges de leur circuit sécurisé.
Concrètement
Ce que nous faisons, point par point.
Pas de formule vague. Voici où sont vos données, comment elles sont protégées, et qui y touche.
Hébergement et régions
Microsoft Azure, région France Central (Paris) pour l'application, la base de données (Azure SQL) et le stockage des pièces (Blob Storage). La transcription audio des accédits est traitée dans la région Sweden Central (Union européenne). Aucune donnée de dossier n'est stockée hors de l'UE.
Chiffrement
TLS pour tous les échanges entre votre navigateur, l'application et les services Azure. Chiffrement au repos AES-256 pour la base de données (Transparent Data Encryption) et pour les pièces stockées. Secrets techniques dans Azure Key Vault.
Cloisonnement par cabinet
Chaque cabinet est un espace distinct. Toutes les requêtes sont filtrées par cabinet, dans l'application et dans la base de données. Les accès sont soumis à des rôles (administrateur, expert, invité).
Intelligence artificielle
Fournie par Azure OpenAI, hébergée dans l'Union européenne. Vos données ne servent jamais à entraîner un modèle et ne sont pas transmises à la société OpenAI. TOM ne reçoit que les extraits de pièces nécessaires à votre question. Chaque affirmation de TOM renvoie à sa source, et chaque action proposée attend votre validation. L'IA peut être désactivée par cabinet.
OCR et transcription
Les pièces scannées sont lues par Azure Document Intelligence (France). Les enregistrements d'accédit sont transcrits par Azure OpenAI (Sweden Central). Dans les deux cas : aucun entraînement, aucune sortie de l'UE.
Sauvegardes
Sauvegardes automatiques et régulières de la base de données et du stockage des pièces, conservées en région France Central, chiffrées, avec restauration à un point dans le temps.
Journal d'audit
Les connexions, exports, modifications de rapport, accès administratifs et appels IA (modèle, coût, pièces utilisées) sont journalisés. L'administrateur du cabinet peut les consulter. Journaux techniques conservés 90 jours, traces d'usage IA 18 mois.
Droits RGPD
Export complet de votre espace dans un format réutilisable, suppression ou pseudonymisation à la demande ou en fin de contrat, avec procès-verbal. Les dossiers sont conservés 5 ans par défaut après clôture, durée ajustable selon vos obligations.
Contact sécurité et protection des données : securite@tomexpertia.fr. Nous répondons aux signalements de vulnérabilité et aux questions de nos clients et de leur DPO.
Sous-traitants
Qui traite quoi, et où.
Aucune donnée de dossier n'est confiée à d'autres prestataires que ceux-ci. La liste complète et leurs garanties figurent dans notre accord de traitement des données (DPA).
| Sous-traitant | Finalité | Localisation |
|---|---|---|
| Microsoft Azure | Hébergement de l'application, base de données (Azure SQL), stockage des pièces (Blob Storage), sauvegardes | France Central (Paris, UE) |
| Microsoft Azure OpenAI | Assistance IA : analyse, synthèses, rédaction sourcée — aucun entraînement sur vos données, aucune transmission à la société OpenAI | Union européenne (France Central ; transcription audio en Sweden Central) |
| Microsoft Azure Document Intelligence | OCR des pièces scannées | France (UE) |
| Brevo | Envoi des e-mails transactionnels (invitations, réinitialisation de mot de passe, relances) | Union européenne (France) |
| Stripe | Paiement des abonnements (aucune donnée de dossier transmise) | UE/USA — certifié PCI-DSS, clauses contractuelles types |
| PostHog | Mesure d'audience du site et du produit, sans enregistrement de session ni contenu de dossier | UE |
| OVH | Gestion du nom de domaine (DNS) | France (UE) |
| Prestataire de lettre recommandée électronique (eIDAS) | Envoi de recommandés électroniques depuis le dossier — à venir, prestataire en cours de contractualisation | Union européenne |
Vos droits
RGPD : ce que vous pouvez exiger, et comment.
Accès et portabilité
Export complet des données de votre espace sur simple demande, dans un format réutilisable.
Rectification
Vos données de compte et de dossiers sont modifiables directement dans l'application.
Effacement
Suppression ou pseudonymisation de l'espace en fin de contrat, avec procès-verbal de suppression.
Limitation et opposition
Le traitement IA peut être désactivé par cabinet à tout moment, sans perte d'accès aux dossiers.
Pour exercer vos droits ou toute question relative aux données : contact@tomexpertia.fr. Pour signaler une faille ou une question de sécurité : securite@tomexpertia.fr.
DPA
Besoin du pack contractuel pour votre cabinet ?
Accord de traitement des données, registre des sous-traitants et politique de conservation : disponibles sur demande.