Se connecter Démarrer l'essai

Secret professionnel, données et IA

Mise à jour : octobre 2026

Cette page reprend nos conditions générales (version 2.1) et les réponses que nous avons apportées au questionnaire du Barreau de Marseille. Elle dit aussi ce que nous ne faisons pas encore.

En bref

  • Vos dossiers sont hébergés en France, chez OVHcloud.
  • L'IA de Nanilex est celle de Mistral AI, société française. Mistral n'entraîne pas ses modèles sur vos données et les conserve 30 jours au plus.
  • Notre personnel n'ouvre vos dossiers qu'avec votre accord. Chaque accès de notre personnel par nos outils d'administration est inscrit dans un journal que vous consultez.
  • Deux de nos sous-traitants, Sentry (suivi des erreurs) et Stripe (paiement), sont des sociétés américaines. Mistral AI s'appuie aussi, en Europe, sur des hébergeurs américains. Nous le disons plutôt que d'écrire « aucun transfert hors UE ».
  • Nous n'avons encore ni audit de sécurité externe ni certification. Nous l'écrivons ci-dessous.

Le secret professionnel

Les pièces et les échanges que vous confiez à Nanilex sont couverts par le secret professionnel de l'avocat (article 66-5 de la loi n° 71-1130 du 31 décembre 1971 ; article 2 du Règlement intérieur national). Le secret est le vôtre : nos engagements ne le remplacent pas et ne le lèvent pas.

Nous nous engageons, à l'article 8 de nos conditions générales, à :

  • n'accéder à vos contenus que sur votre demande ou avec votre accord préalable, pour le support, un incident ou une demande de suppression ou de restitution. Seule exception : une mesure urgente de sécurité, dont vous êtes alors informé sans délai ;
  • inscrire dans un journal que vous consultez chaque accès de notre personnel fait depuis nos outils d'administration ;
  • vous communiquer, sur demande, la liste des personnes habilitées ;
  • soumettre notre personnel et nos sous-traitants à une confidentialité de même portée ;
  • ne communiquer aucun contenu à un tiers, sauf obligation légale ;
  • sauf interdiction légale, vous informer de toute demande d'une autorité, française ou étrangère, avant d'y répondre, et la contester dans la mesure permise.

Ce que nous ne faisons pas : un chiffrement de bout en bout qui nous empêcherait techniquement de lire vos contenus. L'accès de notre personnel est limité par le contrat et rendu visible par le journal, pas rendu impossible. Une intervention technique directe sur la base de données n'apparaît pas dans ce journal.

Qui peut voir vos dossiers

  • Vous et les membres de votre cabinet, selon les droits que vous leur donnez. Les données sont cloisonnées par cabinet et par utilisateur.
  • Notre personnel, seulement dans les conditions ci-dessus. Vous voyez les accès faits depuis nos outils d'administration dans Paramètres › Confidentialité › Accès de l'équipe Nanilex.
  • Vos sessions ouvertes (appareil, adresse IP, dernière utilisation) sont visibles dans Paramètres › Sécurité & Accès, et vous pouvez les fermer à distance.
  • Double authentification : vous pouvez l'activer dans vos paramètres (application d'authentification et codes de secours). Elle n'est pas imposée ; nous vous la recommandons.

L'intelligence artificielle

Le modèle. Les fonctions d'assistance (analyse de pièces, assistant, rédaction) s'appuient sur des modèles de Mistral AI, société établie en France. Aucun autre fournisseur de modèles n'est appelé, y compris en secours.

Ce qui part chez Mistral. Pour répondre à une demande, Nanilex transmet à Mistral la requête, les documents à lire (y compris par lecture optique) et les extraits nécessaires, y compris les données personnelles qu'ils contiennent. Ce qui est masqué avant l'envoi, et ce qui ne l'est pas encore, est décrit à l'article 7.3 de nos conditions générales.

Ce que Mistral en fait. Dans l'organisation que nous utilisons chez Mistral, l'entraînement sur les données transmises par API est désactivé. Mistral conserve les échanges 30 jours au plus, pour détecter les abus, puis les supprime. Pour cette détection des abus, Mistral agit pour son propre compte (responsable de traitement). L'option « zéro rétention » de Mistral n'est pas activée.

Les réponses de l'IA. Elles sont signalées comme telles à l'écran, et les documents Word générés le portent dans leurs métadonnées. Le marquage des PDF est en cours. Les références juridiques citées sont recherchées dans Légifrance ; un document qui cite une référence introuvable ne s'exporte qu'après votre confirmation explicite.

L'assistant ne remplace pas votre jugement. Vérifiez toute réponse et tout document avant de vous en servir.

Notre rôle au sens du règlement européen sur l'IA (2024/1689). NANEO est le fournisseur du système Nanilex, qui intègre un modèle d'usage général de Mistral AI ; vous en êtes le déployeur. Nanilex n'est pas conçu pour un usage à haut risque au sens de l'annexe III.

Taux d'erreur. Nous mesurons la proportion de références inexistantes dans les réponses. La méthode est en cours de révision ; nous publierons ici la méthode et le résultat de la prochaine mesure.

Où sont vos données, et qui les traite

Sous-traitant Rôle Où sont les données Société
OVHcloud Hébergement de l'application, de la base et des fichiers France : Gravelines ; sauvegardes à Gravelines et Strasbourg Française
Mistral AI Modèles d'IA Espace économique européen : Mistral et ses hébergeurs (Mistral Compute ; Microsoft, Google et CoreWeave, sociétés de droit américain, dans leurs centres européens) Française
Sentry (Functional Software Inc.) Supervision des erreurs techniques Union européenne (Francfort) Américaine
Stripe Paiement des abonnements Irlande et États-Unis Américaine
Brevo Emails de service Union européenne Française
Apple et Google Notifications des applications mobiles, si vous les activez États-Unis possible Américaines

Ce qui peut sortir de l'Union européenne

Nous préférons vous le dire précisément plutôt qu'écrire « aucun transfert ».

  • Sentry. Les données sont hébergées dans l'Union européenne. Un sous-traitant, Sentry (Functional Software Inc., société de droit américain, supervision des erreurs), stocke ses données en région UE (Francfort). Des accès ponctuels depuis les États-Unis, pour le support, restent possibles. Ils sont encadrés par l'accord de traitement de Sentry (cadre de protection des données UE–États-Unis et clauses contractuelles types). Les traces techniques envoyées à Sentry sont dépouillées des données personnelles avant leur envoi.
  • Stripe est une société américaine, qui traite les paiements en Irlande et aux États-Unis. Il ne reçoit aucun contenu de dossier.
  • Apple et Google acheminent les notifications des applications mobiles, lorsque vous les avez activées. Ils ne reçoivent que le titre et le texte de la notification.
  • Mistral AI fait fonctionner ses modèles dans l'Espace économique européen, en partie chez des hébergeurs de droit américain (voir le tableau ci-dessus).
  • OpenAI. Depuis le 21 septembre 2026, tout appel vers OpenAI est bloqué par Nanilex avant de partir, et chaque tentative déclenche une alerte de notre équipe. Aucune tentative n'a été relevée en production depuis.
  • Assistants tiers. Nanilex ne propose aucun connecteur vers un assistant d'IA tiers (ChatGPT, Claude…). Il n'en serait ouvert qu'après modification de nos conditions générales.

Combien de temps vos données sont conservées

  • Pendant votre abonnement, vos contenus sont conservés tant que votre compte ou votre cabinet est actif. Vous pouvez supprimer à tout moment un document ou une conversation ; le fichier est alors effacé définitivement de notre stockage. La suppression d'un dossier entier se fait aujourd'hui sur demande écrite.
  • Récupérer vos données : chaque utilisateur exporte ses données depuis ses paramètres, au format JSON, gratuitement. Pour une copie des fichiers déposés, écrivez-nous : nous la remettons sous 30 jours. Vous pouvez le faire pendant le contrat et 30 jours après sa fin.
  • Après la fin du contrat, nous supprimons vos contenus sur votre demande écrite, dans les 30 jours, et nous vous le confirmons par écrit. La suppression automatique est en cours de développement : nous vous informerons de sa mise en service.
  • Sauvegardes : les sauvegardes de la base sont conservées deux jours ; les copies qu'elles contiennent disparaissent à leur rotation.
  • Chez Mistral : 30 jours au plus (voir plus haut).
  • Nos factures sont conservées 10 ans (article L. 123-22 du Code de commerce).

Sécurité

Ce que nous faisons :

  • échanges chiffrés (HTTPS) ;
  • double authentification au choix de chaque utilisateur ;
  • journal des accès de notre personnel depuis nos outils d'administration, consultable par vous ;
  • analyse antivirale des fichiers déposés ; un fichier détecté comme infecté ne peut plus être téléchargé. L'analyse se déroule en parallèle du traitement du document et ne le retarde pas ;
  • sauvegarde quotidienne de la base par l'hébergeur, conservée deux jours, sur deux sites en France ;
  • information sous 48 heures en cas de violation de données personnelles qui vous concerne.

Ce que nous n'avons pas encore :

  • aucun audit de sécurité ni test d'intrusion par un tiers ;
  • aucune certification (ISO 27001, HDS, SecNumCloud) ;
  • pas de chiffrement de bout en bout (voir plus haut) ;
  • pas d'engagement de disponibilité chiffré : nous visons 99,5 % par mois, sans le garantir. Les interventions programmées sont annoncées 72 heures à l'avance.

Responsabilité et assurance

NANEO est assurée en responsabilité civile professionnelle pour son activité d'éditeur de logiciels. L'attestation est remise sur demande.

En cas de manquement à nos engagements de confidentialité (article 8 des conditions générales), notre responsabilité est plafonnée à 100 000 € par année contractuelle, tous sinistres confondus (article 11.3), sauf dol ou faute lourde, pour lesquels aucun plafond ne s'applique.

Les textes qui font foi

En cas de différence entre cette page et ces textes, ce sont les textes qui font foi.

Une question ? Écrivez-nous à contact@nanilex.fr.