Vos données sont hébergées en France, cloisonnées par la base, et ne servent jamais à entraîner un modèle. Ce n’est pas une option de contrat : c’est le socle, et il s’applique à tous les agents sans surcoût.
Un fournisseur qui promet « exclusivement européen » et sert son API depuis l’Oregon ne promet rien. Ce qui départage un fournisseur de modèle, c’est la juridiction dont il dépend et la durée pendant laquelle il retient ce qu’on lui envoie — pas l’adresse de son site.
Le corps d’un mail reçu est la donnée personnelle du client de l’artisan. L’artisan a signé ; son client, non. Les six routes qui voient cette parole sont listées dans le code, et un test refuse toute route ajoutée sans y répondre.
Le cloisonnement n’est pas appliqué par le code applicatif — il est appliqué par la base de données elle-même, table par table. Une requête mal écrite ne peut pas franchir la frontière d’un client : elle ne renvoie rien.
Proposer, valider et exécuter sont trois actes portés par trois acteurs distincts. Aucun réglage, aucun forfait, aucune demande client ne permet de sauter celui du milieu. C’est une contrainte d’architecture, pas une option.
Une protection qui n’agit qu’à la sortie arrive trop tard ; une qui n’agit qu’à l’entrée laisse passer ce que le modèle fabrique lui-même.
Le contenu reçu est analysé : instructions déguisées à destination du modèle, données personnelles, pièces jointes douteuses. Ce qui est suspect est neutralisé ou écarté avant d’atteindre le modèle.
Le modèle ne dispose que des outils compatibles avec la fiabilité de ce qu’il lit. Plus l’entrée est incertaine, moins l’outil a de droits — et c’est vérifié à la construction, pas demandé dans une consigne.
La proposition porte une empreinte. Rien ne s’exécute sans votre validation, et l’exécuteur revérifie l’empreinte avant d’agir : un contenu modifié entre-temps n’est pas exécuté.
Ce n’est pas une promesse de bonne conduite. Chaque table porte l’identifiant de l’entreprise, et la base refuse elle-même toute lecture qui sortirait du périmètre. Le code applicatif ne peut pas contourner cette règle : il n’en a pas le droit.
Aucun compte de service ne dispose du droit de contourner le cloisonnement. Pas même le nôtre.
Les jetons d’accès à vos outils vivent dans une base distincte de celle des données applicatives.
Chaque proposition, validation et exécution est horodatée et gardée. Y compris les rejets.
Un fournisseur qui ne dit pas ses limites vous les laisse découvrir le jour où elles comptent.
Architecture, hébergement, sous-traitants, durées de conservation, réversibilité : on répond par écrit, précisément, et on fournit les documents pour votre dossier.
