Sécurité et données
Où vont vos textes, qui peut les lire, combien de temps ils restent et ce que nous n'avons pas encore fait.
Où vont vos textes
Chaque appel de modèle dans OtterSR est envoyé à l’API d’OpenAI via TLS, avec le stockage désactivé. Selon les conditions de l’API d’OpenAI, ce que nous envoyons ne sert pas à entraîner ses modèles et peut être conservé pendant une durée limitée pour détecter les abus. L’index de recherche y est construit aussi : OpenAI transforme des passages de vos documents en vecteurs de recherche (embeddings). Nous conservons nous-mêmes l’invite et la réponse, dans votre compte, afin que vous puissiez vérifier chaque réponse.
Soyons précis sur la nature de cet énoncé : il porte sur la configuration du service et sur les conditions qu’OpenAI et AWS proposent. Ce n’est pas un contrôle que nous pourrions appliquer à leur place.
Où votre texte est traité
Depuis le 5 novembre 2026, l’application, la base de données et vos fichiers téléversés sont aux États-Unis, dans la région AWS us-east-2 (Ohio) ; auparavant, ils étaient au Canada. L’inférence des modèles se fait aussi aux États-Unis : chaque palier s’exécute sur l’API d’OpenAI, donc le titre, le résumé, tout texte de PDF et les passages qu’utilise une commande de rédaction y sont traités. L’index de recherche y est aussi calculé, à partir de passages de vos documents. Si cela compte pour votre approbation éthique, n’utilisez pas les fonctions d’IA pour cette revue. Vos contenus sont de toute façon stockés aux États-Unis.
Une seule voie d'inférence, et aucun modèle à nous
Il existe exactement un endroit dans le code capable d'appeler un modèle, et il mesure chaque appel. C'est vérifié par une règle d'architecture au moment de la compilation, et non par convention : aucun autre module n'a le droit d'importer un SDK de fournisseur. Autrement dit, un appel non mesuré n'existe pas, et vos textes n'ont pas de seconde voie, plus discrète.
Où c'est hébergé
Amazon Web Services, aux États-Unis (us-east-2, Ohio). L'application, la base de données (qui contient l'index de recherche), le stockage d'objets et le courrier sortant fonctionnent dans le même compte, sous les mêmes contrôles. Les appels de modèles et le calcul des vecteurs de l'index de recherche, eux, n'y sont pas : ils passent par l'API d'OpenAI aux États-Unis, et chaque palier (Otter-Nano, Otter-Mini, Otter-Pro et Otter-Max) est appelé avec le stockage désactivé. Il n'y a pas aujourd'hui d'option de résidence des données ; si votre établissement en a besoin, dites-le-nous.
Chiffrement
TLS pour chaque connexion, y compris entre l'application et la base de données. Les documents stockés sont chiffrés au repos côté serveur, et la base de données ainsi que ses sauvegardes le sont également. Le stockage d'objets bloque tout accès public et refuse purement et simplement les requêtes non TLS.
Isolation entre comptes
L'isolation est appliquée par la sécurité au niveau des lignes de PostgreSQL. L'application se connecte avec un rôle qui n'est pas propriétaire des tables et ne peut pas contourner ces règles : une requête mal cadrée ne renvoie rien plutôt que les lignes d'un autre. Une suite de tests inter-comptes s'exécute en intégration continue et doit rester au vert.
Les PDF téléversés
Les documents ne sont traités que sur votre instruction et stockés sous un préfixe de clé propre à votre compte, avec un nom généré par le serveur — votre nom de fichier n'entre jamais dans un chemin. Il n'existe délibérément aucun cache de PDF partagé entre comptes, ni par DOI ni autrement : ce serait moins cher pour nous et un problème de licence pour vous. Vous garantissez avoir le droit de téléverser chaque document ; nous les supprimons sur demande et les détruisons à la fermeture du compte.
Aucun renseignement médical personnel
OtterSR s'adresse à la littérature publiée et aux prépublications. Les renseignements médicaux personnels et les dossiers de patients sont interdits par les Conditions, et aucun accord de sous-traitance HIPAA n'est proposé. Soyons exacts : nous n'analysons ni ne classons vos téléversements, donc rien ici ne détecte ni ne bloque ce type de contenu. C'est une règle, pas un filtre.
Supprimer supprime vraiment
Une revue supprimée est récupérable pendant 30 jours, puis détruite par une tâche planifiée — les lignes de la base comme les documents stockés. Fermer un compte détruit son contenu 60 jours plus tard, et vous pouvez annuler dans cet intervalle. Ce qui subsiste, c'est le registre financier : événements d'utilisation, débits et journal d'audit, conservés parce que le droit comptable l'exige. Il ne contient ni titre, ni résumé, ni PDF, ni réponse. Les sauvegardes de la base sont conservées 14 jours et les versions de documents remplacées expirent au bout de 30 : une purge met donc ce temps à se propager aux sauvegardes.
Les données de carte ne nous parviennent jamais
Les coordonnées de carte vont directement de votre navigateur au module de paiement hébergé par Stripe. Nous conservons les identifiants Stripe ainsi que la marque, les quatre derniers chiffres et l'échéance — de quoi vous montrer quelle carte est enregistrée. Cela maintient le service dans le périmètre PCI le plus étroit qui soit.
Connexion et sessions
Vous vous connectez avec votre adresse électronique et un mot de passe. Amazon Cognito conserve le mot de passe sous forme d'empreinte salée que nous ne pouvons pas lire, et vérifie votre adresse en vous envoyant un code par courriel lorsque vous créez vous-même votre compte ou réinitialisez un mot de passe oublié. Seuls nos serveurs communiquent avec Cognito ; votre navigateur jamais. Lorsque la connexion avec Google ou Microsoft est proposée, elle utilise OpenID Connect et ne demande que votre nom et votre adresse. Une session est un enregistrement opaque côté serveur, référencé par un témoin httpOnly, qui expire après 14 jours d'inactivité et 30 jours dans l'absolu, révocable une à une ou toutes à la fois. Changer ou réinitialiser votre mot de passe met fin à toutes les autres sessions. Aucun identifiant n'est jamais placé dans le stockage local ni dans une URL, et chaque requête modifiante porte un jeton anti-falsification.
Qui d'autre y touche
Amazon Web Services héberge l'application, la base de données et vos fichiers ; OpenAI traite chaque appel de modèle, avec le stockage désactivé, et construit l'index de recherche ; Stripe encaisse les paiements ; Amazon SES envoie le courrier ; Microsoft 365 conserve ce que vous écrivez à support@ottersr.com. Voilà toute la liste, et chaque entrée précise ce qu'elle reçoit. Il n'y a aucune plateforme d'analyse d'audience, aucune publicité, aucun enregistrement de session et aucun module de clavardage — non par vertu, mais parce que nous n'en avons ajouté aucun.
Ce que nous n'avons pas fait
Ni SOC 2, ni ISO 27001, ni test d'intrusion indépendant. OtterSR est bâti par une très petite équipe et il n'y a pas de budget pour un audit payant avant d'avoir des revenus ; prétendre le contraire serait la chose la moins digne de confiance sur cette page. Ce que nous faisons à la place : une suite de tests inter-comptes automatisée, une analyse OWASP de base, des rôles infonuagiques à privilèges minimaux, et cette page tenue honnête. Lorsqu'un client institutionnel aura besoin d'un audit formel, c'est une conversation que nous voulons avoir.
Quelque chose vous semble anormal ?
Si vous pensez avoir trouvé un problème de sécurité, écrivez-nous avant d'écrire ailleurs. Nous accuserons réception rapidement et vous tiendrons informé. Nous n'avons pas de prime à offrir, seulement du crédit et de la gratitude.
support@ottersr.comVoir aussi les Conditions d'utilisation, la Politique de confidentialité, l<dpa>Avenant de traitement des données</dpa> et la <sub>liste des sous-traitants</sub>.