La souveraineté n’est pas un adjectif.
C’est un plan.
Nota vit sur une instance dédiée, chez un hébergeur européen certifié ISO/IEC 27001, en France. Le chiffrement est systématique, en transit et au repos. Aucun transfert hors Espace économique européen, dans aucun sens, à aucun moment. Ce qui suit est le plan de l’installation : ce qui est posé chez l’Étude, ce qui vit sur la plateforme, et la limite que rien ne franchit.
- Hébergement
- Instance dédiée, hébergeur européen certifié ISO/IEC 27001, en France
- Transferts
- Aucun hors Espace économique européen
- Chiffrement
- En transit et au repos, systématiquement
- Sous-traitants
- Trois — communiqués sur demande écrite
Nota · souverainetéii
Où vivent les données
Une question à laquelle on doit pouvoir répondre par un plan, pas par un adjectif.
Nota est une suite accessible par navigateur. L’Étude n’installe ni serveur ni base de données : elle ouvre un dossier, elle ne l’héberge pas. Les dossiers, les pièces, les actes et les comptes vivent sur une instance dédiée à Nota, chez un hébergeur européen certifié ISO/IEC 27001, en France.
Le chiffrement y est systématique, en transit et au repos. L’isolation entre études est forcée au niveau de la base de données — pas dans le code applicatif, où un oubli suffirait à la défaire. Et chaque accès laisse une trace dans un journal que l’Étude peut consulter elle-même.
Aucun transfert hors Espace économique européen, dans aucun sens, à aucun moment. Sur le plan, la limite en trait mixte n’est pas un ornement de dessinateur : c’est la frontière que le dispositif ne franchit pas, y compris au moment où un modèle est appelé.
Nota · souverainetéiii
Veil™
Le moteur propriétaire qui s’interpose avant toute inférence. Aucune donnée nominative ne part en clair.
Toute demande adressée à un modèle passe d’abord par Veil™. Ce qui identifie une personne, un bien, un compte ou une date est repéré dans le texte et remplacé par un marqueur. Le modèle ne reçoit que le texte substitué. À l’arrivée, la réponse est rendue lisible par le chemin inverse, sur la plateforme.
C’est la seule façon d’ouvrir un dossier notarial à un modèle génératif sans lui confier l’identité des personnes qu’il concerne.
La table de réversion réside en mémoire vive, dans l’infrastructure de LTC : elle n’est jamais transmise au modèle. Les valeurs originales y sont chiffrées (AES-256-GCM, clé de session éphémère) et la table est détruite en fin de session.
La détection
Détection en trois couches : déterministe (motifs et sommes de contrôle sur dix classes), statistique (modèles de reconnaissance d’entités nommées libres, en français et en néerlandais), et critique.
Les trois travaillent sur le même texte et se contrôlent l’une l’autre : ce qu’un motif reconnaît avec certitude n’est pas laissé au jugement d’un modèle statistique.
Les dix classes déterministes
- numéro de registre national
- numéro d’entreprise
- IBAN
- adresse électronique
- téléphone
- parcelle
- code postal
- montant
- date de naissance
- date
Qualification juridique
La pseudonymisation opérée par Veil™ relève de l'article 4(5) du RGPD, pas de l'anonymisation. Les données pseudonymisées par Veil demeurent des données à caractère personnel au sens du RGPD (considérant 26). Le fournisseur d'inférence est donc traité comme sous-traitant ultérieur, sous accord article 28, et non comme destinataire de données anonymisées.
Pseudonymisation, pas anonymisation. Nous l’écrivons dans ces termes parce que la différence a des conséquences contractuelles : le fournisseur d’inférence reste un sous-traitant ultérieur, sous accord article 28, et l’Étude conserve tous ses droits sur les données.
Nota · souverainetéiv
Le compagnon local
Une application de bureau qui ne pilote que du matériel.
Le compagnon est une application légère, strictement limitée au matériel : lecteur d’identité électronique, numérisation réseau, impression. Il transmet ce que le matériel produit, et rien d’autre.
Il n’écrit ni contenu, ni cache de document, ni base, ni fichier temporaire. C’est ce qui permet de l’installer sur un poste ordinaire sans étendre d’un pouce la surface à protéger.
Aucune donnée de dossier n'est stockée en local.
Nota · souverainetév
Le boîtier passerelle
Un matériel fourni et exploité par LTC, raccordé au parc existant de l’Étude.
Le boîtier relie Nota aux appareils déjà en place : multifonctions, partages déclarés, écran de salle de signature. Il prend ce que ces appareils produisent et le remet à la plateforme.
Tout ce qu’il transporte est chiffré vers une clé publique dont la partie privée n’existe que sur la plateforme. Le boîtier ne détient aucune clé de déchiffrement : il est structurellement incapable de rouvrir ce qu’il transporte. Ce n’est pas une politique d’accès, c’est une propriété du mécanisme.
Aucune donnée de dossier lisible en local.
Les quatre refus de conception
- Il n’est jamais un tunnel d’accès distant vers le réseau de l’Étude.
- Il n’est pas un serveur de fichiers, ni un contrôleur de domaine.
- Il n’est pas un antivirus, ni un hyperviseur.
- Il ne fait aucune inférence : ni modèle de langage, ni reconnaissance de texte, ni classement embarqué. Toute l’intelligence reste sur la plateforme, sous Veil™.
Ces quatre refus sont des choix d’architecture. Un boîtier capable de ces choses-là demanderait à être surveillé ; celui-ci n’a pas à l’être.
Autres invariants
- Aucun port entrant depuis Internet
- Aucune clé de déchiffrement locale
- Aucune authentification locale
- Catalogue de commandes fermé et signé
- Purge à échéance
- Journaux techniques sans donnée personnelle
- Révocation en moins de soixante secondes
- Mises à jour signées
Nota · souverainetévi
Trois sous-traitants, exactement
Aucun de plus. Le boîtier n’en ajoute aucun, et le réseau notarial sécurisé est un conduit, pas un sous-traitant.
L’hébergement des dossiers
un hébergeur européen certifié ISO/IEC 27001, sur une instance dédiée à Nota, en France
L’exécution de l’inférence
une plateforme d’inférence cloud opérée depuis des régions de l’Union européenne, en inférence sans rétention
Le modèle
un modèle génératif tiers
Les noms complets figurent au contrat et sont communiqués sur demande écrite.
La liste nominative des sous-traitants ultérieurs est communiquée à l'Étude, annexée au DPA, avec notification préalable de tout changement et droit d'objection de trente jours.
Transferts — articles 44 et suivants du RGPD
Aucun transfert de données hors EEE au sens des articles 44 et suivants du RGPD : tous les traitements ont lieu dans l'Union européenne. Le risque d'accès par une autorité d'un pays tiers, inhérent au recours à un fournisseur soumis à une législation extraterritoriale, est traité frontalement : pseudonymisation systématique en amont (Veil™), absence de rétention des données d'inférence, chiffrement avec clés détenues par LTC, et clauses contractuelles types (SCC 2021/914) en garantie résiduelle.
Nota · souverainetévii
Ce qui est vérifiable
Un engagement que l’Étude ne peut pas constater elle-même n’est pas un engagement.
- Journal d’audit
- Inaltérable, consultable par l’Étude
- Rétention du journal
- Douze mois glissants par défaut, paramétrable jusqu’à trente-six mois
- Isolation entre études
- Forcée au niveau de la base de donnéesCe n’est pas une règle applicative : une requête qui l’oublierait ne rendrait rien.
- Double authentification
- Par code temporaire — obligatoire pour les administrateurs, activable pour tous
- Chiffrement
- Chiffrement systématique en transit et au repos (TLS 1.2+/1.3 ; AES-256).
- Sauvegardes
- Chiffrées, quotidiennes, rétention trente-cinq joursLes restaurations sont réellement testées : une sauvegarde qu’on n’a jamais restaurée est une hypothèse.
- Notification d’une violation
- À l’Étude, sous vingt-quatre heures après constat
- Réversibilité
- Export complet en format ouvert, soixante jours après résiliation
Le dossier complet
Le centre de confiance réunit les documents en ligne : conditions générales, accord de traitement, politique de confidentialité, fiches IA, note de sécurité, liste des sous-traitants, position AI Act. La description technique, le guide administrateur, le registre des traitements et l’analyse d’impact sont communiqués sur demande écrite.