Privé par construction
Causius traite des lettres officielles. Chaque garantie ci-dessous est une propriété du code public. Aucune ne demande de nous faire confiance.
Les modèles ne savent pas qui
Avant qu'un texte parte vers un modèle, les détails personnels deviennent des marqueurs, remis en place seulement après la réponse. La détection est bonne, pas parfaite : vérifiez ce qui est masqué.
- Trouvés automatiquement : noms, adresses, codes postaux, e-mails, numéros de téléphone, IBAN, numéros AVS, références, dates de naissance.
- Vos propres mots à masquer sont toujours ajoutés.
- Dans la vérification rapide, cela se passe dans votre navigateur.
- Les recherches web partent aussi avec des marqueurs.
- L'exception est votre voix : l'enregistrement va à un service de reconnaissance vocale et ne peut pas être masqué d'abord. Causius ne le conserve pas, et la saisie au clavier ne l'implique jamais.
Scellé au repos
Chaque dossier a sa propre clé de données, scellée par une clé maîtresse qui n'est jamais dans la base de données.
- AES-256-GCM, un nonce neuf par valeur, lié à son dossier et à son usage.
- Titres, messages, faits, délais, décisions et texte des documents sont scellés ; seuls les dates, statuts, tailles et le code de l'ordre juridique sont en clair.
- Sans la clé maîtresse, une copie de la base de données n'est que du bruit.
Rien de gardé qui ne soit nécessaire
Un fichier téléversé est réduit à son texte. Une lettre vérifiée sans compte n'est pas stockée.
- Ni table d'utilisateurs ni mots de passe : seulement un identifiant de compte OrangeCat.
- Les journaux notent quel modèle a servi un tour, jamais ce qui a été dit. Aucune analytique. Le seul script en plus est le widget de retour optionnel.
Un navigateur verrouillé
Chaque page porte une politique de sécurité du contenu stricte.
- Les scripts ne s'exécutent qu'avec un nonce par requête, et une page ne peut parler qu'à Causius.
- Aucun encadrement, aucun référent, HSTS.
- Les réponses de l'API ne sont jamais mises en cache.
Vous seul décidez
Un dossier ne s'ouvre que pour ses participants. Tous les autres reçoivent la réponse que reçoit un dossier inexistant.
- Les actions qui quittent le dossier sont des propositions que seul son propriétaire peut approuver.
- Des limites par compte protègent les modèles partagés.
- Supprimer un dossier supprime tout ce qu'il contient.
Si cela tournait mal
Ce que chaque partie détiendrait si le pire arrivait.
Une base de données volée
Du texte chiffré, des identifiants de compte et des dates. Aucun nom, aucune lettre. Les dates d'échéance sont lisibles.
Les journaux d'un fournisseur de modèles
Des marqueurs là où étaient les personnes : [NAME-1], domicilié à [ADDRESS-1].
Nous, l'exploitant
Nous exploitons le serveur qui détient la clé maîtresse, et pourrions donc y être contraints. Des clés que vous seul détenez figurent sur la feuille de route ; d'ici là, c'est la limite honnête.