Dernière mise à jour : Septembre 2026
IA Scientifique Souveraine et Sécurisée
1. Vue d'Ensemble
Bienvenue dans le Trust Center d'Emerit Science
Chez Emerit Science, la sécurité et la confidentialité de vos données de recherche sont au cœur de nos priorités. Ce Trust Center décrit comment Charlie est hébergé, où vos données sont traitées et quelles mesures nous appliquons pour les protéger. Notre stratégie est claire : le cœur du système (hébergement, données, identités, moteur de recherche, vectorisation, lecture des documents) est opéré en France chez un hébergeur français, et notre feuille de route vise à étendre cette souveraineté à l'ensemble de la plateforme.
Vous trouverez ici la description de notre dispositif et de nos engagements, au niveau de détail qui convient à une page publique. Nos documents de référence (politique de confidentialité, conditions générales, registre des sous-traitants, dossier d'architecture et de sécurité, accord de traitement des données) sont tenus à jour à chaque évolution de la plateforme et remis aux organisations qui en font la demande — sous accord de confidentialité pour ceux qui décrivent notre architecture.
Que vous soyez chercheur, responsable informatique, délégué à la protection des données ou partenaire industriel, ce Trust Center vous permet de comprendre comment Charlie protège vos données et de vérifier nos engagements. Pour toute question ou demande de document complémentaire, notre équipe est joignable à contact@emeritscience.com.
2. Conformité
RGPD
Emerit Science traite vos données conformément au Règlement Général sur la Protection des Données (RGPD), que vous soyez ou non résident de l'Union européenne. Chaque traitement repose sur une base légale identifiée (exécution du service, obligation légale, intérêt légitime, ou consentement pour la mesure d'audience), et notre politique de confidentialité décrit précisément quelles données sont collectées, pourquoi, combien de temps elles sont conservées et à quels sous-traitants elles sont confiées.
Droits des utilisateurs et sécurité des données : Vous pouvez accéder à vos données, les rectifier, demander leur suppression, limiter leur traitement et les récupérer. La suppression de compte est disponible directement dans l'application, avec effacement en cascade de vos conversations, bibliothèques et fichiers ; les comptes inactifs depuis plus d'un an sont supprimés automatiquement. Un référent protection des données est désigné pour superviser notre conformité et répondre à vos questions à contact@emeritscience.com.
Engagement en matière de protection des données : Nous appliquons les principes de privacy by design et privacy by default : minimisation des données transmises aux modèles, cloisonnement strict entre utilisateurs, masquage des données personnelles dans les journaux techniques, journal des services tiers appelés. Nous tenons un registre à jour de nos sous-traitants, communiqué sur demande, et fournissons aux organisations clientes un accord de traitement des données conforme à l'article 28 du RGPD, avec droit d'audit. En cas de violation de données, nous notifions les organisations concernées dans les 72 heures.
Hébergement en France et trajectoire souveraine
Le cœur de Charlie est hébergé et opéré en France, à Paris, chez un hébergeur français certifié ISO 27001 : vos comptes, vos documents, vos conversations, le moteur de recherche, la vectorisation et la lecture des documents ne quittent pas la France. Les modèles de langage sont exécutés exclusivement dans l'Union européenne, et nos contrats excluent la réutilisation de vos données pour entraîner des modèles. Une configuration 100 % France, reposant uniquement sur des modèles ouverts hébergés à Paris, est disponible pour les organisations qui le demandent. Notre ambition : étendre cette souveraineté à l'ensemble des fonctions de la plateforme et inscrire le cœur du système dans le référentiel SecNumCloud de l'ANSSI à mesure que les offres qualifiées le permettront.
3. Ils nous font confiance
• Genopole
• Abolis
• CHU Caen
• Université Grenoble Alpes
4. Base documentaire
Les documents de référence d'Emerit Science :
• Politique de Confidentialité
• Conditions Générales d'Utilisation
• Dossier d'architecture et de sécurité : remis aux organisations sur demande, sous accord de confidentialité
• Accord de traitement des données (article 28 RGPD) et registre nominatif des sous-traitants : fournis aux organisations clientes et, sur demande, aux organisations qui évaluent Charlie
5. Catégories de Sécurité
Les mesures ci-dessous décrivent, dans leurs grandes lignes, le dispositif de sécurité de Charlie. Le détail technique, les paramètres de configuration et nos objectifs chiffrés figurent dans notre dossier d'architecture et de sécurité, remis sous accord de confidentialité.
5.1 Chiffrement des données
Toutes les communications sont chiffrées en transit (TLS), avec renouvellement automatique des certificats, du navigateur jusqu'aux bases de données et aux fournisseurs de modèles. Les données au repos sont chiffrées par les services managés de notre hébergeur, et les fichiers ne sont accessibles que par des liens signés à durée limitée.
5.2 Gestion des accès et authentification
L'authentification repose sur un service d'identité dédié, hébergé dans notre plateforme : mots de passe hachés, politique de complexité, verrouillage progressif après échecs répétés, vérification de l'adresse e-mail à l'inscription et expiration automatique des sessions inactives. La connexion unique via Google, Microsoft Entra ID ou ProConnect permet aux organisations d'imposer leur propre authentification multifacteur. Les rôles (utilisateur, administrateur d'équipe, administrateur de plateforme) limitent l'accès au strict nécessaire, et les interfaces d'administration sont restreintes.
5.3 Stockage sécurisé des données
Les données sont hébergées à Paris, chez un hébergeur certifié ISO 27001, dans des environnements de production et de test séparés. Les bases de données, les bases d'identité et le stockage de fichiers font l'objet de sauvegardes automatiques et régulières, et le stockage de fichiers est redondant. Nos objectifs de reprise d'activité et de perte de données maximale admissible sont contractualisés et communiqués aux organisations sur demande.
5.4 Surveillance et détection des menaces
Les journaux techniques de l'ensemble des composants sont centralisés dans un service de journalisation hébergé en France, avec masquage des données personnelles et une durée de conservation limitée. Des sondes de santé surveillent la disponibilité de chaque service et chaque interaction avec les modèles est tracée.
5.5 Politiques de sécurité et formation
L'accès aux données de production est limité aux personnes qui en ont besoin, les secrets techniques sont stockés hors du code avec un calendrier de renouvellement, et chaque changement passe par une revue, des tests automatisés et un déploiement en préproduction avant la production. Des garde-fous automatisés vérifient à chaque livraison les services tiers appelés par l'application, et tout nouveau sous-traitant est inscrit au registre avant sa mise en service.
5.6 Gestion des incidents et plans de continuité
Nous disposons d'une procédure de gestion des violations de données couvrant la détection, la qualification, le confinement et la notification : les utilisateurs sont informés dans l'application, les organisations clientes sont notifiées sous 72 heures avec les éléments nécessaires à leurs propres obligations, et chaque violation est consignée dans un registre. Les procédures de restauration de nos sauvegardes sont documentées.
5.7 Audits et conformité régulière
Nous réalisons des revues de sécurité régulières du code et des services tiers, avec un plan de traitement suivi. Les organisations clientes disposent d'un droit d'audit prévu dans notre accord de traitement des données.