Vous autorisez pendant. Pas après.
Lire, écrire, supprimer : chaque action sensible s’arrête et vous demande. Ce qui tourne sans vous garde les droits du jour où vous l’avez mis en service.
Écrit par Alexandre Zuber, fondateur · MyoApp, éditeur de MyoSynapse · Mis à jour le 14 septembre 2026
Une action sensible ne part pas sur un accord donné il y a un mois : elle s’arrête, vous montre l’outil et l’objet, et attend votre décision. Cette décision ne vaut qu’une fois : la même demande rejouée est refusée. Une procédure que vous avez mise en service garde les droits de ce jour-là, et rien de plus.
Ce qu’un outil, un spécialiste ou un serveur tiers renvoie arrive marqué comme non fiable, et la consigne le dit. Un identifiant repéré dans une réponse arrête le flux. Le web n’est appelé que sur une liste de domaines que nous tenons.
Nos limites, avant que vous les demandiez. Nous ouvrons par vagues, et aucun audit indépendant n’a encore eu lieu. Nous ne sommes encore certifiés par personne, et la démarche est engagée : les fondamentaux, eux, sont déjà en place. L’isolation entre organisations tient à l’application, pas à la base de données. Le registre plus bas dit le reste. Ce qu’elle fait de sensible, vous l’autorisez.
Ce qu’une action sensible traverse.
Une demande qui lit, écrit ou supprime passe par les mêmes stations, dans le même ordre. À la troisième, le mot de l’application.
Votre demande
Elle part de votre navigateur ou de l’application, avec les pièces que vous joignez. Une pièce jointe est lue comme une pièce, jamais comme une consigne.
La garde d’entrée
Ce que vous écrivez et ce qu’un fichier contient sont relus avant tout appel : une consigne cachée dans un document, un texte encodé pour tromper, une demande qui sort du cadre d’un spécialiste sont repérés et nommés.
L’outil et sa porte d’accord
Chaque outil a une catégorie : lire, écrire, supprimer. Une écriture ou une suppression s’arrête et vous demande, « Approbation requise », l’outil et l’objet sous les yeux : « Approuver une fois », « Tout approuver pour ce tour » ou « Refuser ». Une décision ne vaut qu’une fois.
La sortie, relue et marquée
La réponse est relue avant de vous arriver : les noms internes et les blocs de réflexion sont retirés, un identifiant repéré arrête le flux, et ce qui vient d’une IA est marqué, fichiers et pages compris.
La trace
Chaque décision, chaque révélation d’un secret, chaque purge laisse une ligne datée. Vous pouvez remonter.
Ce qui protège votre dossier, couche par couche.
L’entrée
Branché aujourd’hui
Une consigne cachée dans un fichier est repérée avant tout appel.
Garde de prompt, garde de doctrine, enveloppe non fiable
Les actions
Branché aujourd’hui
Une écriture ou une suppression attend votre accord, une par une.
Porte d’accord par outil, décision à usage unique, droits gelés d’une procédure
La sortie
Branché aujourd’hui
Un identifiant repéré dans une réponse arrête le flux.
Scanner de secrets, nettoyeur de réponse, marquage de ce qui vient d’une IA
Les données
Branché aujourd’hui
Vos secrets sont scellés ; chaque révélation laisse une ligne.
Coffre chiffré à une clé par organisation, registre de révélation, purge à la fermeture
Les pages produites
Branché aujourd’hui
Une page produite s’affiche isolée, sans script ni cadre étranger.
Profils de contenu nommés, cadre isolé, scripts retirés à l’import
L’hébergement
Branché aujourd’hui
Inscription sur invitation ; un mot de passe changé ferme les sessions.
Fichiers privés à liens signés, sauvegardes chiffrées, règles de rang entre administrateurs
Ce que font les autres, ce que nous faisons.
La plupart des outils que vous comparez autorisent un agent une fois, puis le laissent agir. Ici, chaque action sensible attend une personne, une par une.
Ils font aussi des choses que nous ne faisons pas : un déploiement sur vos serveurs, une certification déjà obtenue, un catalogue de connecteurs aussi large. Nous préférons l’écrire ici plutôt que de vous le laisser découvrir.
Vos secrets, vos données.
Le coffre
Chaque organisation a sa propre clé de données. Un secret scellé ne s’imprime pas, ne se copie pas dans une tâche, ne voyage pas : il ne s’ouvre que par une porte, et chaque ouverture laisse une ligne datée avec sa raison.
Une clé par organisation
La fermeture d’un compte
À la fermeture d’un compte, rien n’est gardé au cas où : conversations, mémoire, fichiers, connexions et identifiants sont purgés, et l’audit garde les comptes de ce qui l’a été, jamais le contenu.
Rien n’est gardé au cas où
Vos fichiers
Vos fichiers ne sont jamais publics : chaque lien est signé et expire. Où ils sont hébergés, et qui y touche, se lit sur la page des données et sur celle des sous-traitants.
Chaque lien signé, et il expire
Ce que nous tenons, et ce que nous ne proposons pas.
Chaque ligne est un fait, prouvé par la spécification qui l’a construit. Une ligne « construit, pas encore ouvert » dit aussi ce qui tient à sa place aujourd’hui.
Branché aujourd’hui
- Une action sensible attend une personne, une par une.
- Une décision ne vaut qu’une fois ; un rejeu est refusé.
- Ce qu’un outil ou un serveur tiers renvoie arrive marqué non fiable.
- Un identifiant repéré dans une réponse arrête le flux.
- Une procédure garde les droits du jour de sa mise en service.
- Vos secrets sont scellés ; chaque révélation laisse une ligne.
- Une page produite s’affiche isolée, sans script ni cadre étranger.
- Le web n’est appelé que sur une liste de domaines.
- À la fermeture d’un compte, rien n’est gardé au cas où.
- Ce qui vient d’une IA est marqué, fichiers et pages compris.
Construit, pas encore ouvert
- Le cloisonnement au niveau de la base : aujourd’hui tenu par l’application.
- Le mode privé, désactivé par défaut : aujourd’hui activable projet par projet.
- La limite de dépense par tour : aujourd’hui un plafond par exécution.
Dit à l’avance
- Une certification ISO 27001 ou SOC 2, la démarche est engagée.
- Un audit de sécurité indépendant.
- La rétention zéro chez Anthropic, contrat signé.
- Un gestionnaire de clés hébergé pour le coffre.
Ce que nous ne proposons pas
- La garantie qu’aucun secret ne sortira jamais.
- Un déploiement sur vos serveurs.
- Un bac à sable par locataire, aujourd’hui.
- L’effacement instantané des sauvegardes.
Les questions qu’un RSSI pose en premier.
?Que voit un modèle de mes fichiers ?
Ici : Ce que vous joignez à la demande, ou ce qu’une procédure a le droit de lire. Le contenu arrive marqué comme une pièce, jamais comme une consigne, et une page que vous n’avez pas partagée n’est pas lue.
?Qui peut approuver une action ?
Ici : Vous, au moment où elle se présente. Pour une procédure qui tourne seule, la personne que vous avez désignée, et à défaut un administrateur : chaque accord porte le nom de qui l’a donné dans la trace.
?Que se passe-t-il si un mot de passe traîne dans un fichier ?
Ici : Le flux s’arrête dès qu’un identifiant est repéré dans une réponse, et le mot de passe n’arrive ni à votre écran ni au journal d’erreurs. C’est un mécanisme, pas une garantie : un secret d’une forme que le scanner ne connaît pas peut lui échapper, et le registre le dit.
?Qu’emporte la suppression de mon compte ?
Ici : Conversations, mémoire, fichiers, connexions et identifiants, avec les clés qui les chiffraient. L’audit garde les comptes de ce qui a été purgé, jamais le contenu. Une sauvegarde prise avant l’effacement n’est pas réécrite sur-le-champ : nous le disons plutôt que de promettre l’inverse.
Vos questions, avec le code sous les yeux
Une visioconférence avec la personne qui a écrit ces garde-fous, le code ouvert à l’écran. Vous apportez les questions de votre DSI, nous répondons ligne par ligne.
Réponse rapide
Où vont vos donnéesLes modèlesDans vos systèmes