Comment vos données sont protégées

Hébergement et infrastructure

L'application est répartie sur trois fournisseurs, tous situés en Europe :

• —Vercel — le site public et l'application web (réseau global, HTTPS obligatoire).
• —Google Cloud Platform, région europe-west4 (Pays-Bas) — le serveur d'API et notre graphe de connaissances (Memgraph).
• —Supabase, hébergé sur AWS eu-west-2 (Londres) — l'authentification, la base de données et le stockage de vos fichiers PDF.

Chiffrement et isolement des données

• —Toutes les connexions transitent en HTTPS/TLS, de bout en bout.
• —Chaque table de notre base de données applique la sécurité au niveau ligne (row-level security) de PostgreSQL : un utilisateur ne peut lire ou écrire que les données de son propre compte ou de son organisation.
• —Si vous ajoutez votre propre clé API (offre Business), elle est chiffrée avant d'être enregistrée — jamais stockée en clair.

Quels modèles traitent vos questions

Nous ne faisons pas tourner nos propres modèles. Vos questions et les paragraphes normatifs associés sont envoyés, via le routeur OpenRouter, à deux fournisseurs de modèles :

• —DeepSeek (deepseek-v4-pro / deepseek-v4-flash) — rédaction des réponses.
• —Zhipu AI / Z.ai (GLM-5.2) — relecture et vérification des réponses avant affichage.

Chaque fournisseur applique sa propre politique de conservation et d'entraînement ; nous n'avons pas configuré de restriction « zéro rétention » auprès d'OpenRouter à ce jour. Si des paragraphes de vos propres normes IFRS téléversées servent à répondre à une question, ils font partie du contexte envoyé à ces modèles pour cette requête.

Journalisation et conservation

Les journaux techniques (logs applicatifs) sont conservés 30 jours puis purgés automatiquement. Nous ne conservons pas d'historique au-delà de cette fenêtre.

Ce que nous ne sommes pas, à ce jour

Luca Paper est édité par une petite équipe indépendante. Nous ne détenons pas de certification SOC 2, ISO 27001 ou équivalente. Si votre organisation a des exigences de conformité ou de résidence des données plus strictes, contactez-nous : un déploiement Business auto-hébergé peut être envisagé.