Sécurité et confiance

Vous allez nous confier des documents qui comptent. Voici, sans détour, comment nous les protégeons, ce que nous garantissons, qui en répond — et aussi ce que nous n’avons pas encore. Nous préférons que vous le vérifiiez vous-même plutôt que de nous croire sur parole.

01Vous pouvez sceller sans nous donner le document

C’est la façon la plus courte de lever le doute : si nous ne le recevons pas, nous ne pouvons pas le consulter. Dans « Sceller sans téléverser le document », votre navigateur calcule l’empreinte SHA-256 du fichier et envoie uniquement ces 32 octets. Le document ne quitte votre ordinateur à aucun moment.

Et vous n’avez pas à nous croire : vérifiez-le. Ouvrez les outils de développement de votre navigateur, onglet Réseau, et scellez un fichier. Vous verrez une seule requête d’une centaine d’octets, avec l’empreinte et le nom que vous lui donnez. Rien d’autre. Si le fichier était téléversé, sa taille complète y apparaîtrait.

Ce que nous conservons alors : l’empreinte, la date et qui a scellé. L’empreinte est un nombre de 64 caractères à partir duquel on ne peut pas reconstituer le contenu — c’est ce qui lui permet de servir de preuve sans rien révéler.

02Quand vous nous donnez le document

Si vous utilisez le scellement normal — téléverser un PDF ou le rédiger ici —, le contenu est bien stocké sur nos serveurs, car le lien vivant doit pouvoir l’afficher à la personne à qui vous l’envoyez. Nous le disons sans détour plutôt que de le glisser dans les petites lignes : dans ce mode, techniquement, nous pourrions y accéder.

Les données sont conservées dans une infrastructure située dans l’Union européenne, avec un accès séparé par client et sous l’engagement contractuel du sous-traitant. Mais un engagement est une promesse, et une promesse, il faut y croire. C’est pourquoi le mode ci-dessus existe : ce que vous ne voulez confier à personne, ne nous le donnez pas.

03Qui en répond

CODEX n’est ni une startup anonyme ni une expérience crypto d’un week-end. C’est un produit d’AIM, la division logicielle de BIOMAG, S.L.U. — une entreprise européenne avec ses propres marques sur le marché et des années d’expérience dans la livraison de produits. Derrière chaque sceau se trouve une société identifiable, avec un siège, un registre du commerce et une responsabilité légale.

04La garantie cryptographique

C’est le cœur de CODEX, et elle est vérifiable de façon indépendante — vous n’avez pas à vous fier à notre parole :

Conséquence pratique : la validité d’un document scellé survit même si CODEX, ou son émetteur, cessaient d’exister — pourvu que vous ayez conservé la preuve téléchargeable. C’est la propriété qu’aucun système reposant uniquement sur « faites confiance au fournisseur » ne peut offrir.

05Vos données sont à vous

Pas de prise d’otage des données, pas d’enfermement propriétaire. À tout moment, vous exportez :

• Le registre des preuves complet en CSV (qui, quoi, quand, avec quel sceau).
• Tout votre CODEX dans un ZIP : documents, versions et preuves.

Si un jour vous décidez de partir, vous partez avec tout. La portabilité n’est pas une fonction premium : c’est un droit.

06Vie privée, RGPD et IA

CODEX est un service d’une entreprise européenne, soumise au règlement (UE) 2016/679 (RGPD), à la LOPDGDD espagnole et à la LSSI. Le traitement des données est détaillé dans la politique de confidentialité et les conditions de sous-traitance dans le document correspondant.

07Chiffrement et contrôle d’accès

• Tout le trafic entre votre navigateur et le service circule chiffré par HTTPS (TLS). Ce n’est pas du chiffrement de bout en bout : quand vous téléversez un document, notre serveur le reçoit déchiffré (si vous scellez sans nous donner le document, il ne le reçoit même pas).
• Accès par compte authentifié, avec rôles et autorisations par organisation.
• Les liens de documents sont servis avec l’indexation désactivée (ils n’apparaissent pas dans les moteurs de recherche) et une vérification d’intégrité à chaque ouverture.

08Souveraineté européenne, sans petites lignes

Votre compte et vos documents sont conservés sur des serveurs de l’Union européenne (Amsterdam, Pays-Bas). Pour être exacts, comme pour tout le reste : l’entreprise qui exploite ces serveurs (Railway) et celle qui envoie nos e-mails (Resend) sont américaines, avec des contrats de sous-traitance incluant les clauses contractuelles types européennes ; et le texte que vous envoyez aux fonctions d’intelligence artificielle est traité aux États-Unis. Qui traite quoi et où, dans la liste des sous-traitants ultérieurs.

Même nos polices de caractères n’appellent pas Google. La plupart des sites —y compris ceux de nombreux fournisseurs de signature— chargent leurs polices depuis des serveurs de Google, ce qui envoie l’adresse IP de chaque visiteur à un tiers hors de l’UE sans que personne l’ait demandé (il y a eu des condamnations pour cela, comme celle du tribunal régional de Munich en 2022). Ici, nous les servons depuis notre propre domaine : en ouvrant cette page, votre navigateur ne contacte aucun tiers. Vous pouvez le vérifier vous-même dans l’onglet réseau de votre navigateur — vous ne devriez pas nous croire, vous devriez le vérifier.

09Sous-traitants ultérieurs

Pour fournir le service, nous nous appuyons sur un ensemble limité de prestataires (infrastructure, e-mail transactionnel, paiements et assistance IA sans conservation), publiés avec leur nom, leurs données et leur lieu dans la liste des sous-traitants ultérieurs. Les garanties contractuelles figurent dans le document de sous-traitance, que vous pouvez consulter avant de contracter.

10Ce que nous n’avons pas encore

11Si vous trouvez une faille de sécurité

Écrivez-nous à hola@aim-codex.ai avec l’objet « Sécurité » (également dans security.txt). Notre engagement :

• Nous accusons réception sous 5 jours ouvrés au maximum et nous vous disons ce que nous allons faire.
• Nous n’engagerons aucune action en justice contre quiconque enquête de bonne foi : sans accéder aux données d’autres personnes au-delà de ce qui est indispensable pour démontrer la faille, sans dégrader le service et en nous laissant un délai raisonnable pour la corriger avant de la rendre publique.
• Périmètre : www.aim-codex.ai et son API.
• Si vous le souhaitez, nous vous citons nommément une fois la faille corrigée. Nous n’offrons pas de récompenses financières.

Voir les offres et les tarifs →