Comment vos données sont protégées

Hébergement et infrastructure

Hébergement principal en Europe ; le traitement par les modèles de langage peut avoir lieu hors d'Europe (voir plus bas). L'application s'appuie sur trois fournisseurs :

• —Vercel — le site public et l'application web (réseau mondial, HTTPS obligatoire).
• —Google Cloud Platform, région europe-west4 (Pays-Bas) — le serveur d'API et notre base de données de graphe de connaissances.
• —Supabase, hébergé sur AWS eu-west-2 (Londres) — l'authentification, la base de données et le stockage de vos fichiers (PDF et images).

Chiffrement et isolement des données

• —Toutes les connexions sont chiffrées en transit (HTTPS/TLS).
• —Chaque table de notre base de données applique la sécurité au niveau des lignes (row-level security) de PostgreSQL : un utilisateur ne peut lire ou écrire que les données de son propre compte ou de son organisation.
• —Si vous ajoutez votre propre clé API (offre Business), elle est chiffrée avant d'être enregistrée — jamais stockée en clair.

Quels modèles traitent vos questions

Nous ne faisons pas tourner nos propres modèles. Vos questions, le contenu des pièces jointes (y compris la lecture des documents scannés) et les paragraphes normatifs associés sont envoyés, via le routeur OpenRouter, aux fournisseurs suivants :

• —DeepSeek (deepseek-v4.1-flash-1017 pour la rédaction des notes et les étapes d'analyse ; deepseek-v4-pro uniquement en secours si le modèle principal échoue).
• —Zhipu AI / Z.ai (GLM-5.2) — contrôle des réponses du mode questions-réponses avant affichage, et modèle de secours de la relecture « Relire ».
• —Novita AI — l'infrastructure d'inférence qu'OpenRouter utilise actuellement pour faire tourner ces modèles ; votre requête est traitée sur les serveurs de Novita dans le cadre de ce routage.

Chaque fournisseur applique sa propre politique de conservation et d'entraînement ; nous n'avons pas configuré de restriction « zéro rétention » auprès d'OpenRouter à ce jour. Si des paragraphes de vos propres normes IFRS téléversées servent à répondre à une question, ils font partie du contexte envoyé à ces fournisseurs pour cette requête.

Journalisation et conservation

Les journaux en base sont purgés après 30 jours ; les journaux fichiers sont limités en taille.

Certifications

Luca Paper est édité par une petite équipe indépendante. Nous ne détenons pas de certification SOC 2, ISO 27001 ou équivalente. Si votre organisation a des exigences de conformité ou de résidence des données plus strictes, contactez-nous : un déploiement Business auto-hébergé peut être envisagé.