Sous-traitants
Qui touche vos données.
La liste publique des tiers qui interviennent ou interviendront sur vos données, avec leur rôle, les catégories de données concernées et leur localisation. L’hébergeur est contractualisé ; les autres restent à l’état de projet ou d’intégration technique. Le service n’est pas encore ouvert : le statut de chacun est indiqué honnêtement.
| Sous-traitant | Rôle | Données concernées | Localisation | Statut |
|---|---|---|---|---|
| Rectangle Sous-traitant direct. Contrat et accord de traitement signés le 17/07/2026. Certifié ISO/IEC 27001:2022 (AFNOR, certificat n° 118506.1). Mise en service en cours : le service n’est pas encore ouvert au public. | Hébergement et exploitation de la plateforme (calcul, base de données, stockage objets, sauvegardes) | Toutes les données de mission (chiffrées au repos, y compris au niveau applicatif pour les pièces) | France (UE) | Sous-traitant |
| 3DS Outscale Sous-traitant ultérieur, seul déclaré par Rectangle. Offre IaaS qualifiée SecNumCloud par l’ANSSI : cette qualification porte sur Outscale, ni sur Rectangle, ni sur Probatum. | Infrastructure sous-jacente (IaaS) opérée par Rectangle | Mêmes données, au niveau de l’infrastructure | France (UE), région cloudgouv-eu-west-1 | Sous-traitant |
| Mistral AI Sous-traitant ultérieur, appelé en temps réel lorsque le détective déclenche une reformulation, un contre-interrogatoire, ou la lecture d’une note papier qu’il a photographiée. Ces trois actions sont facultatives : le reste du logiciel fonctionne sans elles, et hormis cette photographie de note, aucune pièce ne sort de l’hébergement. Le mode de non-conservation des requêtes (« zero data retention ») a été activé pour notre organisation le 9 septembre 2026, lecture des notes photographiées comprise, selon confirmation écrite du support de Mistral. Mistral nous a confirmé par écrit que ses produits sont hébergés dans l’EEE dès lors que le point d’accès américain n’est pas appelé, ce qui est notre cas, mais n’a pas pu exclure que certains de ses sous-traitants traitent des données depuis des pays tiers, sous clauses contractuelles types. C’est le seul point de notre chaîne où une sortie de l’EEE ne peut pas être exclue contractuellement, et la raison pour laquelle nous visons l’auto-hébergement de ce modèle. | Modèle de langage : reformulation factuelle des notes, contre-interrogatoire interne des rapports, et lecture du texte d’une note manuscrite photographiée | Le texte soumis à reformulation, ou le contenu textuel du rapport analysé. Jamais les pièces du dossier : ni photographies de terrain, ni enregistrements audio, ni fichiers. Une seule exception : la photographie d’une note papier dont le détective demande la lecture et la transcription par l’IA, une fonction prévue pour ses propres notes manuscrites. | Société française (RCS Paris 952 418 325). Produits hébergés dans l’EEE ; un traitement hors EEE par certains de ses sous-traitants n’est pas exclu, sous clauses contractuelles types. | Sous-traitant |
| OVHcloud Deux rôles distincts, tous deux en France. (1) Messagerie, en service depuis le 14/08/2026 : ce canal est cloisonné de la plateforme, aucune donnée d’enquête ne circule par le courrier électronique et une pièce de mission ne s’envoie pas par ce moyen. (2) Coffre de sauvegardes, en service depuis le 23/08/2026 : la copie de sauvegarde est déposée chez un fournisseur différent de l’hébergeur, précisément pour qu’une compromission de l’hébergement n’emporte pas aussi les sauvegardes. Elle est verrouillée en écriture pour 30 jours par un mécanisme que même l’administrateur du compte ne peut lever, et elle est chiffrée par clé publique GPG avant l’envoi : OVHcloud détient donc les sauvegardes sans être en mesure de les lire. | Messagerie du domaine (boîte contact@probatum.fr et alias beta@, dpo@, securite@) et coffre de sauvegardes immuable, hors de l’hébergeur | Messagerie : contenu et métadonnées des courriels échangés avec nous, correspondance des cabinets, demandes adressées au DPO, signalements de sécurité - aucune donnée de mission. Coffre : les sauvegardes de la plateforme, qui contiennent l’intégralité des données de mission, chiffrées avant tout envoi. | France (UE), coffre en région Paris (3 zones de disponibilité) | Sous-traitant |
| Yousign Derrière une interface provider. Squelette d’intégration, pas d’appel externe en l’état. | Signature électronique (eIDAS simple / avancée) | Rapport final à signer, identité du signataire | France (UE) | Via provider (intégration future) |
| Prestataire d’horodatage qualifié (QTSP) Provider à désigner. Interface en place, mode mock/skeleton actuellement. | Horodatage qualifié des exports probants | Empreintes (hash) de documents, jamais le contenu | UE | Cible / en cours |
| Tiers d’archivage à valeur probante (NF Z42-013) Ex. Lex Persona / Locarchives. Provider abstrait ; modes mock et sandbox uniquement à ce stade. | Coffre-fort numérique / archivage probant | Rapports finaux, annexes originales | UE | Via provider (intégration future) |
| Stripe Payments Europe, Ltd. Cloisonné : les données d’enquête ne transitent jamais par le paiement. Squelette d’intégration. | Paiement et facturation de l’abonnement | Données de facturation et de paiement de l’abonné, aucune donnée de mission | Irlande (UE) | Via provider (intégration future) |
| Service e-mail transactionnel UE Provider UE à désigner (ex. Scaleway TEM). Aucun envoi externe réel à ce stade. | E-mails de service (invitations, liens de livraison) | Adresse e-mail, métadonnées de notification | UE | Cible / en cours |
Le choix de l’hébergeur
Rectangle (plateforme « LeCloud »). Opérateur français retenu pour l’exploitation de la plateforme : certifié ISO/IEC 27001:2022 (AFNOR Certification, accréditation Cofrac, certificat n° 118506.1), contrat signé le 17 juillet 2026 avec accord de traitement des données (RGPD) et engagement de niveau de service.
Rectangle exploite l’infrastructure de 3DS Outscale, en région cloudgouv-eu-west-1 (France). Cette offre IaaS est qualifiée SecNumCloud par l’ANSSI.
Réversibilité contractuelle sur standards ouverts, sans frais de sortie en cas de migration autonome. Cloud Temple identifié comme solution de repli.
Deux niveaux à ne pas confondre. La qualification SecNumCloud de l’ANSSI porte sur l’infrastructure de 3DS Outscale. Elle ne s’étend ni à Rectangle, qui l’exploite, ni à Probatum. Héberger sur une infrastructure qualifiée ne rend pas, à lui seul, notre service qualifié SecNumCloud : c’est une qualification distincte, portant sur le service. Nous ne revendiquons aucune certification non obtenue.
Sources publiques OSINT (option)
Si l’option « Recherche OSINT » est activée, le service interroge des registres publics à partir d’un nom. Ce ne sont pas des sous-traitants (ils ne traitent pas de données pour notre compte) mais des destinataires de la requête / sources publiques :
- Recherche d’entreprises (annuaire-entreprises / data.gouv.fr) : dirigeants et sociétés. France/UE.
- BODACC (DILA) : annonces légales. France/UE.
- GDELT (États-Unis) : recherche presse. Fonction optionnelle ; la requête (le nom recherché) transite hors UE. On ne récupère que des liens et métadonnées d’articles, jamais leur contenu.
- Internet Archive, Wayback Machine (États-Unis) : archivage daté d’une page publique, uniquement sur demande explicite de l’enquêteur pour une pièce, et ne transmet qu’une URL publique. Optionnel.
Mise à jour
Cette liste évolue publiquement à chaque ajout, retrait ou changement de sous-traitant. Pour toute question sur un transfert de données, écrivez à notre DPO : dpo@probatum.fr.