Confidentialité, anonymisation et intelligence artificielle

En France. Les documents, la base de données et leurs sauvegardes sont hébergés dans le centre de données d'OVHcloud à Roubaix ; thesr ne les stocke nulle part ailleurs.

Pour vous parvenir, le trafic entre votre navigateur et thesr passe par le réseau de Cloudflare, qui le chiffre et protège le site contre les attaques. Cloudflare, Inc. étant une société américaine, les transferts qui peuvent en résulter sont encadrés par le cadre de protection des données UE–États-Unis et par les clauses contractuelles types de la Commission européenne. Les courriels de la plateforme sont envoyés par Brevo, dans l'Union européenne.

Sur vos contenus, thesr agit comme sous-traitant au sens du RGPD : le cabinet reste responsable de traitement. L'accord de traitement des données fixe les engagements de thesr et donne la liste de ses sous-traitants.

Pour toute question sur vos données, écrivez à [email protected]. THESR n'a pas désigné de délégué à la protection des données.

Coché dans la fenêtre d'import, il change trois choses.

1. Le texte est analysé et les informations identifiantes sont remplacées par des marqueurs stables : <PERSON_1>, <ORGANISATION_1>, <ADDRESS_1>, <EMAIL_1>, <PHONE_1>, <IBAN_1> et quelques autres.
2. Le texte indexé et l'aperçu affiché sont tous deux anonymisés, avec la même substitution : rien ne subsiste dans l'index.
3. Le fichier d'origine n'est pas conservé. Le document ne sera donc jamais téléchargeable.

La même personne reçoit le même marqueur dans l'ensemble du document : Jean Dupont, M. Dupont puis Dupont sont reconnus comme une seule personne quand les indices le permettent.

Il faut les connaître avant de s'appuyer dessus.

• Ce n'est pas une garantie. La détection est automatique : une forme rare, un nom écrit inhabituellement ou une donnée identifiante par recoupement peuvent échapper au traitement. Relisez avant toute diffusion externe.
• La langue compte. Si aucun modèle validé n'existe pour la langue détectée, le document est refusé avec la raison « anonymisation indisponible pour cette langue » plutôt que traité par un modèle inadapté. Un document qui aurait été analysé avec le mauvais modèle aurait paru anonymisé sans l'être.
• La portée est le document. Deux personnes homonymes dans deux fichiers différents ne sont pas rapprochées, volontairement.
• La fonction dépend de l'abonnement et peut être plafonnée par un quota mensuel, affiché dans la fenêtre d'import.

À deux endroits, tous deux facultatifs :

thesr n'a pas d'autre fonction d'intelligence artificielle.

Pas par thesr : l'anonymisation s'exécute sur sa propre infrastructure, et thesr ne transmet aucun texte à un fournisseur d'IA. Rien de ce que vous importez ne sert à entraîner un modèle.

C'est différent si vous connectez votre propre assistant IA (Claude, ChatGPT, Copilot) et que votre cabinet l'autorise : ce que cet assistant lit dans thesr est transmis à son fournisseur.

thesr enregistre les connexions et les accès aux documents, à des fins de sécurité. Un administrateur du cabinet voit les alertes de THESR Guardian et, avec Sécurité+, le journal des connexions, les habitudes que Guardian a apprises de chacun (rythme, heures, appareils, pays) et des alertes sur un volume anormal de consultations ou de téléchargements.

Il ne voit ni le contenu de vos recherches, ni vos surlignages, ni vos notes et workspaces non partagés. Le journal des workspaces et celui des assistants IA disent ce qui a été fait, jamais le contenu.

Des faits, jamais un contenu : qui, quand, depuis quel pays et quel appareil, quel type d'action sur quel numéro de document. Guardian ne lit ni vos documents, ni leurs titres, ni vos recherches.

• Il fonctionne à part de l'application, avec son propre accès à la base, limité aux événements de sécurité et à ce qu'il écrit : il ne peut ouvrir ni un document ni un compte.
• Chaque événement est scellé par une empreinte que Guardian garde de son côté et vérifie en continu : un événement modifié ou effacé après coup se voit.
• Les événements sont conservés 180 jours, les alertes un an. Un appareil n'est retenu que sous une forme abrégée (« Firefox · macOS ») et une empreinte courte, jamais la chaîne complète que le navigateur envoie.
• Pour une session, il ne retient que la famille du navigateur qui l'a ouverte (Firefox, Safari…) ; pour un import refusé, que le motif (type ou structure du fichier), jamais son nom.

Douze mois au plus, comme le prévoit la politique de confidentialité. Chaque nuit, thesr efface ce qui a plus d'un an dans le journal des connexions, les consultations de documents, les sessions, le journal des workspaces, les actions des assistants IA, les déclenchements des alertes personnalisées et le journal des erreurs. D'autres durées sont plus courtes :

• les événements de sécurité de Guardian, 180 jours ; ses alertes, un an ;
• ce que Guardian a appris des habitudes de chacun, tant que le compte existe et au plus un an après sa dernière activité ; cela disparaît avec le compte ;
• l'historique de recherche, 30 jours ;
• un lien de connexion, un jour après avoir servi ou expiré.

Seulement des cookies nécessaires au fonctionnement et à la sécurité : la session, la protection des formulaires, la langue choisie, l'appareil de confiance quand vous demandez à ne plus saisir votre code de double authentification, et les cookies de sécurité de Cloudflare. Aucun cookie de mesure d'audience ni de publicité n'est déposé : c'est pourquoi aucun bandeau de consentement ne s'affiche. La page Cookies donne le nom et la durée de chacun ; une mesure d'audience ajoutée un jour attendrait votre accord.

Il va dans la corbeille, avec les notes et les workspaces supprimés : il disparaît aussitôt des listes, de la recherche et des assistants IA, et peut être restauré pendant trente jours. Passé ce délai, il est effacé de la base, de l'index et du stockage. Il subsiste encore dans les sauvegardes quotidiennes jusqu'à leur expiration, quatorze jours au plus : elles servent à remettre le service en état après un incident, pas à rendre un document supprimé.

À la fin de l'abonnement, sur demande écrite faite avant cette date ou dans les trente jours qui suivent, thesr vous remet sous trente jours une copie de vos documents, dans leur format d'origine, et de vos notes : une archive ZIP qui range les fichiers par bibliothèque et par workspace, avec les notes au format Word et un index des documents (bibliothèque, catégories, date d'import, auteur de l'import). Au plus tard quatre-vingt-dix jours après la fin, vos contenus et les comptes de vos utilisateurs sont supprimés, puis effacés des sauvegardes à leur expiration (article 17 des conditions générales).