Sécurité de vos données
Version : 1.1 — Dernière mise à jour : 2 novembre 2026
Où sont vos données, comment elles sont protégées, et ce qu'on s'interdit d'en faire. Sans jargon, vérifiable.
L'essentiel. Vos données applicatives (base de données, documents téléversés, sauvegardes) sont hébergées en Union européenne. Les échanges sont chiffrés. Et vos contenus ne sont pas utilisés pour entraîner les modèles d'IA de nos fournisseurs, Anthropic et Mistral AI (chez Mistral AI, nous avons désactivé cette utilisation sur notre compte).
1. Hébergement & résidence des données (UE)
Les données qui font tourner le service restent en Europe :
| Donnée | Hébergeur | Localisation |
|---|---|---|
| Base de données (comptes, marchés, analyses) | Railway | Union européenne |
| Documents téléversés (DCE, pièces, savoir-faire) | Cloudflare R2 | Europe de l'Ouest (WEUR) |
| Sauvegardes | Cloudflare R2 | Union européenne |
Railway et Cloudflare sont des sociétés américaines : les données qu'ils gardent pour Adjugo sont dans l'Union européenne. La liste complète et à jour de nos sous-traitants techniques, avec leur localisation et leur rôle, figure dans notre accord de traitement des données (DPA).
2. Chiffrement & sauvegardes
- En transit : toutes les communications passent par HTTPS/TLS.
- Au repos : sauvegardes quotidiennes stockées chiffrées au repos chez notre hébergeur européen, avec une rétention de 14 jours.
- Vos fichiers : rangés chez Cloudflare R2, en Europe de l'Ouest. Adjugo ne les chiffre pas lui-même : leur protection au repos est celle de cet hébergeur.
- Mots de passe : jamais stockés en clair — uniquement leur empreinte (hachage).
- Suppression : une suppression que vous demandez devient définitive, y compris dans les sauvegardes, sous 14 jours.
3. Les modèles d'IA et vos données
Adjugo s'appuie sur des modèles d'IA, appelés via une API, pour analyser les dossiers et rédiger des documents. Notre engagement :
- Aucun entraînement sur vos données : les contenus envoyés à l'IA ne sont pas utilisés pour entraîner un modèle d'IA (Anthropic : jamais sans autorisation ; Mistral AI : utilisation pour l'amélioration des modèles désactivée sur le compte de l'Éditeur). Anthropic (Claude API) intervient pour les questions sur les dossiers et la rédaction ; Mistral AI (La Plateforme), pour la lecture et l'analyse des dossiers ; chacun prend le relais de l'autre en cas de panne ou d'erreur. La conservation est encadrée par les conditions applicables à l'API (Anthropic : 30 jours en règle générale, jusqu'à 2 ans pour les contenus signalés pour non-respect de ses règles d'usage ; Mistral AI : jusqu'à 30 jours glissants, pour la surveillance des abus). Fournisseurs, sous-traitants et lieux de calcul : voir le DPA (annexe 3).
- Strict nécessaire : on transmet à l'IA le dossier du marché que vous analysez (lu en entier, pour ne rien manquer) et, pour la rédaction, les extraits utiles de vos documents. Jamais l'ensemble de votre espace. Les noms des membres de votre équipe enregistrés dans Adjugo, et ceux qu'il repère, sont remplacés par des étiquettes avant l'envoi ; un nom écrit d'une façon inhabituelle peut ne pas être reconnu.
- Espace collectivités : pour rédiger un DCE, le besoin décrit par l'agent est envoyé à l'IA ; les adresses e-mail et les numéros de téléphone qu'il contient sont d'abord remplacés, le reste part tel quel (les noms ne sont pas remplacés).
- Transferts encadrés : si un traitement technique implique un transfert hors UE, il est couvert par des clauses contractuelles types (CCT/SCC), conformément au chapitre V du RGPD (détail dans le DPA).
4. Cloisonnement entre partenaires (répondre à plusieurs)
Répondre à plusieurs ne veut pas dire tout partager. Quand une entreprise rejoint un groupement sur un marché, voici ce que fait Adjugo aujourd'hui, donnée par donnée :
| Donnée d'un partenaire | Le chef de file | Les autres partenaires | Adjugo |
|---|---|---|---|
| Le prix de vente de sa partie | Oui (il réunit l'offre) | Pas avant la convention de groupement : elle reprend le prix de chaque partie dès que le chef de file la génère, avant même l'accord de chacun (seulement pour ses signataires) | Lisible |
| Ses prix ligne par ligne dans le tableau de prix de l'acheteur | Oui, une fois qu'il les a transmis ; jamais son brouillon | Jamais | Lisible (pour réunir les lignes dans le fichier de l'acheteur) |
| Le détail de son chiffrage (coûts, marges, méthode) | Jamais | Jamais | Chiffré dans son navigateur — enveloppe illisible, jamais envoyée à l'IA |
| Le total de l'offre commune | Oui | Oui, une fois l'offre figée (membres du groupement ; après la génération de la convention, ses signataires seulement) | Lisible |
| Ses pièces administratives (Kbis, attestations…) | Oui, pour le dépôt : une pièce téléchargée seule est inscrite au journal ; le dossier complet préparé par Adjugo les contient aussi, sans inscription au journal | Seulement leur statut (à fournir, valable, expirée) et leur date de fin de validité, jamais le fichier ni son nom | Lisibles : Adjugo les conserve pour le dépôt |
| Le texte qu'il envoie pour le dossier de présentation | Oui, le texte envoyé ; jamais son brouillon ni ses sources | Oui, dans le dossier assemblé ; jamais son brouillon ni ses sources | Lisible (assemblage du dossier commun) |
| Les documents qu'il dépose par son lien pour l'aide à la rédaction de ses parties | Jamais (le journal dit seulement qu'un document a été déposé ou supprimé, et quand) | Jamais | Lisibles, pour l'aide à la rédaction de ses parties |
- Détail chiffré du partenaire invité. Le détail du chiffrage d'un partenaire invité est chiffré dans son navigateur (AES-256-GCM, clé dérivée d'un code de récupération par PBKDF2) avec une clé qu'Adjugo ne stocke pas. Ce détail n'est jamais transmis au modèle d'IA. Ce que cela implique, dit honnêtement : si le code est perdu, ce détail est définitivement perdu ; sur un autre ordinateur, il se ressaisit ; et comme Adjugo sert le code de l'application, ce n'est pas un chiffrement « de bout en bout » au sens strict — c'est pourquoi nous ne l'écrivons jamais ainsi.
- Chiffrage du chef de file. Il reste dans son espace, enregistré en clair (il n'est pas chiffré dans le navigateur) : ses partenaires ne le voient pas ; la convention leur montre le prix de sa partie, et le total.
- Fuite par différence, assumée. À deux membres, le total de l'offre révèle mécaniquement la part de l'autre ; et la convention de groupement reprend la répartition des prix des parties. L'interface vous le dit au moment où ça compte.
- Le lien d'invitation est limité à ce seul marché, peut être décliné par le partenaire et retiré par le chef de file à tout moment.
- Journal du marché. Les actions sur le marché (consultation de l'espace partenaire, pièce téléchargée seule, part envoyée, convention générée…) sont inscrites dans un journal chaîné par hachage : une entrée modifiée serait détectable. Au bout de 6 mois, l'adresse IP de chaque entrée est effacée ; qui a fait quoi et quand reste, et reste vérifiable. Pour les entrées écrites avant la mise en ligne de cette protection, fin 2026, une empreinte technique reste aussi : une personne ayant accès à la base de données pourrait y retrouver l'adresse par essais, et, une fois l'adresse effacée, le contrôle de ces entrées repose sur un sceau : pour le refaire, il lui faudrait aussi la clé secrète du service. Avec ces deux accès, elle pourrait aussi faire passer une entrée plus récente pour une ancienne. Le dossier complet préparé par Adjugo, qui reprend les pièces des partenaires, n'y est pas inscrit. Le chef de file voit le journal du marché, avec la date, l'heure et l'adresse IP de chaque action (pendant 6 mois, et sauf pour une invitation du réseau Adjugo restée sans réponse) ; chaque partenaire voit ce qui concerne sa part (« le chef de file a consulté votre part le… »), sans jamais voir l'adresse e-mail ni l'adresse IP des autres.
5. Données réelles et sourcées
C'est notre principe de fond : Adjugo travaille à partir de sources officielles (BOAMP, TED, répertoire SIRENE de l'Insee, BODACC) et de vos propres documents. Les informations factuelles affichées renvoient à leur source, vérifiable. Le service est conçu pour ne pas présenter de donnée inventée comme si elle était réelle ; une information manquante est signalée « inconnu » ou « [À compléter] », et vous relisez chaque fait avant de l'utiliser.
6. Vos droits
Vous restez propriétaire de vos données : vous pouvez les exporter ou supprimer votre compte à tout moment depuis l'application. Pour toute question sécurité ou donnée personnelle : contact@adjugo.pro. Voir aussi notre politique de confidentialité et, pour les collectivités, les conditions d'utilisation des collectivités.