Sécurité
Vos données, concrètement.
Cette page décrit ce qui est en place aujourd'hui. Elle ne décrit rien de prévu, rien d'annoncé, rien de bientôt.
- StockéSupabase, Union européenne. Chiffré au repos.
- GénéréLe modèle choisi, le temps de l'appel. Pas d'entraînement.
- PayéMontant et référence de commande. Jamais la carte.
Vos données ne servent pas à entraîner de modèles
Ni vos conversations, ni vos documents, ni vos générations ne sont utilisés pour entraîner un modèle — ni par Tukai, ni par les fournisseurs auxquels nous transmettons vos requêtes. Nous utilisons leurs interfaces professionnelles, dont les conditions excluent l'entraînement par défaut, à la différence des versions grand public de ces mêmes services.
Vos documents importés ne sont lisibles que depuis votre compte. Ils ne sont pas partagés entre utilisateurs, pas revendus, et pas consultés en dehors des opérations que vous déclenchez.
Par sujet
Ce qui est en place, sujet par sujet
Stockage
Ce qui est stocké reste en Europe.
Votre compte, vos conversations, vos documents et votre historique de facturation sont hébergés dans l'Union européenne.
Chiffrement
Les communications passent en TLS. Les données au repos sont chiffrées côté Supabase. Les mots de passe ne sont jamais stockés en clair : GoTrue les hache avec bcrypt.
Accès
Isolation par compte
Chaque document et chaque conversation est rattaché à un compte, et la règle est appliquée dans la base elle-même — pas seulement dans l'interface. Une requête émise par un compte ne peut pas atteindre les données d'un autre.
Authentification
Supabase Auth : jeton signé, jetons de rafraîchissement, sessions révocables depuis vos paramètres. L'authentification à deux facteurs par application (TOTP) est disponible sur tous les comptes, avec codes de secours — elle n'est réservée à aucune formule.
Déduplication cloisonnée
Réimporter un document déjà indexé ne recalcule rien — mais cette réutilisation ne franchit jamais la frontière d'un compte. Partagée entre utilisateurs, elle reviendrait à signaler que quelqu'un d'autre détient exactement ce fichier. Le calcul redondant est le prix de cette confidentialité.
Conservation
Données de compte : conservées tant que votre compte est actif, supprimées sous 30 jours après suppression du compte.
Conversations et documents : conservés tant que vous ne les supprimez pas.
Données de paiement : conservées 10 ans pour obligations comptables.
Logs techniques : conservés 90 jours.
Suppression
Vous pouvez supprimer votre compte à tout moment depuis vos paramètres. La suppression est définitive.
Avant de partir, l'export complet de vos données est disponible dans vos paramètres.
Argent
Traçabilité de la facturation
Chaque appel facturé conserve le tarif et le taux de change figés au moment où il a eu lieu. Modifier un tarif ensuite ne réécrit pas votre historique : votre relevé reste celui sur lequel vous avez été débité.
Paiements
Aucune donnée de carte bancaire ne transite par nos serveurs ni n'y est stockée. La saisie a lieu chez le prestataire de paiement, qui nous renvoie uniquement le résultat de la transaction.
Sous-traitants
Où vont vos données
Les prestataires qui traitent une partie de vos données pour que le service fonctionne, et ce que chacun reçoit.
| Prestataire | Rôle | Données concernées | Traitement |
|---|---|---|---|
| Supabase | Base de données, authentification, stockage des fichiers | Compte, conversations, documents importés, historique de facturation | Union européenne |
| Cloudflare | Hébergement du site vitrine et de l'application | Aucune donnée de compte — les données restent dans Supabase | Réseau de périphérie mondial |
| OpenAI, Anthropic, Google, Mistral, Groq | Modèles de génération | Le contenu de la requête envoyée au modèle choisi, le temps de l'appel | Hors Union européenne selon le fournisseur |
| Konnect, Flouci, Paymee | Encaissement | Montant, référence de commande. Aucune donnée de carte ne nous parvient | Tunisie |
Ce qui est généré sort le temps de l'appel. Faire répondre un modèle suppose de lui transmettre votre requête. Selon le modèle que vous choisissez, elle est traitée hors de l'Union européenne, sous les conditions professionnelles du fournisseur — qui excluent l'entraînement. Aucune interface ne peut éviter ce transfert : la seule question honnête est de savoir vers qui il va, et c'est ce que dit le tableau ci-dessus.
Le traitement complet, vos droits et la procédure d'exercice sont décrits dans la politique de confidentialité.
Divulgation responsable
Signaler une vulnérabilité
Si vous pensez avoir trouvé une faille, écrivez à service-client@tukhnanutha.com. Décrivez le problème et les étapes pour le reproduire ; une preuve de concept minimale nous fait gagner beaucoup de temps.
Nous ne poursuivons pas la recherche menée de bonne foi : test contre votre propre compte, sans accéder aux données d'autrui, sans dégrader le service, et sans divulgation publique avant correction. Nous vous créditons dans nos communications si vous le souhaitez.
Les coordonnées sont également publiées au format lisible par machine sur /.well-known/security.txt (RFC 9116).
Yalla.
Votre première question vous attend.
Ouvrir TukaiSans engagement. Cinq messages sans même créer de compte.