RGPD et sécurité chez OdocPilot : comment vos données sont protégées
Où sont vos données, qui les traite, comment chaque entreprise est isolée, comment les exporter ou les supprimer, et ce que nous ne revendiquons pas : ni certification, ni audit externe à ce jour.
La rédaction OdocPilot · 2026-09-24
RGPD et sécurité chez OdocPilot : comment vos données sont protégées
Vos factures, vos documents et vos chiffres sont hébergés en France, chez OVH. L'intelligence artificielle qui les lit est celle de Mistral AI, entreprise française, et chaque entreprise est isolée des autres par la base de données elle-même. Cette page décrit ce qui est en place, ce que nous ne revendiquons pas (aucune certification, aucun audit externe à ce jour) et comment exercer vos droits.
!RGPD et sécurité chez OdocPilot : comment vos données sont protégées Photo : panumas nikhomkhai — Pexels
Où sont vos données
L'application est hébergée en France, chez OVH : base de données, fichiers déposés, authentification, fonctions serveur et envoi des emails. Les logiciels qui font tourner OdocPilot sont installés sur nos serveurs chez OVH, et non loués à un service cloud américain. La mesure d'audience, quand vous l'acceptez, passe elle aussi par un outil installé sur nos serveurs.
Depuis le 18 septembre 2026, la page de l'application ne fait appel à aucun domaine tiers à son chargement. Jusque-là, la police de caractères venait des serveurs de Google, ce qui transmettait l'adresse IP de chaque visiteur ; elle est désormais servie depuis nos serveurs.
Qui traite vos données
| Prestataire | Ce qu'il traite | Où |
|---|---|---|
| OVH (France) | Hébergement, base de données, fichiers, envoi des emails | France |
| Mistral AI (France) | Lecture des factures et des documents, recherche, copilote | Union européenne par défaut, selon Mistral |
| Lemon Squeezy (États-Unis) | Paiement de l'abonnement, sans accès à vos documents ni à votre comptabilité | États-Unis, transfert encadré par des clauses contractuelles types |
Mistral AI est notre seul fournisseur d'IA. Depuis le 18 septembre 2026, aucun service d'IA non européen ne prend le relais quand Mistral est indisponible : un fournisseur américain jouait ce rôle auparavant, il a été retiré. Mistral indique héberger les données dans l'Union européenne par défaut, et précise que ses propres sous-traitants peuvent les traiter temporairement hors de l'UE, avec les garanties prévues par l'article 46 du RGPD (centre d'aide de Mistral AI). Nous préférons vous le dire.
Le paiement passe par un acteur américain. Lemon Squeezy encaisse votre abonnement et en émet les factures. C'est notre seul prestataire établi hors de l'Union européenne : il ne reçoit aucune donnée métier, et le transfert est encadré par des clauses contractuelles types, les modèles de contrat adoptés par la Commission européenne pour ces transferts (CNIL).
Les connecteurs optionnels. Pour la facture électronique, le raccordement à la plateforme agréée SuperPDP, société française inscrite sur la liste officielle, a été testé de bout en bout et son ouverture aux clients est en cours. D'autres connecteurs (banque, Dropbox, Google Drive) ne sont pas ouverts à ce jour. Aucun connecteur n'est actif par défaut.
La liste à jour de nos sous-traitants figure dans notre accord de traitement des données (DPA).
Chaque entreprise est isolée, par la base de données elle-même
Le cloisonnement entre entreprises n'est pas confié au seul code de l'application, qui pourrait comporter un oubli : il est appliqué par la base de données elle-même, table par table (règles de sécurité au niveau des lignes de PostgreSQL). Lors de notre audit interne du 2 septembre 2026, aucune table n'en était dépourvue, et des tests automatiques vérifient cette isolation entre organisations.
Dans votre entreprise, vous décidez qui voit quoi : vous invitez vos collaborateurs avec un rôle (administrateur, membre ou lecteur), et un salarié ne voit jamais les chiffres financiers.
Comme chez tout éditeur, l'exploitation des serveurs suppose un accès technique d'administration. En revanche, l'application ne contient aucune fonction permettant à notre équipe de se connecter à votre compte à votre place.
Les autres protections en place
- Les fichiers déposés sont vérifiés par leur contenu réel, pas seulement par leur extension : un programme renommé en « .pdf » est rejeté.
- Les liens de dépôt envoyés à vos fournisseurs ont une durée de validité que vous choisissez.
- Toutes les connexions sont chiffrées (HTTPS), et les navigateurs reçoivent la consigne de refuser toute connexion non chiffrée (HSTS).
- Les modifications du code sont analysées automatiquement pour détecter une clé secrète publiée par erreur.
- Le copilote n'exécute aucune action à risque sans votre confirmation.
- Nos audits de sécurité sont internes. Le plus complet, en juin 2026, a relevé des failles, dont certaines critiques, toutes corrigées depuis ; le plus récent, le 2 septembre 2026, n'a relevé ni faille critique ni fuite de données.
Vos droits RGPD : des boutons, pas des formulaires
Dans l'application, rubrique Paramètres → Sécurité :
- « Télécharger mes données » vous donne une copie de vos données (droit à la portabilité) ;
- « Supprimer mon compte » efface votre compte. Propriétaire de l'organisation, vous pouvez aussi supprimer toute l'organisation et ses données ; simple membre, seul votre accès personnel est retiré.
Une limite, que nous préférons écrire : à ce jour, la suppression efface vos données de la base, mais pas encore automatiquement les fichiers déposés. Pour les faire effacer, comme pour exercer vos autres droits (accès, rectification, opposition, limitation), écrivez à l'adresse indiquée dans notre politique de confidentialité. La réponse doit vous parvenir dans un délai d'un mois (CNIL) ; en cas de désaccord, vous pouvez adresser une plainte à la CNIL.
Avant de supprimer un compte, exportez vos factures : leur conservation vous incombe, dix ans au titre du code de commerce et six ans pour le contrôle fiscal (entreprendre.service-public.gouv.fr).
Qui est responsable de quoi. Les données que vous déposez (factures, contacts, documents), OdocPilot les traite pour votre compte : c'est la définition du sous-traitant au sens du RGPD (CNIL). Le contrat prévu par l'article 28 du RGPD est notre accord de traitement des données, publié avec notre registre des traitements.
!OdocPilot RGPD — illustration Photo : Brett Sayles — Pexels
Ce que nous ne revendiquons pas
- Aucune certification. OdocPilot n'est certifié ni ISO 27001, ni SOC 2, ni HDS. Une version précédente de cette page mentionnait des certifications et des labels : c'était faux, et ces mentions ont été retirées.
- Aucun audit externe. Aucun test d'intrusion par un cabinet indépendant n'a encore été conduit.
- Pas d'archivage certifié. OdocPilot peut sceller un document par une empreinte numérique, qui permet de vérifier qu'il n'a pas été modifié. C'est utile, mais ce n'est pas un coffre-fort d'archivage réglementaire.
- Pas encore de double authentification. Elle apparaît comme « Bientôt » dans vos paramètres : d'ici là, choisissez un mot de passe solide, propre à OdocPilot.
- L'IA peut se tromper. Ce qui ne dépend pas d'elle : aucune facture lue par l'IA n'est enregistrée sans votre validation, une facture électronique structurée est lue sans IA, et les chiffres du copilote sont calculés par la base de données. Pour le détail, voir ce que la lecture automatique des factures fait vraiment.
Cinq questions à poser à tout éditeur
Ces questions valent pour OdocPilot comme pour n'importe quel logiciel de gestion. Un éditeur sérieux y répond par écrit.
- Où sont hébergées mes données, et chez qui ? Le pays des serveurs et le nom de l'hébergeur, pas seulement « en Europe ».
- Quelle IA lit mes documents ? Le fournisseur de modèles, l'endroit où il traite les données, et ce qui se passe quand il est indisponible.
- Qui sont vos sous-traitants ? Une liste nominative, dans l'accord de traitement prévu par l'article 28 du RGPD (CNIL).
- Comment mes données sont-elles séparées de celles des autres entreprises ? Par la base de données elle-même, ou seulement par le code de l'application ?
- Comment récupérer mes données et fermer mon compte ? Un export que vous lancez vous-même, et une suppression dont les limites sont écrites.
Et si un éditeur annonce une certification, demandez le certificat et son périmètre.
FAQ
Où sont hébergées mes données ?
En France, chez OVH : base de données, fichiers, authentification et envoi des emails. La lecture par IA est assurée par Mistral AI, entreprise française, qui héberge les données dans l'Union européenne par défaut, selon sa propre documentation. Seul le paiement de l'abonnement passe par un prestataire américain, Lemon Squeezy, sans accès à vos documents.
Mes documents sont-ils envoyés à une IA américaine ?
Non. Mistral AI est notre seul fournisseur d'IA, et depuis le 18 septembre 2026 aucun service non européen ne prend le relais en cas d'indisponibilité. Mistral précise que ses propres sous-traitants peuvent traiter temporairement des données hors de l'UE, avec les garanties prévues par l'article 46 du RGPD (centre d'aide de Mistral AI).
OdocPilot est-il certifié ISO 27001 ou SOC 2 ?
Non. OdocPilot n'a aucune certification, et aucun audit externe n'a été conduit à ce jour. Ce qui existe : des audits internes, des tests automatiques d'isolation entre entreprises, et la liste de nos limites, publiée ci-dessus.
D'autres entreprises ou mes salariés peuvent-ils voir mes données ?
Les autres entreprises, non : le cloisonnement est appliqué par la base de données. Dans votre entreprise, chacun voit ce que son rôle permet (administrateur, membre ou lecteur), et un salarié ne voit jamais les chiffres financiers.
Que se passe-t-il en cas de fuite de données ?
Le RGPD organise la réponse. Le sous-traitant, ici OdocPilot, doit informer son client sans délai. Le responsable de traitement, c'est-à-dire vous pour les données que vous déposez, notifie la CNIL, si possible dans les 72 heures, et informe les personnes concernées en cas de risque élevé (CNIL).
Comment récupérer ou supprimer mes données ?
Dans Paramètres → Sécurité : « Télécharger mes données » pour une copie, « Supprimer mon compte » pour la suppression. Exportez d'abord vos factures, que vous devez conserver (entreprendre.service-public.gouv.fr). Pour les fichiers déposés, que la suppression n'efface pas encore automatiquement, écrivez à l'adresse indiquée dans notre politique de confidentialité.
Vérifier par vous-même
Le plus simple est de regarder : Essayer OdocPilot, essai gratuit sans carte bancaire, puis ouvrez Paramètres → Sécurité.
Mis à jour le 24 septembre 2026.