Vous autorisez pendant. Pas après.
Lire, écrire, supprimer : chaque action sensible s’arrête et vous demande. Ce qui tourne sans vous garde les droits du jour où vous l’avez mis en service.
Écrit par Alexandre Zuber, fondateur · MyoApp, éditeur de MyoSynapse · Mis à jour le 10 octobre 2026
Une action sensible ne part pas sur un accord donné il y a un mois : elle s’arrête, vous montre l’outil et l’objet, et attend votre décision. Cette décision ne vaut qu’une fois : la même demande rejouée est refusée. Une procédure que vous avez mise en service garde les droits de ce jour-là, et rien de plus.
Ce qu’un outil, un spécialiste ou un serveur tiers renvoie arrive marqué comme non fiable, et la consigne le dit. Un identifiant repéré dans une réponse arrête le flux. Le web n’est appelé que sur une liste de domaines que nous tenons.
Nos limites, avant que vous les demandiez. Nous ouvrons par vagues, et aucun audit indépendant n’a encore eu lieu. Nous ne sommes pas encore certifiés : la démarche va s’engager, et les fondamentaux qu’elle vérifie sont déjà en place. L’isolation entre organisations tient à l’application, pas à la base de données. Le registre plus bas dit le reste. Ce qu’elle fait de sensible, vous l’autorisez.
Ce qu’une action sensible traverse.
Une demande qui lit, écrit ou supprime passe par les mêmes stations, dans le même ordre. À la troisième, le mot de l’application.
Votre demande
Elle part de votre navigateur ou de l’application, avec les pièces que vous joignez. Une pièce jointe est lue comme une pièce, jamais comme une consigne.
La garde d’entrée
Ce que vous écrivez et ce qu’un fichier contient sont relus avant tout appel : une consigne cachée dans un document, un texte encodé pour tromper, une demande qui sort du cadre d’un spécialiste sont repérés et nommés.
L’outil et sa porte d’accord
Chaque outil a une catégorie : lire, écrire, supprimer. Une écriture ou une suppression s’arrête et vous demande, « Approbation requise », l’outil et l’objet sous les yeux : « Approuver une fois », « Tout approuver pour ce tour » ou « Refuser ». Une décision ne vaut qu’une fois.
La sortie, relue et marquée
La réponse est relue avant de vous arriver : les noms internes et les blocs de réflexion sont retirés, un identifiant repéré arrête le flux, et ce qui vient d’une IA est marqué, fichiers et pages compris.
La trace
Chaque décision, chaque révélation d’un secret, chaque purge laisse une ligne datée. Vous pouvez remonter.
Ce qui protège votre dossier, couche par couche.
L’entrée
Branché aujourd’hui
Une consigne cachée dans un fichier est repérée avant tout appel.
Garde de prompt, garde de doctrine, enveloppe non fiable
Les actions
Branché aujourd’hui
Une écriture ou une suppression attend votre accord, une par une.
Porte d’accord par outil, décision à usage unique, droits gelés d’une procédure
La sortie
Branché aujourd’hui
Un identifiant repéré dans une réponse arrête le flux.
Scanner de secrets, nettoyeur de réponse, marquage de ce qui vient d’une IA
Les données
Branché aujourd’hui
Vos secrets sont scellés ; chaque révélation laisse une ligne.
Coffre chiffré à une clé par organisation, registre de révélation, purge à la fermeture
Les pages produites
Branché aujourd’hui
Une page produite s’affiche isolée, sans script ni cadre étranger.
Profils de contenu nommés, cadre isolé, scripts retirés à l’import
L’hébergement
Branché aujourd’hui
Inscription sur invitation ; un mot de passe changé ferme les sessions.
Fichiers privés à liens signés, sauvegardes chiffrées, règles de rang entre administrateurs
Ce que font les autres, ce que nous faisons.
La plupart des outils que vous comparez autorisent un agent une fois, puis le laissent agir. Ici, chaque action sensible attend une personne, une par une.
Ils font aussi des choses que nous ne faisons pas : un déploiement sur vos serveurs, une certification déjà obtenue, un catalogue de connecteurs aussi large. Nous préférons l’écrire ici plutôt que de vous le laisser découvrir.
Vos secrets, vos données.
Le coffre
Chaque organisation a sa propre clé de données. Un secret scellé ne s’imprime pas, ne se copie pas dans une tâche, ne voyage pas : il ne s’ouvre que par une porte, et chaque ouverture laisse une ligne datée avec sa raison.
Une clé par organisation
La suppression d’un espace
À la suppression de l’espace d’une entreprise, conversations, mémoire, fichiers, pages, connexions et identifiants de connexion sont purgés ; l’entrée qui prouve l’effacement en garde les comptes, jamais le contenu, et les journaux d’audit et des partages antérieurs vont à leur terme (13 mois et 12 mois). Quelques éléments listés dans la notice de confidentialité du service sont effacés sur demande écrite. Les sauvegardes, elles, expirent au plus tard onze semaines après.
Purgé, puis effacé des sauvegardes à leur expiration
Vos fichiers
Vos fichiers ne sont jamais publics : chaque lien est signé et expire. Où ils sont hébergés, et qui y touche, se lit sur la page des données et sur celle des sous-traitants.
Chaque lien signé, et il expire
Ce que nous tenons, et ce que nous ne proposons pas.
Chaque ligne est un fait, prouvé par la spécification qui l’a construit. Une ligne « construit, pas encore ouvert » dit aussi ce qui tient à sa place aujourd’hui.
Branché aujourd’hui
- Une action sensible attend une personne, une par une.
- Une décision ne vaut qu’une fois ; un rejeu est refusé.
- Ce qu’un outil ou un serveur tiers renvoie arrive marqué non fiable.
- Un identifiant repéré dans une réponse arrête le flux.
- Une procédure garde les droits du jour de sa mise en service.
- Vos secrets sont scellés ; chaque révélation laisse une ligne.
- Une page produite s’affiche isolée, sans script ni cadre étranger.
- Le web n’est appelé que sur une liste de domaines.
- Espace supprimé : contenus purgés, sauf quelques éléments, puis sauvegardes expirées.
- Ce qui vient d’une IA est marqué, fichiers et pages compris.
- Le mode privé : seuls des modèles servis en Europe répondent.
- Un plafond de dépense par exécution, et glissant sur sept jours.
Construit, pas encore ouvert
- Le cloisonnement de la mémoire par la base : aujourd’hui, par l’application.
Dit à l’avance
- Un audit de sécurité indépendant.
- Une certification ISO 27001 ou SOC 2 : la démarche va s’engager.
- Un gestionnaire de clés hébergé pour le coffre.
Ce que nous ne proposons pas
- La garantie qu’aucun secret ne sortira jamais.
- Un déploiement sur vos serveurs.
- Un bac à sable par locataire, aujourd’hui.
- L’effacement instantané des sauvegardes.
- La rétention zéro chez Anthropic.
Les questions qu’un RSSI pose en premier.
?Que voit un modèle de mes fichiers ?
Ici : Ce que vous joignez à la demande, ou ce qu’une procédure a le droit de lire. Le contenu arrive marqué comme une pièce, jamais comme une consigne, et une page que vous n’avez pas partagée n’est pas lue. Par défaut, ce modèle est Mistral Large 4, servi en Europe.
?Qui peut approuver une action ?
Ici : Vous, au moment où elle se présente. Pour une procédure qui tourne seule, la personne que vous avez désignée, et à défaut un administrateur : chaque accord porte le nom de qui l’a donné dans la trace.
?Que se passe-t-il si un mot de passe traîne dans un fichier ?
Ici : Le flux s’arrête dès qu’un identifiant est repéré dans une réponse, et le mot de passe n’arrive ni à votre écran ni au journal d’erreurs. C’est un mécanisme, pas une garantie : un secret d’une forme que le scanner ne connaît pas peut lui échapper, et le registre le dit.
?Qu’emporte la suppression de mon compte ?
Ici : Si votre entreprise supprime son espace : conversations, mémoire, fichiers, pages, connexions et identifiants de connexion, avec les clés qui les chiffraient ; quelques éléments (noms et consignes des projets, noms de dossiers, réglages, texte confié aux utilitaires de documents, identifiants de paiement, et les autres éléments listés dans la notice) sont effacés sur demande écrite. Si vous supprimez seulement votre accès, vos conversations (hors journaux de vos procédures) et votre mémoire personnelle partent ; vos fichiers restent dans l’espace de votre entreprise, et vos procédures attendent un nouveau propriétaire. L’entrée qui prouve l’effacement en garde les comptes, jamais le contenu, et les journaux d’audit et des partages antérieurs vont à leur terme (13 mois et 12 mois). Une sauvegarde prise avant l’effacement n’est pas réécrite sur-le-champ : nous le disons plutôt que de promettre l’inverse.
Vos questions, avec le code sous les yeux
Une visioconférence avec la personne qui a écrit ces garde-fous, le code ouvert à l’écran. Vous apportez les questions de votre DSI, nous répondons ligne par ligne.
Réponse rapide
Où vont vos donnéesLes modèlesDans vos systèmes