Sécurité
Vos prix et vos références restent chez vous.
Vos dossiers d'appels d'offres contiennent vos prix, vos CV et vos références. Voici, sans exagération, comment nous les protégeons, et ce qui reste à faire.
Hébergé dans l'UE
Application, base de données et fichiers à Francfort (Allemagne).
Isolation par entreprise
Chaque requête est filtrée par organisation, et c'est testé automatiquement.
Zéro conservation IA
Aucune conservation de vos données chez le fournisseur d'IA, aucun entraînement.
Sources publiques
Annonces, bons de commande et résultats viennent de sources publiques, liées à l'avis d'origine.
Aucune certification revendiquée. Soumio n'est ni certifié SOC 2 ni ISO 27001, et la déclaration à la CNDP est en préparation. Ces badges décrivent des faits techniques, pas des labels.
Dans le détail
Comment c'est fait.
Hébergement dans l'Union européenne
- L'application et la base de données sont hébergées à Francfort (Allemagne).
- Les fichiers sont conservés dans un stockage privé situé dans l'Union européenne. Ils ne sont jamais publics : chaque téléchargement passe par un contrôle de vos droits.
- Toutes les connexions passent par HTTPS, avec HSTS. La base et le stockage sont chiffrés au repos par nos hébergeurs.
Isolement de chaque entreprise
- Chaque requête est filtrée par organisation côté serveur. Un utilisateur d'une entreprise ne peut ni lire ni deviner les données d'une autre.
- Cet isolement est vérifié par des tests automatiques, qui tentent de lire les données d'une autre organisation par les routes de l'application.
- Vos pièces confidentielles (prix, CV, mémoires, références, chiffrages) ne sont jamais réutilisées hors de votre organisation.
- Les annonces publiques sont séparées de vos documents privés.
Sources publiques
- Les annonces, bons de commande et résultats proviennent de sources publiques : portail des marchés publics, publications des acheteurs et des bailleurs.
- Chaque fiche renvoie à l'avis d'origine. Une donnée absente de la source reste affichée comme absente : rien n'est complété au hasard.
IA sans conservation ni entraînement
- Les appels à l'IA passent par la passerelle IA de notre hébergeur, émis depuis la région UE (Francfort). Le fournisseur de modèles (Anthropic, certifié ISO 27001 et audité SOC 2 Type II) traite ces requêtes hors de l'Union européenne : c'est pourquoi seul le nécessaire lui est envoyé.
- Les modèles d'IA sont appelés par API en mode « zéro conservation » : le fournisseur ne garde pas vos données et ne s'en sert pas pour entraîner ses modèles.
- Seul le nécessaire est envoyé au modèle. Les données personnelles des CV ne sont transmises que si la tâche l'exige.
- Un DCE est traité comme une donnée non fiable : une consigne cachée dans un document ne change pas le comportement de l'assistant.
- L'IA ne change jamais le statut d'un AO et n'envoie rien à l'extérieur sans votre validation.
Journal d'audit
- Décisions, exports, changements de rôle, actions de l'agent et opérations sensibles sont journalisés, avec l'auteur et la date.
- Le journal est consultable par l'administrateur de votre organisation. Une action réversible peut être annulée pendant 30 secondes.
Comptes et accès
- Authentification confiée à un fournisseur d'identité spécialisé.
- Cinq rôles, du propriétaire au lecteur ; les droits sont vérifiés côté serveur à chaque action.
- Un membre retiré de l'organisation perd l'accès à ses données dès son retrait.
Ce qui reste à faire, en transparence
- Déclaration à la CNDP (loi 09-08), y compris l'autorisation de transfert des données hors du Maroc : en préparation avec un juriste, avant toute facturation.
- Chiffrement applicatif supplémentaire, avec une clé par organisation, pour le coffre-fort, les CV et les chiffrages : prévu.
- Test d'intrusion indépendant avant le lancement commercial.
- Page d'état publique du service.
Soumio ne revendique aucune certification à ce jour.
Une faille à signaler ? Écrivez-nous depuis la page Contact. Nous répondons à chaque signalement.
Préparez vos dossiers de réponse en confiance.
Hébergement à Francfort, isolation par entreprise, aucune conservation chez le fournisseur d'IA. Essai gratuit 7 jours. Sans carte bancaire, sans engagement.