Sécurité & Conformité.

Doaken traite des documents sensibles : DCE, mémoires techniques, références chantiers, CV nominatifs, chiffrages DPGF. Notre engagement est documenté ligne par ligne : hébergement UE, AES-256 au repos, TLS 1.3 en transit, isolation locataire stricte, sous-traitant IA en mode opt-out training.

Doaken traite des documents sensibles : dossiers de consultation des entreprises (DCE), mémoires techniques, références chantiers, CV nominatifs, chiffrages DPGF, attestations sociales et fiscales. Ces contenus engagent la compétitivité commerciale de votre entreprise et contiennent des données personnelles de vos collaborateurs et de vos clients. Notre engagement est simple : vos données restent vos données, hébergées dans l'Union Européenne, chiffrées au repos et en transit, isolées par locataire, et jamais utilisées pour entraîner un quelconque modèle d'intelligence artificielle.

Nous documentons publiquement la chaîne de sous-traitance technique (hébergement applicatif, base de données, stockage objet, fournisseur d'IA, services transactionnels d'envoi d'emails) et nous fournissons sur demande l'ensemble des éléments contractuels attendus par un service achats ou une direction des systèmes d'information : DPA standard ou version client, Clauses Contractuelles Types pour les transferts hors Union Européenne, registre des traitements, politique de gestion des incidents, plan de continuité d'activité.

Cette page détaille les engagements techniques et juridiques de Doaken en matière de sécurité, de protection des données personnelles, de confidentialité des contenus envoyés aux modèles IA, d'authentification, de continuité d'activité et de réversibilité. Pour toute demande spécifique (questionnaire sécurité, audit, pénétration test, certification additionnelle), notre équipe répond sous 48 heures ouvrées à l'adresse contact@doaken.fr.

Doaken s'appuie sur l'API Anthropic (modèles Claude) pour analyser les DCE, générer les mémoires techniques, calculer le score Go/No-Go et assister le chiffrage génératif. La politique Anthropic API applicable à notre compte garantit, par défaut et sans démarche supplémentaire, qu'aucun contenu transmis (prompt utilisateur ou contenu d'entreprise) ne soit utilisé pour entraîner les modèles, ni conservé au-delà de la durée nécessaire au traitement de la requête. C'est ce que nous appelons le mode opt-out training contractuel.

Concrètement : lorsqu'un de vos collaborateurs téléverse un DCE ou demande la génération d'une section de mémoire technique, le contenu pertinent est transmis à l'API Anthropic, traité, et la réponse est renvoyée à l'application Doaken. Aucun stockage persistant côté Anthropic, aucune réutilisation pour des tiers, aucune indexation. Les transferts hors Union Européenne (l'API Anthropic étant opérée depuis les États-Unis) sont encadrés par un DPA et des Clauses Contractuelles Types conformes aux exigences du RGPD post-Schrems II.

Nous n'utilisons aucun modèle IA grand public côté navigateur (pas d'extension, pas de plugin tiers chargé dans votre session). Tous les appels IA passent par notre backend, ce qui garantit la traçabilité complète des requêtes et l'application des règles d'authentification et d'autorisation. Le journal d'audit conserve l'horodatage et l'identifiant utilisateur pour chaque action déclenchant un appel IA, conformément aux exigences d'auditabilité d'un traitement automatisé sur données à caractère personnel.

Tout changement de fournisseur IA, ajout d'un nouveau sous-traitant ou modification substantielle des conditions de traitement serait notifié à nos clients dans le délai prévu au DPA, avec possibilité d'exercer un droit d'opposition. La liste à jour des sous-traitants est disponible sur cette page et fait partie intégrante des annexes contractuelles.