La souveraineté n’est pas une promesse politique: c’est la conséquence de décisions architecturales que vous pouvez auditer. Cette page est la liste de ces décisions, dans l’ordre qu’un auditeur vérifierait, et elle se termine là où toute page de vie privée devrait commencer: à ce que vous pouvez vérifier sans accepter notre parole.
Auditez le schéma: souveraineté que vous pouvez vérifier
Les tables de la plateforme SazAI contiennent la structure, les mesures, les relations et le lignage. Elles ne contiennent pas le contenu de vos documents. Le texte brut vit dans le schéma propre à votre organisation. L’application n’y accède que par les rôles de base de données de votre organisation, et la base de données elle-même filtre chaque ligne par son propriétaire. Il y reste tant que le document existe et n’entre jamais dans les tables de la plateforme.
Ce n’est pas une politique interne, c’est une propriété de la conception, et c’est vérifiable de la façon la plus directe qui soit: lisez les définitions des tables de la plateforme et cherchez la colonne qui contiendrait le texte de votre document. Elle n’existe pas. Ce qu’elles conservent, ce sont des noms, en tant que structure: le nom du fichier, y compris les noms de ses sorties et le nom que vous donnez à un document que vous rédigez; les noms des feuilles d’un classeur, parce que les formules y font référence; et les libellés que vous donnez à vos glossaires et à vos clés. Vous n’avez pas besoin de faire confiance à une page de confidentialité si vous pouvez auditer le schéma, et c’est la preuve que nous aimons offrir le plus, car elle ne passe pas par nous.
La conséquence pratique importe à quiconque travaille sous la LGPD: l’analyse agrégée de l’utilisation de la plateforme se fait sans exposer le contenu, car le contenu n’y est pas. Les glossaires d’entreprise vivent dans le schéma propre à votre organisation, car la terminologie est un actif et aucun rôle d’une autre organisation ne peut la lire.
Ce qui quitte votre zone de contrôle
Dans une SazAI installée sur votre propre infrastructure, l’ensemble du système fonctionne à l’intérieur, et la seule destination externe pour le traitement est le modèle de langue que vous avez choisi et avec qui vous avez conclu un contrat, qui peut rester dans votre propre zone. L’application ne récupère pas de bibliothèques tierces à l’exécution, ne charge pas de polices à partir de serveurs externes et ne dépend pas du cloud de quelqu’un d’autre pour fonctionner. Chaque dépendance d’exécution externe est un endroit où un morceau de votre trafic, ou les informations sur son existence, quitte votre réseau; un système sans ces dépendances n’a pas besoin de promettre qu’il ne s’échappera pas par elles.
Deux limites font partie de l’affirmation, pas des notes de bas de page.
La première est l’identité. La connexion fédérée passe aujourd’hui par un fournisseur d’identité dans le cloud. Pour une installation qui utilise cette connexion, une deuxième destination externe existe en plus du modèle, et la phrase ci-dessus n’est littérale que dans deux situations: authentification par clé API ou le fournisseur d’identité se trouvant dans votre zone. Amener le fournisseur dans la zone est une direction déclarée sur la plateforme de la feuille de route, pas quelque chose de livré aujourd’hui.
La deuxième est la différence entre exécuter et construire. À l’exécution, le système est fermé. La construction de l’image télécharge les dépendances, comme tout logiciel construit ce siècle. Mélanger les deux questions transformerait une affirmation vraie en mensonge technique la première fois qu’un auditeur ouvrirait le fichier de construction.
Le cœur ne sait pas qui vous êtes
Le moteur qui lit et écrit les documents est aveugle à l’authentification, la facturation et la permission: il reçoit des identifiants déjà validés et exécute. Ce qui décide ce que vous pouvez voir est une couche au-dessus, traversée à chaque opération. Une défaillance de permission ne peut pas devenir une fuite entre organisations via un chemin interne du moteur, car le moteur ne sait pas qu’une autre organisation existe.
L’isolement entre les clients n’est pas supposé: il est testé avec des sondes qui tentent activement de franchir la limite, y compris en production, le résultat étant enregistré. Les fichiers restent à l’intérieur de l’espace de votre organisation, séparés par locataire et par utilisateur, avec un accès validé à chaque opération. Le partage entre utilisateurs existe et est explicite: un coffre partagé est en lecture seule, la source identifiée à l’écran.
Suppression comme enregistrement, non pas comme oubli
Quand vous supprimez un document, les champs sensibles sont effacés dans l’enregistrement lui-même, non marqués comme masqués, et la suppression est enregistrée comme un événement en séquence. Le document cesse d’exister sur chaque interface qui montre du contenu, et l’historique garde son nom, marqué comme retiré ; les dérivés sont traités avec l’original au lieu de devenir orphelins. Le système n’efface pas le souvenir d’avoir effacé, et c’est ce qui rend possible de prouver après coup que la suppression s’est produite et quand.
Énoncé comme une forme, car c’est le modèle entier en une ligne: la suppression efface la moitié de travail et laisse une pierre tombale dans la moitié permanente. Ce qui survit est un enregistrement sans contenu : un identifiant, une date, une organisation, le nom du document et ce qui a été fait avec lui, marqué comme retiré. Ce n’est pas une copie conservée de votre document, c’est la preuve qu’il a été retiré. C’est ce qui produit la phrase qu’un acheteur peut vérifier seul dans le schéma: nous savons par où votre document est passé et ce qui a été fait à celui-ci, et nous ne savons pas ce qu’il disait.
La portée actuelle a une limite, énoncée clairement: les sauvegardes faites avant la suppression contiennent toujours le contenu, pendant une fenêtre de rétention jusqu’à sept jours, et une restauration d’urgence à partir de l’une d’elles réintroduirait du contenu déjà supprimé. Le mécanisme qui ferme cela est défini, puisqu’une restauration peut rejouer les suppressions enregistrées après la date de cette copie, et il n’est pas encore construit. Jusqu’à ce qu’il soit construit et mesuré, cette page ne dira pas que la suppression atteint les sauvegardes.
Vous pouvez vous-même tout supprimer à la fois et désactiver votre compte, depuis le menu de votre coffre, avec la portée décrite ci-dessus. Le nom est le bon. Il efface votre contenu, ainsi que votre nom et votre adresse e-mail des registres de SazAI, et désactive le compte ; ce qui reste ne contient ni contenu, ni nom, ni adresse e-mail : qu’un compte a existé et quand, que cet effacement a eu lieu, et un relevé de l’activité du compte sans aucun nom rattaché, comme les types de fichiers, les langues, les volumes, les actions effectuées et les dates, que nous conservons pour la facturation et l’audit. Cela ferme votre compte, pas votre organisation : si vous en êtes le dernier membre, l’organisation reste, sans aucun de vos contenus, jusqu’à ce qu’elle soit fermée séparément.
Portabilité: ce qui part avec vous
Vos fichiers ont toujours été les vôtres, et les remettre n’est le crédit de personne. Ce qui compte est ce qui a été construit dessus: l’organisation, les relations entre original et dérivés, les mesures, l’historique. Ce corps de connaissances est matérialisé comme un coffre de fichiers en texte brut liés les uns aux autres: interrogeable de l’extérieur, exporté sur demande et fonctionnel loin d’ici, dans un outil de notes ordinaire, sur votre propre ordinateur ou votre propre serveur.
Le même savoir est accessible via une interface de programmation et via le protocole qu’utilisent les agents IA pour connecter les outils, donc vos propres agents peuvent interroger le coffre sans passer par notre interface. Un produit qui n’est utile que de l’intérieur de lui-même vous tient par la dépendance; celui-ci préfère vous tenir par la valeur.
Deux choses énoncées avant que vous les découvriez: le changement de langue appartient à notre couche d’affichage, donc vous prenez le coffre dans la langue dans laquelle il a été écrit; et la portabilité n’a pas encore de démonstration publiée que quelqu’un peut reproduire sans nous parler. Jusqu’à ce moment, c’est une conversation de diligence raisonnable: demandez l’export lors d’une évaluation, ouvrez le résultat dans votre propre outil et vérifiez-le de vos propres mains.
La limite, déclarée par nous
La traduction et l’examen nécessitent d’envoyer du texte à un modèle de langue, et ce qui se passe de l’autre côté dépend du fournisseur avec qui vous avez conclu un contrat, non de notre architecture. Le régime de rétention du fournisseur est une affaire de contrat avec lui, et la bonne réponse pour une zone de vie privée est le contrat, pas une phrase de la nôtre. Dans une installation qui vous est propre, le fournisseur est votre choix.
L’assistant d’IA que vous connectez à SazAI, comme ChatGPT ou Claude, peut aussi afficher, quand il les demande, les noms que vos documents enregistrent sur les personnes, et les machines, qui y ont travaillé:
- qui a créé chaque fichier, qui l’a enregistré en dernier, le responsable et la société qu’il indique, et l’auteur d’un PDF;
- qui a fait chaque modification suivie dans un document Word, qui a écrit chaque commentaire dans un fichier Word, Excel ou PowerPoint, et qui a écrit chaque annotation dans un PDF;
- qui a signé un PDF, et les coordonnées que donne la signature;
- les personnes qu’un fichier Word, Excel ou PowerPoint liste comme coauteurs, avec le compte qu’il enregistre pour chacune, par exemple une adresse e-mail;
- l’imprimante nommée dans un fichier Word, Excel ou PowerPoint, et le logiciel que nomme chaque étape de l’historique de modification d’un PDF;
- la valeur de toute propriété personnalisée ajoutée à un fichier, car elle peut contenir un nom.
C’est activé. Quand l’assistant récupère l’une de ces données, elle lui est envoyée, que sa réponse la reprenne ou non. C’est ce que le fichier déclare, pas des identités que quelqu’un a vérifiées. Ce paragraphe est en attente de revue juridique.
Et ce que cette page ne prétend pas, exprès: nous ne sommes pas certifiés contre une norme quelconque, et notre historique de décisions et d’enregistrements sert de preuve de contrôle sans nous prétendre que cela ferme une exigence formelle spécifique dans votre secteur. Apportez l’exigence et la réponse vient point par point, cas par cas. Le reçu pour chaque livraison et où il s’arrête est dans confiance.
Ce que nous mesurons sur les pages publiques
Les sites publics (sazai.app et ui.sazai.app) utilisent Google Analytics 4 pour comprendre quelles pages sont visitées, quelles zones attirent l’intérêt et d’où viennent les visiteurs: pages vues, clics sur les sections de produit, langue et type d’appareil. La mesure est désactivée par défaut et s’active uniquement après que vous acceptiez l’avis de consentement. Toutes les demandes passent par notre propre domaine; les adresses IP sont anonymisées; nous n’utilisons pas les fonctionnalités publicitaires ou le suivi intersite.
Si vous refusez ou ignoriez simplement l’avis, rien n’est mesuré. Les pages fonctionnent de manière identique dans les deux cas.
Ce que nous ne faisons jamais dans le coffre
Le produit authentifié, votre coffre, porte zéro analytique. Pas de scripts de suivi, pas de balises, pas de demandes tierces. Les seuls cookies présents sont les cookies de session qui vous gardent connecté. Sur sazai.app, l’utilisation du produit est comptabilisée par notre propre mesure interne, qui existe pour la facturation et la capacité: elle enregistre les actions, jamais le contenu, et ne quitte jamais notre infrastructure.
Votre compte et votre identité
La connexion se fait via notre fournisseur d’identité (Zitadel), éventuellement via le compte Microsoft de votre organisation. Nous conservons le minimum: votre nom, votre e-mail et le locataire auquel votre invitation vous lie. L’accès à un coffre est accordé uniquement par invitation.
Cookies
| Cookie | Objectif | Surface |
|---|---|---|
| Choix de consentement | Se souvient si vous avez accepté ou refusé la mesure | Pages publiques |
| Session | Vous garde connecté | Coffre |
| Préférences | Choix de langue et de thème | Toutes les surfaces |
Pas de cookies publicitaires. Pas d’identifiants intersites.
Infrastructure
SazAI fonctionne sur Amazon Web Services (États-Unis). Tout le trafic est chiffré en transit; les espaces de travail des locataires sont isolés les uns des autres. Pour les organisations qui l’exigent, SazAI est également offert comme une installation dédiée et autonome sur l’infrastructure du client, avec les propriétés décrites au début de cette page.
Vos droits en vertu de la LGPD
La Lei Geral de Proteção de Dados (Loi 13.709/2018) vous accorde le droit d’accéder aux données que nous détenons sur vous, de les corriger, de les supprimer, de les recevoir sous forme portable et de révoquer le consentement à tout moment. Révoquer le consentement de mesure est immédiat: refusez sur toute page publique. Pour tout le reste, écrivez à contact.
Demandes de vie privée: ask@sazai.app. Dernière mise à jour: 2026-10-16.