1. Finalité du traitement
Pour l’analyse des documents PDF téléversés (cahiers des charges / appels d’offres), ISOCALCX utilise le modèle d’IA Claude Sonnet 5.5 via l’API Anthropic (Anthropic PBC, États-Unis). L’objectif est l’extraction de positions techniques d’isolation (calorifugeage, raccords, capots de robinets, isolation de gaines, positions de protection incendie). L’assistant chat/support, l’évaluation de photos (métré) et l’import de listes de prix continuent d’utiliser des modèles Claude via AWS Bedrock (UE Francfort).
Étapes du traitement
- Étape 1 – Téléversement : L’utilisateur téléverse un PDF (cahier des charges). Stocké sur des serveurs en Suisse (Infomaniak).
- Étape 2 – Pré-filtre (local) : Pré-filtrage côté serveur : seules les pages et sections de texte contenant des éléments pertinents pour l’isolation sont identifiées. Les pages non pertinentes (par ex. plans d’architecture, textes administratifs, listes de personnes) ne sont PAS transmises à l’IA.
- Étape 3 – Extraction de texte : Le texte est extrait des pages pré-filtrées (PyMuPDF / pdf-parse). Seuls des contenus textuels techniques sont traités.
- Étape 4 – Analyse IA : L’extrait PDF pré-filtré (uniquement les pages pertinentes) est transmis via l’API Anthropic à Claude Sonnet 5.5 (Anthropic PBC, États-Unis) pour l’extraction des positions. La transmission est chiffrée et repose sur les clauses contractuelles types (CCT) ou sur un cadre d’adéquation reconnu.
- Étape 5 – Post-traitement : Les résultats de l’IA sont filtrés côté serveur (filtre faux-positifs, 17 étapes), normalisés et validés. Seules les positions plausibles sont enregistrées.
- Étape 6 – Calcul des prix et révision : Les positions validées sont rapprochées du catalogue d’entreprise. L’utilisateur révise et corrige TOUS les résultats manuellement.
Aucune décision individuelle automatisée au sens de l’art. 21 nLPD / art. 22 RGPD n’est prise – l’IA sert exclusivement de système de suggestion.
2. Minimisation des données (pré-filtre)
La minimisation des données est la mesure technique centrale d’ISOCALCX. Nous ne transmettons pas l’ensemble du PDF à l’IA, mais uniquement la partie pertinente pour l’isolation.
- Pré-filtre (interne) : Avant chaque appel à l’IA, un pré-filtre déterministe (mots-clés + regex + contexte CFC) s’exécute. Il identifie les pages pertinentes et crée un PDF réduit ne contenant que ces pages. Les annexes contenant des données personnelles (par ex. listes d’adresses, répertoires d’architectes, fiches de contact) sont en règle générale filtrées avant que les données ne quittent la Suisse ou n’atteignent l’IA.
Principes de base
- Seules les pages pertinentes sont transmises (typ. 30–60 % du PDF d’origine)
- Les images, logos et plans ne sont pas évalués de manière ciblée ; un extrait PDF des pages pertinentes étant transmis, les graphiques de ces pages font partie de la transmission
- Pas de transmission de données de compte utilisateur, d’informations de connexion ou de données de prix
- Les champs sensibles (numéros de téléphone, adresses e-mail) ne sont pas activement exploités
Données transmises à l’IA
- Extrait PDF des pages pertinentes pré-filtrées (descriptions techniques, codes CFC, matériaux, dimensions, quantités)
- Pour les très gros documents : découpage en plusieurs parties, chacune complétée par des pages de contexte (remarques préliminaires, titres de section)
- Nom de fichier (à des fins d’association interne)
- Prompt d’analyse technique (ne contient aucune donnée utilisateur)
Données NON transmises
- Données personnelles d’utilisateur (nom, e-mail, adresse)
- Données de connexion ou d’authentification, mots de passe, jetons JWT
- Données de prix ou catalogue d’entreprise
- Données de paiement ou d’abonnement
- Métadonnées d’autres utilisateurs ou clients (isolation multi-tenant stricte)
- Pages PDF marquées comme non pertinentes par le pré-filtre
Mise en cache
Pour éviter les appels API redondants, les résultats d’analyse sont mis en cache localement sur le serveur ISOCALCX (Suisse) (hash SHA-256 du PDF comme clé). Lors d’une nouvelle analyse du même document, le résultat est chargé depuis le cache – sans que les données ne quittent à nouveau la Suisse.
3. Base légale
Le traitement du contenu des documents par ISOCALCX et la transmission aux sous-traitants reposent sur les bases légales suivantes :
- Art. 31 al. 2 lit. a nLPD – exécution du contrat : L’analyse assistée par IA est un élément central du service ISOCALCX. Le contrat d’utilisation couvre expressément l’analyse PDF automatique.
- Art. 6 par. 1 lit. b RGPD – exécution du contrat : Pour les utilisateurs de l’EEE, l’exécution du contrat constitue la base légale au titre du RGPD.
- Art. 19 nLPD / art. 13 RGPD – transparence : Les utilisateurs sont informés de l’utilisation de l’IA et de la transmission des données dans la politique de confidentialité, dans cette PIA et lors de l’inscription.
- Art. 9 nLPD / art. 28 RGPD – sous-traitance : Des DPA / contrats de sous-traitance sont en place avec les sous-traitants ; pour Anthropic PBC s’appliquent les conditions commerciales d’Anthropic, y compris ses conditions de traitement des données.
4. Sous-traitants
Pour l’exploitation de la plateforme ISOCALCX, les prestataires tiers suivants interviennent en qualité de sous-traitants. Un contrat de sous-traitance conforme à l’art. 28 RGPD / art. 9 nLPD est conclu avec les prestataires ; pour Anthropic PBC s’appliquent les conditions commerciales d’Anthropic, y compris ses conditions de traitement des données :
| Prestataire | Finalité | Types de données | Lieu | Base du transfert |
|---|---|---|---|---|
| Infomaniak Network SA | Hébergement serveur et base de données | Données de compte, projet, position, cache | Suisse | CH (pas de transfert hors UE/CH) |
| AWS Bedrock (modèles Claude) | IA pour l’assistant chat/support, l’évaluation de photos (métré), l’import de listes de prix | Saisies du chat, photos, contenus de listes de prix | UE – Francfort (eu-central-1), région de secours Irlande (eu-west-1) | Traitement au sein de l’UE (DPA en place) |
| Anthropic PBC | Évaluation IA des appels d’offres/devis téléversés (Claude Sonnet 5.5, API Anthropic) | Extrait PDF des pages pré-filtrées | États-Unis | CCT ou cadre d’adéquation reconnu (art. 46 RGPD / art. 16 nLPD) |
| Stripe Payments Europe Ltd. | Traitement des paiements | E-mail, informations de paiement | Irlande (UE) ; société mère Stripe Inc. aux États-Unis | Adéquat au sein de l’UE ; clauses contractuelles types (CCT) et cadre UE-États-Unis / Suisse-États-Unis (DPF) pour le transfert intragroupe vers les États-Unis |
| Brevo (SendInBlue) | Envoi d’e-mails système | Adresse e-mail, nom | UE (France) | Traitement au sein de l’UE (DPA en place) |
Une description détaillée de chaque sous-traitant avec les liens vers leurs notices de confidentialité figure dans la Politique de confidentialité (section 8).
5. Transferts hors UE/CH
ISOCALCX conçoit le flux de données de sorte que les transferts hors UE/CH restent limités à ce qui est nécessaire au service :
- UE (AWS Bedrock Francfort) : L’assistant chat/support, l’évaluation de photos (métré) et l’import de listes de prix fonctionnent sur des serveurs AWS à Francfort (eu-central-1). En cas de défaillance de cette région, le basculement s’opère automatiquement vers la seconde région UE, l’Irlande (eu-west-1) ; le traitement de ces fonctions demeure ainsi dans tous les cas au sein de l’UE. Un DPA avec AWS conforme à l’art. 28 RGPD est conclu ; AWS Bedrock n’utilise pas les données transmises pour l’entraînement des modèles.
- Suisse (Infomaniak) : L’ensemble des données de compte, projet, position et cache est stocké exclusivement en Suisse. La base de données ISOCALCX ne quitte pas la Suisse.
- États-Unis (Anthropic, Stripe) : L’évaluation par IA des appels d’offres/devis téléversés est effectuée par Anthropic PBC aux États-Unis ; l’extrait PDF pré-filtré est transmis à cette fin. Une transmission vers les États-Unis peut également avoir lieu pour le traitement des paiements. La base est constituée par les clauses contractuelles types (CCT, art. 46 RGPD) ou un cadre d’adéquation reconnu (p. ex. le Swiss-US Data Privacy Framework, dans la mesure où le destinataire est certifié). Les transmissions sont chiffrées (TLS 1.2+).
État de configuration actuel : secours Anthropic Direct (chat, évaluation de photos, listes de prix)
DÉSACTIVÉ — aucun traitement aux États-Unis pour ces fonctionsPour l’assistant chat/support, l’évaluation de photos et l’import de listes de prix, le secours Anthropic Direct (États-Unis) est DÉSACTIVÉ par défaut dans le système de production (ALLOW_ANTHROPIC_DIRECT_FALLBACK=false). En cas de panne de Bedrock dans eu-central-1 (Francfort), un basculement automatique vers la seconde région UE eu-west-1 (Irlande) est effectué. Indépendamment de cela, l’évaluation par IA des appels d’offres téléversés passe comme prévu par l’API Anthropic aux États-Unis (voir ci-dessus).
Le transfert de l’analyse PDF vers Anthropic (États-Unis) constitue un changement de sous-traitants ultérieurs au sens du DPA §6 al. 2 ; la déclaration de confidentialité et le DPA ont été adaptés en conséquence, et les clients concernés doivent être informés par écrit au moins 30 jours avant la prise d’effet.
6. Mesures techniques et organisationnelles (TOM)
Les TOM suivantes sont mises en œuvre pour atténuer les risques :
- Pré-filtre comme TOM centrale : Le pré-filtre côté serveur (cf. section 2) est la mesure principale de minimisation des données. Il réduit typiquement de 40 à 70 % le volume de données quittant la Suisse ou atteignant l’IA.
- Chiffrement : TLS 1.2+ pour toutes les transmissions (frontend ↔ backend ↔ AWS Bedrock / Anthropic). Argon2 pour le hachage des mots de passe. SHA-256 pour l’identification du cache.
- Contrôle d’accès : JWT en cookies HttpOnly, RBAC (admin / admin entreprise / utilisateur), isolation multi-tenant stricte, rotation des clés API via key-pool.
- Journalisation et surveillance : Journalisation Winston structurée, surveillance interne des erreurs (anonymisée), réponses IA partiellement (2000 premiers caractères) journalisées pour le débogage – les journaux du serveur et les journaux d’erreurs sont rotés et conservés 30 jours au maximum ; les journaux de sécurité relatifs aux connexions, y compris l’adresse IP, sont supprimés automatiquement après 30 jours.
- Routines de suppression : Les téléversements PDF temporaires chez AWS sont supprimés après traitement ; AWS Bedrock ne stocke pas le contenu de manière persistante. Chez Anthropic, la conservation des contenus transmis est régie par les conditions commerciales d’Anthropic. Les utilisateurs peuvent supprimer entièrement leur compte et leurs données à tout moment (immédiat, période de grâce de 30 jours ou anonymisation par hash SHA-256). La suppression intervient dans les systèmes productifs ; les copies de sauvegarde ne sont pas épurées individuellement, elles expirent au plus tard 30 jours après leur création et sont alors écrasées. Pendant ce délai, elles servent exclusivement à la restauration en cas d’incident. Si une sauvegarde doit être restaurée, la suppression est exécutée à nouveau immédiatement après la restauration.
Une documentation TOM complète ainsi que le registre des activités de traitement conformément à l’art. 12 nLPD / art. 30 RGPD sont tenus en interne et peuvent être consultés sur demande par les autorités ou dans le cadre d’une revue DPA.
7. Évaluation des risques
Risques de protection des données identifiés, probabilité résiduelle après atténuation et mesures prises :
| Risque | Niveau | Mesures d’atténuation | Risque résiduel |
|---|---|---|---|
| Transmission de données commerciales à un sous-traitant IA Les cahiers des charges peuvent contenir des informations commerciales sensibles (quantités, spécifications matérielles, détails du projet). | Moyen |
| Risque résiduel : les secrets commerciaux (quantités, prix) figurent dans le PDF et sont nécessaires à l’analyse – une anonymisation totale n’est pas possible. |
| Transfert hors UE (États-Unis, analyse PDF) Pour l’évaluation par IA, l’extrait PDF pré-filtré des appels d’offres téléversés est transmis à Anthropic aux États-Unis. | Moyen |
| Risque résiduel : l’accès des autorités américaines au titre de FISA 702 / CLOUD Act ne peut être totalement exclu selon l’arrêt « Schrems II » de la CJUE. |
| Résultats IA erronés Des positions extraites de manière incorrecte pourraient entraîner des calculs erronés. | Moyen |
| Risque résiduel : les modèles d’IA sont non déterministes ; des hallucinations isolées sont possibles. La responsabilité du contrôle final incombe à l’utilisateur. |
| Données personnelles dans les cahiers des charges Les PDF peuvent contenir occasionnellement des noms de personnes ou des coordonnées (par ex. chefs de projet, architectes). | Faible |
| Risque résiduel : des données personnelles isolées dans du texte technique peuvent théoriquement parvenir à l’IA. |
| Interception lors de la transmission Attaque de type « man-in-the-middle » ou manipulation en transit. | Faible |
| Risque résiduel : non maîtrisable par ISOCALCX si les terminaux utilisateurs sont compromis (avant TLS). |
| Accès non autorisé aux résultats d’analyse Des tiers pourraient accéder aux positions stockées. | Faible |
| Risque résiduel : en cas de compromission des identifiants utilisateur, la séparation des clients n’offre qu’une protection limitée. |
8. Risques résiduels et communication honnête sur les risques
ISOCALCX met en œuvre des mesures techniques et organisationnelles étendues. Toutefois, nous communiquons ouvertement qu’aucun système numérique ne peut garantir une sécurité à 100 %. Les risques résiduels suivants subsistent :
- Hallucinations IA : Les modèles de langage utilisés (Claude Sonnet 5.5 pour l’analyse PDF, modèles Claude via AWS Bedrock pour les autres fonctions IA) sont des LLM non déterministes. Des positions individuelles peuvent être extraites de manière incorrecte ou inventées. Le contrôle final relève de l’utilisateur – la plateforme assiste mais ne remplace pas un contrôle final spécialisé.
- Accès des autorités américaines (Schrems II) : Lors de l’évaluation par IA des appels d’offres par Anthropic (États-Unis), l’accès des autorités au titre de FISA 702 / CLOUD Act ne peut être totalement exclu juridiquement, même avec des CCT ou un cadre d’adéquation.
- Mises à jour de modèles chez le prestataire : AWS et Anthropic peuvent mettre à jour leurs modèles. ISOCALCX vérifie les changements de modèle mais ne peut pas empêcher les changements de comportement.
- Le pré-filtre est heuristique : Le pré-filtre est basé sur des règles. Dans certains cas, des pages pertinentes peuvent être omises ou des pages non pertinentes transmises. Nous minimisons le risque mais ne l’éliminons pas.
- Sécurité des terminaux : Les vulnérabilités sur le terminal de l’utilisateur (logiciels malveillants, navigateur compromis) sont hors du périmètre d’influence d’ISOCALCX.
Nous considérons la protection des données non comme une promesse marketing, mais comme un travail continu sur les risques. Le niveau de sécurité et de confidentialité est révisé et amélioré en permanence.
9. Résultat de l’évaluation
Évaluation globale : risque de protection des données acceptable
Compte tenu des mesures techniques et organisationnelles décrites – en particulier le pré-filtre, l’hébergement des données en Suisse et les garanties de transfert pour l’évaluation par IA aux États-Unis – le risque de protection des données de l’analyse documentaire assistée par IA est jugé acceptable. Une AIPD complète conforme à l’art. 22 nLPD n’est pas requise ; la présente PIA documente néanmoins le traitement de manière transparente.
Cette appréciation repose sur les facteurs suivants :
- Type de données : Les descriptions techniques de construction sont majoritairement traitées. Les données personnelles sont marginales.
- Minimisation des données : Le pré-filtre réduit typiquement de 40 à 70 % le volume de données transmises.
- Pas de décisions automatisées : Les résultats IA sont des suggestions ; validation finale par l’utilisateur.
- Garanties contractuelles : Contrats ou conditions de traitement des données avec tous les sous-traitants ; aucune utilisation pour l’entraînement des modèles (chez Anthropic, conformément aux conditions commerciales d’Anthropic).
- Hébergement des données en Suisse : Les données de compte et de projet sont stockées en Suisse ; pour l’évaluation par IA, seul l’extrait PDF pré-filtré est transmis à Anthropic (États-Unis).
- Droits des personnes concernées : Suppression intégrale, anonymisation et exportation possibles à tout moment.
10. Révision et mise à jour
Cette analyse d’impact sur la protection des données est révisée au moins une fois par an, ainsi que lors de modifications substantielles du pipeline IA, des modèles utilisés ou des sous-traitants, et mise à jour si nécessaire.
Les modifications sont publiées sur cette page. En cas de changements substantiels de l’évaluation des risques, les utilisateurs enregistrés sont informés par e-mail.
11. Contact
Pour toute question relative à cette analyse d’impact ou au traitement des données dans le cadre de l’analyse IA, veuillez nous contacter :