Les pièces, datées, que vous pouvez verser à votre dossier
Un cabinet ne prouve pas sa conformité avec une plaquette. Il la prouve avec des documents datés, un registre à jour et un outil qui refuse de mal faire. Voici les trois.
Registre version 1.2 du 28 septembre 2026 · DPA Mistral en vigueur du 27 juillet 2026 · zero data retention vérifié le 23 septembre 2026
Le DPA de Mistral ne se signe pas. Voici ce qui le remplace.
Ce que Mistral ne fera pas
Mistral n'établit pas d'accord de sous-traitance signé en propre pour un client au tarif à l'usage. Son Data Processing Addendum est un addendum contractuel unilatéral, incorporé par référence aux conditions commerciales : il s'applique de plein droit, il se met à jour sans signature, et il n'existe pas d'exemplaire paraphé à produire.
Un cabinet qui exige un contrat signé de sa main avec le fournisseur d'inférence n'obtiendra pas gain de cause à ce tarif. C'est une raison, parmi d'autres, d'aller vers l'offre Souverain, où l'inférence tourne sous contrat dédié.
Ce qui vaut, à la place
- Le DPA en vigueur, archivé daté. Version du 27 juillet 2026, consultée et archivée le 23 septembre 2026 : rôles, sécurité, sous-traitants ultérieurs, notification de violation, audit, suppression.
- La preuve d'activation du zero data retention sur l'organisation qui traite vos documents, relevée dans la console d'administration, datée, avec le fil de la demande.
- Le registre des sous-traitants ci-dessous, tenu dans le code du service et publié : toute modification est horodatée et opposable.
- Une attestation par document traité, générée automatiquement, qui reprend tout cela au moment précis du traitement.
Trois mécanismes plutôt que trois paragraphes
Le service refuse de traiter sans zero data retention
Sans conservation zéro déclarée et vérifiée sur le compte d'inférence, le serveur n'envoie aucun texte en clair et renvoie une erreur explicite. Ce n'est pas un réglage d'interface : c'est un verrou posé au point exact où la donnée sortirait. Sans lui, Mistral conserverait entrées et sorties trente jours glissants — incompatible avec l'article 66-5 de la loi du 31 décembre 1971.
Chaque document repart avec son attestation
Une page en Word, établie à la fin du traitement : empreinte du fichier, ce qui est sorti du serveur et vers qui, ce qui a été conservé, sous quel contrat, avec le registre en annexe. Elle ne contient aucune donnée du document — ni nom, ni extrait — et se transmet donc telle quelle à un client ou à un bâtonnier.
L'état réel est public, en continu
L'espace de traitement affiche l'état de conformité lu sur le serveur lui-même : fournisseur, point d'accès, zero data retention et date de sa dernière vérification, registre. Si une vérification vieillit, l'écran le dit. Ce qui est affiché est ce qui est en vigueur, pas ce qui a été écrit une fois.
Qui intervient, à quel rang, sous quel droit
Rang 1 : nos sous-traitants directs. Rang 2 : les sous-traitants ultérieurs de Mistral AI, relevés sur son Trust Center le 23 septembre 2026. Version 1.2 du registre (28 septembre 2026 : ajout de la sauvegarde chiffrée chez OVH). Plausible retiré le 29 septembre 2026 : la mesure d'audience du site est faite par nos propres serveurs.
| Intervenant | Rang | Rôle | Donnée reçue | Pays | Droit | Cadre |
|---|---|---|---|---|---|---|
| DEFILABLE SAS (Caviardeur) | 1 | Éditeur du service | Original en mémoire vive ; anonymisé et table chiffrés | France | français | CGU, CGV, accord de sous-traitance |
| Mistral AI SAS | 1 | Détection, OCR, contrôle résiduel | Texte en clair, le temps de l'appel, sans conservation | France — inférence UE | français | DPA du 27/07/2026 ; zero data retention activé |
| Clever Cloud SAS | 1 | Hébergement et stockage chiffré | Anonymisé et table chiffrés ; jamais l'original | France — Paris | français | Contrat d'hébergement, DPA, ISO 27001:2022 |
| OVH SAS | 1 | Sauvegarde quotidienne | Copies chiffrées par nous avant l'envoi : rien de lisible, pas même un nom ; 14 jours | France — Gravelines | français | Conditions Public Cloud, annexe données personnelles |
| Stripe Payments Europe | 1 | Paiement | Données de facturation ; aucun document | Irlande | européen | PCI DSS, DPA Stripe |
| Microsoft Inc. (Azure) | 2 | Infrastructure d'inférence de Mistral | Texte en clair transitant par l'inférence, sans conservation | Suède, Norvège | américain | Sous-traitant ultérieur, sous DPA Mistral |
| CoreWeave Inc. | 2 | Capacité d'inférence pour Mistral | Texte en clair transitant par l'inférence, sans conservation | Espace économique européen | américain | Sous-traitant ultérieur, sous DPA Mistral |
| Mistral Compute | 2 | Infrastructure d'inférence de Mistral | Texte en clair transitant par l'inférence, sans conservation | France | français | Sous-traitant ultérieur, sous DPA Mistral |
| Cloudflare, Kong, CrowdStrike, Wiz, Sentry | 2 | Routage, sécurité de l'API, supervision chez Mistral | Métadonnées d'appel ; le contenu ne leur est pas destiné | EEE et mondial | américain | Sous-traitants ultérieurs, sous DPA Mistral |
Toute modification de cette liste est notifiée trente jours à l'avance aux cabinets abonnés, qui peuvent s'y opposer et résilier sans frais.
Ce que le droit américain change, et ce qu'il ne change pas
Aucune donnée issue de vos documents ne quitte l'Union européenne, ni en clair ni pseudonymisée. Mais deux des infrastructures sur lesquelles Mistral fait tourner son inférence appartiennent à des sociétés de droit américain (Microsoft, CoreWeave), même quand les serveurs sont en Suède, en Norvège ou ailleurs dans l'Espace économique européen. Le CLOUD Act vise les sociétés, pas les frontières : le dire est la seule position tenable devant un délégué à la protection des données qui lira le Trust Center de Mistral.
Ce que cela change en pratique : rien, tant que les appels sont sans conservation — il n'y a aucune donnée stockée à réquisitionner, seulement un flux chiffré le temps d'une réponse. Ce que cela ne résout pas : l'exigence, chez certains cabinets, qu'aucune société soumise au droit américain n'intervienne à aucun titre. Pour ceux-là, l'offre Souverain déploie le service et l'inférence sur une plateforme qualifiée SecNumCloud, sous contrat dédié.
La clause à insérer
Projet de clause, à adapter à votre pratique et à faire relire. Elle informe le client de l'usage d'un outil d'IA sur ses pièces, en indiquant ce qui protège le secret.
« Le Cabinet peut recourir à des outils d'intelligence artificielle pour l'analyse et la rédaction d'actes. Les pièces confiées par le Client sont préalablement anonymisées : les données permettant d'identifier le Client, ses cocontractants et les tiers sont remplacées par des codes neutres avant toute transmission à un prestataire. La table de correspondance permettant de rétablir ces données n'est accessible qu'au Cabinet. Les prestataires concernés sont établis dans l'Union européenne, sont liés par un accord de sous-traitance au sens de l'article 28 du règlement (UE) 2016/679, et ne conservent pas les données transmises. Le Cabinet demeure seul responsable du contenu des actes produits. »
Ce que contient le kit conformité
Un dossier Word d'une quinzaine de pages, daté, et son annexe. Il est établi à partir du service lui-même : le registre qu'il contient est celui que le serveur applique, pas une copie écrite une fois.
1 à 2 · Ce qu'il faut savoir en une page
Le tableau « qui voit quoi », puis la correspondance point par point avec les cinq obligations du guide CNB de mars 2026 et son critère sur la nationalité de l'hébergeur.
3 · Le cadre contractuel avec Mistral
Le DPA en vigueur du 27 juillet 2026 résumé article par article : rôles, modération des abus, sous-traitants, violation, audit, suppression. Et pourquoi il ne se signe pas.
4 · Le zero data retention
Ce qu'il couvre et ce qu'il exclut, l'état relevé dans la console d'administration à date, la preuve archivée, et le verrou qui interdit au service de s'en passer.
5 à 7 · Registre, droit américain, hébergement
Les sous-traitants de rang 1 et 2, ce que le CLOUD Act change et ne change pas, et les deux niveaux d'hébergement.
8 à 10 · Attestation, RGPD, clause
Ce que le cabinet reçoit à chaque document, les rôles, durées et droits au sens de l'article 28, et la clause type pour la convention d'honoraires.
11 · Ce que le dossier ne couvre pas
Les limites déclarées : relecture des textes juridiques en cours, mesures de performance encore établies sur des documents fictifs, offre Souverain non déployée.
Annexe : un exemplaire de l'attestation de traitement, pour savoir à quoi elle ressemble avant de s'engager. Le dossier peut être établi au nom du cabinet.
Besoin du dossier complet ?
Les pièces datées, dans un dossier prêt à verser, avec la personne à qui poser les questions.