La souveraineté n’est pas une promesse politique: c’est la conséquence de décisions architecturales que vous pouvez auditer. Cette page est la liste de ces décisions, dans l’ordre qu’un auditeur vérifierait, et elle se termine là où toute page de vie privée devrait commencer: à ce que vous pouvez vérifier sans accepter notre parole.
Auditez le schéma: souveraineté que vous pouvez vérifier
La base de données permanente de SazAI contient la structure, les mesures, les relations et la Lignage. Elle ne contient pas le contenu de vos documents. Le texte brut vit dans sa propre base de données, par exécution, à côté de vos fichiers, tant que le document existe, et n’entre jamais dans la base de données de connaissances permanente.
Ce n’est pas une politique interne, c’est une propriété de la conception, et c’est vérifiable de la façon la plus directe qui soit: lisez les définitions de table et cherchez la colonne qui contiendrait le texte de votre document. Elle n’existe pas. Vous n’avez pas besoin de faire confiance à une page de vie privée si vous pouvez auditer le schéma, et c’est la preuve que nous aimons offrir le plus, car elle ne passe pas par nous.
La conséquence pratique importe à quiconque travaille sous la LGPD: l’analyse agrégée de l’utilisation de la plateforme se produit sans exposer le contenu, car le contenu n’y est pas pour être exposé. Les glossaires d’entreprise vivent dans leur propre stockage, par organisation, car la terminologie est un actif et ne devrait pas s’asseoir à côté de celui de personne d’autre.
Ce qui quitte votre zone de contrôle
Dans une SazAI installée sur votre propre infrastructure, l’ensemble du système fonctionne à l’intérieur, et la seule destination externe pour le traitement est le modèle de langue que vous avez choisi et avec qui vous avez conclu un contrat, qui peut rester dans votre propre zone. L’application ne récupère pas de bibliothèques tierces à l’exécution, ne charge pas de polices à partir de serveurs externes et ne dépend pas du cloud de quelqu’un d’autre pour fonctionner. Chaque dépendance d’exécution externe est un endroit où un morceau de votre trafic, ou les informations sur son existence, quitte votre réseau; un système sans ces dépendances n’a pas besoin de promettre qu’il ne s’échappera pas par elles.
Deux limites font partie de l’affirmation, pas des notes de bas de page.
La première est l’identité. La connexion fédérée passe aujourd’hui par un fournisseur d’identité dans le cloud. Pour une installation qui utilise cette connexion, une deuxième destination externe existe en plus du modèle, et la phrase ci-dessus n’est littérale que dans deux situations: authentification par clé API ou le fournisseur d’identité se trouvant dans votre zone. Amener le fournisseur dans la zone est une direction déclarée sur la plateforme de la feuille de route, pas quelque chose de livré aujourd’hui.
La deuxième est la différence entre exécuter et construire. À l’exécution, le système est fermé. La construction de l’image télécharge les dépendances, comme tout logiciel construit ce siècle. Mélanger les deux questions transformerait une affirmation vraie en mensonge technique la première fois qu’un auditeur ouvrirait le fichier de construction.
Le cœur ne sait pas qui vous êtes
Le moteur qui lit et écrit les documents est aveugle à l’authentification, la facturation et la permission: il reçoit des identifiants déjà validés et exécute. Ce qui décide ce que vous pouvez voir est une couche au-dessus, traversée à chaque opération. Une défaillance de permission ne peut pas devenir une fuite entre organisations via un chemin interne du moteur, car le moteur ne sait pas qu’une autre organisation existe.
L’isolement entre les clients n’est pas supposé: il est testé avec des sondes qui tentent activement de franchir la limite, y compris en production, le résultat étant enregistré. Les fichiers restent à l’intérieur de l’espace de votre organisation, séparés par locataire et par utilisateur, avec un accès validé à chaque opération. Le partage entre utilisateurs existe et est explicite: un coffre partagé est en lecture seule, la source identifiée à l’écran.
Suppression comme enregistrement, non pas comme oubli
Quand vous supprimez un document, les champs sensibles sont effacés dans l’enregistrement lui-même, non marqués comme masqués, et la suppression est enregistrée comme un événement en séquence. Le document cesse d’exister pour chaque interface, et les dérivés sont traités avec l’original au lieu de devenir orphelins. Le système n’efface pas le souvenir d’avoir effacé, et c’est ce qui rend possible de prouver après coup que la suppression s’est produite et quand.
Énoncé comme une forme, car c’est le modèle entier en une ligne: la suppression efface la moitié de travail et laisse une pierre tombale dans la moitié permanente. Ce qui survit est un enregistrement sans contenu, porteur d’un identifiant, d’une date et d’une organisation, et pas de texte: ce n’est pas une copie conservée de votre document, c’est la preuve qu’il a été retiré. C’est ce qui produit la phrase qu’un acheteur peut vérifier seul dans le schéma: nous savons par où votre document est passé et ce qui a été fait à celui-ci, et nous ne savons pas ce qu’il disait.
La portée actuelle a une limite, énoncée clairement: les sauvegardes faites avant la suppression contiennent toujours le contenu, pendant une fenêtre de rétention jusqu’à sept jours, et une restauration d’urgence à partir de l’une d’elles réintroduirait du contenu déjà supprimé. Le mécanisme qui ferme cela est défini, puisqu’une restauration peut rejouer les suppressions enregistrées après la date de cette copie, et il n’est pas encore construit. Jusqu’à ce qu’il soit construit et mesuré, cette page ne dira pas que la suppression atteint les sauvegardes.
Supprimer tout à la fois et désactiver le compte via l’interface n’est pas non plus construit encore; la fermeture est traitée par nous à la demande, avec la portée décrite ci-dessus. Le nom qui s’appliquera quand il existe est le bon: il efface votre contenu et désactive votre compte, car la trace de qui a accédé au système reste.
Portabilité: ce qui part avec vous
Vos fichiers ont toujours été les vôtres, et les remettre n’est le crédit de personne. Ce qui compte est ce qui a été construit dessus: l’organisation, les relations entre original et dérivés, les mesures, l’historique. Ce corps de connaissances est matérialisé comme un coffre de fichiers en texte brut liés les uns aux autres: interrogeable de l’extérieur, exporté sur demande et fonctionnel loin d’ici, dans un outil de notes ordinaire, sur votre propre ordinateur ou votre propre serveur.
Le même savoir est accessible via une interface de programmation et via le protocole qu’utilisent les agents IA pour connecter les outils, donc vos propres agents peuvent interroger le coffre sans passer par notre interface. Un produit qui n’est utile que de l’intérieur de lui-même vous tient par la dépendance; celui-ci préfère vous tenir par la valeur.
Deux choses énoncées avant que vous les découvriez: le changement de langue appartient à notre couche d’affichage, donc vous prenez le coffre dans la langue dans laquelle il a été écrit; et la portabilité n’a pas encore de démonstration publiée que quelqu’un peut reproduire sans nous parler. Jusqu’à ce moment, c’est une conversation de diligence raisonnable: demandez l’export lors d’une évaluation, ouvrez le résultat dans votre propre outil et vérifiez-le de vos propres mains.
La limite, déclarée par nous
La traduction et l’examen nécessitent d’envoyer du texte à un modèle de langue, et ce qui se passe de l’autre côté dépend du fournisseur avec qui vous avez conclu un contrat, non de notre architecture. Le régime de rétention du fournisseur est une affaire de contrat avec lui, et la bonne réponse pour une zone de vie privée est le contrat, pas une phrase de la nôtre. Dans une installation qui vous est propre, le fournisseur est votre choix.
Et ce que cette page ne prétend pas, exprès: nous ne sommes pas certifiés contre une norme quelconque, et notre historique de décisions et d’enregistrements sert de preuve de contrôle sans nous prétendre que cela ferme une exigence formelle spécifique dans votre secteur. Apportez l’exigence et la réponse vient point par point, cas par cas. Le reçu pour chaque livraison et où il s’arrête est dans confiance.
Ce que nous mesurons sur les pages publiques
Les sites publics (sazai.app et ui.sazai.app) utilisent Google Analytics 4 pour comprendre quelles pages sont visitées, quelles zones attirent l’intérêt et d’où viennent les visiteurs: pages vues, clics sur les sections de produit, langue et type d’appareil. La mesure est désactivée par défaut et s’active uniquement après que vous acceptiez l’avis de consentement. Toutes les demandes passent par notre propre domaine; les adresses IP sont anonymisées; nous n’utilisons pas les fonctionnalités publicitaires ou le suivi intersite.
Si vous refusez ou ignoriez simplement l’avis, rien n’est mesuré. Les pages fonctionnent de manière identique dans les deux cas.
Ce que nous ne faisons jamais dans le coffre
Le produit authentifié, votre coffre, porte zéro analytique. Pas de scripts de suivi, pas de balises, pas de demandes tierces. Les seuls cookies présents sont les cookies de session qui vous gardent connecté. L’utilisation du produit est comptabilisée par notre propre mesure interne, qui existe pour la facturation et la capacité: elle enregistre les actions, jamais le contenu, et ne quitte jamais notre infrastructure.
Votre compte et votre identité
La connexion se fait via notre fournisseur d’identité (Zitadel), éventuellement via le compte Microsoft de votre organisation. Nous conservons le minimum: votre nom, votre e-mail et le locataire auquel votre invitation vous lie. L’accès à un coffre est accordé uniquement par invitation.
Cookies
| Cookie | Objectif | Surface |
|---|---|---|
| Choix de consentement | Se souvient si vous avez accepté ou refusé la mesure | Pages publiques |
| Session | Vous garde connecté | Coffre |
| Préférences | Choix de langue et de thème | Toutes les surfaces |
Pas de cookies publicitaires. Pas d’identifiants intersites.
Infrastructure
SazAI fonctionne sur Amazon Web Services (États-Unis). Tout le trafic est chiffré en transit; les espaces de travail des locataires sont isolés les uns des autres. Pour les organisations qui l’exigent, SazAI est également offert comme une installation dédiée et autonome sur l’infrastructure du client, avec les propriétés décrites au début de cette page.
Vos droits en vertu de la LGPD
La Lei Geral de Proteção de Dados (Loi 13.709/2018) vous accorde le droit d’accéder aux données que nous détenons sur vous, de les corriger, de les supprimer, de les recevoir sous forme portable et de révoquer le consentement à tout moment. Révoquer le consentement de mesure est immédiat: refusez sur toute page publique. Pour tout le reste, écrivez à contact.
Demandes de vie privée: ask@sazai.app · SazAI · Rua dos Tijolos Amarelos, 42 Dernière mise à jour: 2026-09-04.