Propriété
Vos données restent les vôtres
Personne chez Thalius n'accède à vos données sans votre autorisation. Nous ne les vendons ni ne les partageons jamais, et seuls les sous-traitants ultérieurs que nous listons publiquement peuvent y toucher.
Sur cette pageLe parcours d'un document
Sécurité et confiance
Conçu pour les documents qui ne doivent pas fuiter.
Les équipes confient à Hippocampus leurs documents les plus sensibles : protocoles de soins, politique RH, dossiers du conseil d'administration, dossiers réglementaires. Cette page explique comment nous les protégeons, d'abord en termes simples, puis avec le détail technique en dessous.
Entraînement
Jamais utilisées pour entraîner l'IA
Ni par nous, ni par les fournisseurs d'IA auxquels nous faisons appel. Leurs contrats avec nous l'interdisent.
Localisation
Stockées dans l'UE
Les documents, les connaissances qui en sont tirées et votre historique de conversation sont stockés en Finlande, chiffrés.
Traçabilité
Chaque réponse indique sa source
Chaque réponse renvoie au passage exact dont elle provient, pour qu'une personne puisse la vérifier, et un auditeur aussi.
Clés de chiffrement
C'est vous qui choisissez qui détient les clés
Libre-service · Free et Starter
Thalius gère les clés dans le service de gestion de clés de Google Cloud. Chaque document a sa propre clé, et les clés maîtresses ne quittent jamais ce service.
Corporate
Les clés résident dans votre propre service de gestion de clés. Sans elles, personne ne peut lire vos documents stockés, Thalius compris. Chaque utilisation apparaît dans votre propre journal d'audit, et la révocation de la clé rend vos données définitivement illisibles, sauvegardes comprises.
Ce qu'il advient d'un document
De l'import à la suppression
Du moment où vous importez un fichier à celui où vous le supprimez, voici les étapes qu'il traverse.
Import
Le fichier est chiffré avec une clé qui lui est propre avant d'être stocké. Le stockage ne contient jamais que la version chiffrée.
Compréhension
Hippocampus lit le document, cartographie sa structure et rédige des résumés. Le texte lisible n'existe qu'en mémoire pendant cette étape.
Question
Quand quelqu'un pose une question, la recherche ne parcourt que les documents que cette personne est autorisée à lire.
Réponse
Le modèle d'IA ne reçoit que les passages nécessaires à cette seule réponse. La réponse cite chaque passage utilisé.
Suppression
Supprimer un document supprime aussi tout ce qui en a été construit : résumés, entrées de l'index de recherche et liens.
Protections
Les protections, une par une
Chacune est décrite en langage clair. La ligne en dessous donne le détail technique qu'un auditeur sécurité demandera.
Chaque document a son propre verrou
Chaque document est chiffré avec sa propre clé. Les clés elles-mêmes sont verrouillées par un service cloud de gestion de clés, et les clés maîtresses ne le quittent jamais. Quelqu'un qui copierait notre stockage ou nos sauvegardes n'obtiendrait que des données illisibles.
Technique
XChaCha20-Poly1305 avec une clé de 256 bits par document, enveloppée via Google Cloud KMS. Les noms des objets stockés sont des hachages à clé opaques, de sorte que les noms de fichiers ne sont pas non plus visibles dans le stockage.
Technique
XChaCha20-Poly1305 avec une clé de 256 bits par document, enveloppée via Google Cloud KMS. Les noms des objets stockés sont des hachages à clé opaques, de sorte que les noms de fichiers ne sont pas non plus visibles dans le stockage.
Chacun ne trouve que ce qu'il a le droit de lire
Les permissions sont appliquées au sein même de la recherche, avant le classement des résultats. Un document que vous ne pouvez pas ouvrir n'atteint jamais votre réponse, ses sources ni ses suggestions. Si les permissions ne peuvent pas être vérifiées, la recherche ne renvoie rien.
Technique
Droits par dossier et par document, groupes et héritage, appliqués comme un filtre dans le moteur de recherche. Un résumé construit à partir de plusieurs documents n'est visible que par les personnes qui peuvent tous les lire.
Technique
Droits par dossier et par document, groupes et héritage, appliqués comme un filtre dans le moteur de recherche. Un résumé construit à partir de plusieurs documents n'est visible que par les personnes qui peuvent tous les lire.
Les espaces de travail sont cloisonnés
Chaque organisation a son propre espace de travail. L'identité de l'espace de travail est intégrée à chaque chiffrement, de sorte que les données d'un espace de travail ne peuvent pas être déchiffrées comme si elles appartenaient à un autre, même par erreur.
Technique
Espace de travail, document et version sont liés à chaque chiffrement comme données authentifiées. Chaque espace de travail a ses propres collections de recherche.
Technique
Espace de travail, document et version sont liés à chaque chiffrement comme données authentifiées. Chaque espace de travail a ses propres collections de recherche.
Les questions et les réponses sont chiffrées aussi
Votre historique de conversation est chiffré avant d'être stocké, avec des clés propres à votre espace de travail. Nos bases de données opérationnelles contiennent la structure et les horodatages, pas de contenu lisible.
Technique
Enregistrements de conversation scellés en AES-256-GCM sous des clés par espace de travail dérivées avec HKDF-SHA256, chacun lié à son propre enregistrement pour qu'il ne puisse être ni déplacé ni échangé.
Technique
Enregistrements de conversation scellés en AES-256-GCM sous des clés par espace de travail dérivées avec HKDF-SHA256, chacun lié à son propre enregistrement pour qu'il ne puisse être ni déplacé ni échangé.
Les accès sont enregistrés
Chaque opération sensible pour la sécurité sur le dépôt de documents est écrite dans un journal d'audit. Chaque entrée est numérotée et liée à la précédente, de sorte qu'une entrée manquante ou modifiée se voit.
Technique
Journal d'audit à numéros de séquence, chaîné par hachage, avec détection des lacunes. Comme chaque réponse cite un passage précis, le journal peut montrer quel contenu a été utilisé, et pas seulement quel fichier a été ouvert.
Technique
Journal d'audit à numéros de séquence, chaîné par hachage, avec détection des lacunes. Comme chaque réponse cite un passage précis, le journal peut montrer quel contenu a été utilisé, et pas seulement quel fichier a été ouvert.
La connexion est vérifiée à chaque requête
Chaque requête porte une preuve signée de votre identité. L'application web la vérifie, et chaque service derrière elle aussi, indépendamment. Les organisations plus grandes peuvent se connecter avec leur propre fournisseur d'identité.
Technique
Google Identity Platform avec un tenant distinct par espace de travail. Jetons signés vérifiés par l'application, puis de nouveau par chaque backend. Les droits d'administrateur exigent une adresse e-mail vérifiée. Authentification unique SAML et OIDC sur Corporate.
Technique
Google Identity Platform avec un tenant distinct par espace de travail. Jetons signés vérifiés par l'application, puis de nouveau par chaque backend. Les droits d'administrateur exigent une adresse e-mail vérifiée. Authentification unique SAML et OIDC sur Corporate.
Un document ne peut pas prendre le contrôle de votre session
Les systèmes d'IA lisent tout ce que contiennent vos fichiers, y compris du texte écrit pour les manipuler. Hippocampus traite le texte des documents comme des données. Tout ce qu'un document ou une réponse contient est nettoyé avant d'être affiché, de sorte qu'il ne peut ni exécuter de code dans votre navigateur ni envoyer vos données ailleurs.
Technique
Tout le HTML rendu passe par un assainisseur à liste d'autorisation. Une Content Security Policy et une protection contre le framing sont définies sur chaque page.
Technique
Tout le HTML rendu passe par un assainisseur à liste d'autorisation. Une Content Security Policy et une protection contre le framing sont définies sur chaque page.
Préparé pour le long terme
Des données stockées aujourd'hui doivent rester sûres à mesure que l'informatique progresse. Nos connexions utilisent déjà un chiffrement conçu pour résister aux futurs ordinateurs quantiques, et les documents stockés utilisent un chiffrement symétrique fort, considéré comme résistant au quantique.
Technique
Les points de terminaison publics négocient un échange de clés hybride X25519 + ML-KEM-768. Les documents utilisent des clés symétriques de 256 bits. La seule étape à clé publique de notre enveloppement de clés doit passer à un schéma post-quantique.
Technique
Les points de terminaison publics négocient un échange de clés hybride X25519 + ML-KEM-768. Les documents utilisent des clés symétriques de 256 bits. La seule étape à clé publique de notre enveloppement de clés doit passer à un schéma post-quantique.
Fournisseurs d'IA
Ce que voient les fournisseurs d'IA
Lire les documents et rédiger les réponses fait appel à de grands modèles de langage de fournisseurs spécialisés. Nous limitons ce qu'ils reçoivent au minimum dont chaque étape a besoin.
Ce qui est envoyé
Seul le texte nécessaire à une étape : une page à lire, une section à résumer ou la poignée de passages qui répondent à une question. Chaque requête est indépendante. Les fournisseurs ne reçoivent jamais l'ensemble de votre bibliothèque, vos clés ni votre liste d'utilisateurs.
Ce que les fournisseurs peuvent en faire
Rien au-delà de répondre à cette requête. Ils ne peuvent ni s'en servir pour l'entraînement ni l'utiliser à d'autres fins. Chaque fournisseur est nommé sur notre liste de sous-traitants ultérieurs avec son rôle et sa région. Par défaut, certains opèrent aux États-Unis. Sur Corporate, chaque modèle peut être hébergé dans l'UE ou dans votre propre environnement.
Plus de choix de modèles
Nous ajoutons des modèles de Mistral et de Cohere à côté de ceux que nous utilisons aujourd'hui. Vous pourrez choisir quel fournisseur lit vos documents et rédige vos réponses, y compris des fournisseurs établis en Europe.
Statut
Prévu. L'extraction de texte s'exécute déjà sur Mistral dans l'UE.
Statut
Prévu. L'extraction de texte s'exécute déjà sur Mistral dans l'UE.
Engagements
Nos engagements par écrit
Ils font partie de nos conditions et de notre accord de traitement des données.
72 h
Délai maximal avant que nous vous informions d'une violation de données personnelles touchant vos données.
30 jours
Vos données sont supprimées des systèmes actifs dans les 30 jours suivant la clôture d'un compte.
90 jours
Elles sont supprimées des sauvegardes dans les 90 jours. Nous confirmons la suppression par écrit sur demande.
30 jours
Préavis avant qu'un nouveau sous-traitant ultérieur ne traite vos documents.
Questions
Questions fréquentes
Où mes documents sont-ils stockés et traités ?
Vos documents et la structure de connaissances construite à partir d'eux sont stockés dans l'UE (Finlande), chiffrés. L'extraction de texte s'exécute dans l'UE, tandis que les étapes de modèle qui structurent, résument et répondent s'exécutent par défaut aux États-Unis et ne reçoivent que les fragments dont chaque requête a besoin. Sur Corporate, chaque modèle peut être hébergé dans l'UE ou s'exécuter dans votre propre environnement ; les journaux de questions et de réponses ne sont pas encore cantonnés à l'UE.
Mes données servent-elles à entraîner des modèles d'IA ?
Non, les données clients ne servent jamais à entraîner des modèles d'IA, ni par Thalius ni par les fournisseurs d'IA auxquels nous faisons appel. Leurs contrats avec nous l'interdisent, et chaque fournisseur ne reçoit que les fragments nécessaires à une requête, de façon transitoire.
Comment fonctionnent les clés par document et le stockage chiffré uniquement ?
Chaque document téléversé est chiffré avec sa propre clé (XChaCha20-Poly1305) avant d'être stocké, de sorte que le dépôt de documents ne contient que du texte chiffré. Les clés des documents sont enveloppées dans un service cloud de gestion de clés dont les clés racines ne sortent jamais, et le déchiffrement a lieu à l'intérieur du coffre de documents, par requête. Les connaissances construites à partir des documents passent sous la même frontière de chiffrement, et sur Corporate les clés peuvent résider dans votre propre service de gestion de clés.
Quelles sont les options de déploiement ?
Hippocampus s'exécute sur notre cloud dans l'UE, dans votre propre cloud ou entièrement sur site, et le produit est le même dans les trois cas. L'hébergement chez vous se met en place avec nous dans le cadre de l'offre Enterprise (Corporate sur la page des tarifs). L'API et le MCP sont identiques partout ; seule l'URL de base change.
Comment les permissions sont-elles appliquées au sein de la récupération ?
Les permissions sont appliquées au sein même de la recherche, comme filtre, avant le classement des résultats, de sorte qu'un document que vous ne pouvez pas ouvrir n'atteint jamais votre réponse, ses sources ni ses suggestions. Si les permissions ne peuvent pas être vérifiées, la recherche ne renvoie rien. Un résumé construit à partir de plusieurs documents n'est visible que par les personnes qui peuvent tous les lire, et les agents obéissent aux mêmes permissions.
Existe-t-il un journal d'audit ?
Oui, chaque opération sensible pour la sécurité sur le dépôt de documents est écrite dans un journal d'audit dont les entrées sont numérotées et chaînées par hachage, de sorte qu'une entrée manquante ou modifiée se voit. Comme chaque réponse cite un passage précis, le journal peut montrer quel contenu a été utilisé, et pas seulement quel fichier a été ouvert. Notre personnel n'accède au contenu des clients que pour un support que vous demandez ou pour assurer la sécurité du service, et chaque opération de ce type est journalisée.
Que deviennent mes données lorsque je supprime un document ou ferme mon compte ?
Supprimer un document supprime aussi tout ce qui a été construit à partir de lui : résumés, entrées de l'index de recherche et liens. À la clôture d'un compte, ses données sont supprimées des systèmes actifs dans les 30 jours et des sauvegardes dans les 90 jours, et nous confirmons la suppression par écrit sur demande.
Vous menez une revue de sécurité ?
Nous vous enverrons notre accord de traitement des données, la liste des sous-traitants ultérieurs et les réponses à votre questionnaire. Une personne vous répond sous un jour ouvré.