Sécurité, données et hébergement : comment Palmio protège vos dossiers

Un mémoire technique décrit vos méthodes, un bordereau donne vos prix, et vos références nomment vos clients. Palmio héberge ces données dans l'Union européenne, les isole par client et trace chaque accès sensible. La section sur la souveraineté indique aussi ce qui n'est pas encore en place.

Note de transparence · mise à jour en octobre 2026 · par l'équipe Palmio

Au sommaire

Hébergement et localisation des données
Isolation stricte par client
Chiffrement, accès et authentification
Traçabilité et RGPD
Sous-traitant d'intelligence artificielle
Souveraineté : où nous en sommes
Signaler une vulnérabilité
Questions fréquentes

1. Les données sont hébergées à Francfort, dans l'Union européenne

Les données de Palmio sont hébergées dans l'Union européenne, dans un centre de données situé à Francfort, chez un hébergeur cloud qui opère en UE. Les données au repos restent dans l'Union européenne, et le traitement est conforme au RGPD. Seule la rédaction par intelligence artificielle passe par un prestataire situé aux États-Unis, comme l'explique la section 5. Les polices et les ressources du site sont servies depuis notre propre domaine, sans appel à un service externe.

Éditeur français, hébergement européen : Palmio est édité par AI MENTOR, SASU immatriculée à Paris, et ses données sont hébergées en Allemagne. La nationalité de l'éditeur et le lieu d'hébergement sont deux informations distinctes, et nous donnons les deux.

2. Chaque client dispose d'un espace isolé

Entre clients, l'isolation des données est stricte : une organisation ne voit jamais les appels d'offres, les références ni les réponses d'une autre. Aucune donnée n'est partagée entre organisations ni transmise à des tiers à des fins commerciales.

3. Les échanges sont chiffrés et les accès cloisonnés par rôle

Transport chiffré Tout le trafic passe en HTTPS, avec HSTS activé et des en-têtes de sécurité stricts (CSP, protection contre le détournement de page).

Secrets chiffrés Les configurations sensibles (jetons d'intégration, paramètres SSO) sont chiffrées au repos.

Rôles et permissions Quatre rôles métier (administrateur, commercial, rédacteur, manager) limitent chacun l'accès au strict nécessaire.

Double authentification L'authentification à deux facteurs est disponible, et la connexion unique d'entreprise (SSO, SAML et OIDC) est proposée aux organisations qui l'exigent.

4. Les actions sensibles sont tracées, dans le respect du RGPD

Les accès et les actions sensibles sont tracés dans un journal d'audit. Le journal des connexions est conservé 90 jours par défaut, puis purgé automatiquement, selon le principe de minimisation. Les adresses IP peuvent y être remplacées par une empreinte (hachage). Au sens du RGPD, vous restez responsable du traitement de vos données, et Palmio agit comme sous-traitant.

5. Anthropic assure la génération, sans entraîner de modèle sur vos données

Palmio rédige les documents avec l'API d'Anthropic (Claude), sous un accord de traitement des données qui encadre l'usage de vos contenus.

Vos données ne servent pas à entraîner de modèle : elles sont utilisées uniquement pour produire les documents que vous demandez.
Les données identifiantes sont pseudonymisées avant l'envoi : les adresses e-mail, les téléphones, les numéros SIRET et de TVA, les IBAN, l'identité de votre entreprise et les personnes citées avec leur civilité sont remplacés par des marqueurs, puis restitués dans le document. Le contenu des marchés et le nom des acheteurs, déjà publics, sont transmis tels quels.
Le traitement a lieu aux États-Unis, chez Anthropic, avec un transfert encadré par les clauses contractuelles types de la Commission européenne.

6. Souveraineté : ce qui est en place, et ce qui ne l'est pas encore

Un RSSI vérifie d'abord où sont les données, puis si leur hébergement porte la qualification SecNumCloud. Palmio coche aujourd'hui la première case, et pas encore la seconde.

Aujourd'hui, Palmio est hébergé dans l'Union européenne et conforme au RGPD. Ce cadre convient à la très grande majorité des marchés publics et privés, y compris pour des données d'entreprise sensibles comme vos réponses et vos prix.

Palmio n'est pas encore qualifié SecNumCloud. Depuis le décret n°2026-272 du 14 avril 2026, cette qualification est requise pour certains marchés d'État, pour leurs opérateurs et pour des données sensibles. Si votre cahier des charges l'exige, nous nous engageons à déclencher une migration vers un hébergement qualifié SecNumCloud, en gardant le service opérationnel pendant la transition.

La rédaction par intelligence artificielle est traitée aux États-Unis. Les données identifiantes sont pseudonymisées avant l'envoi, et le transfert est encadré par les clauses contractuelles types. Un traitement de ces requêtes dans l'Union européenne est à l'étude.

Pour un marché public de services classique, un marché privé ou un besoin de staffing, l'hébergement européen conforme au RGPD convient. Si un marché d'État à données sensibles impose SecNumCloud dans son cahier des charges, parlons-en avant la remise des offres pour planifier la migration.

7. Vous avez découvert une vulnérabilité ?

Écrivez-nous : nous pratiquons la divulgation responsable. Un point de contact sécurité est publié, notre fichier security.txt suit le standard RFC 9116, et la démarche est décrite dans notre politique de divulgation des vulnérabilités.

Questions fréquentes

Où sont hébergées les données de Palmio ?

Elles sont hébergées dans l'Union européenne, dans un centre de données situé à Francfort, chez un hébergeur cloud qui opère en UE. Les données au repos restent dans l'Union européenne, et le traitement est conforme au RGPD. Seule la rédaction par intelligence artificielle passe par l'API d'Anthropic, aux États-Unis, après pseudonymisation des données identifiantes.

Palmio est-il qualifié SecNumCloud ?

Pas à ce jour. Palmio est hébergé dans l'Union européenne et conforme au RGPD, ce qui couvre la très grande majorité des marchés publics et privés. Depuis le décret n°2026-272, la qualification SecNumCloud est requise pour certains marchés d'État et pour des données sensibles. Si un client l'exige dans son cahier des charges, nous nous engageons à migrer vers un hébergement qualifié SecNumCloud, en gardant le service opérationnel pendant la transition.

Mes données servent-elles à entraîner une intelligence artificielle ?

Non. Vos réponses, vos références et vos prix ne servent à entraîner aucun modèle. Palmio génère les documents avec l'API d'Anthropic (Claude), sous accord de traitement, sans réutilisation de vos données pour l'entraînement. Les requêtes sont traitées aux États-Unis, après pseudonymisation des données identifiantes.

Comment les données sont-elles isolées entre clients ?

Chaque client a son propre espace, et l'isolation est stricte : une organisation ne voit jamais les données d'une autre. Les accès dépendent du rôle de chaque utilisateur et sont tracés dans un journal d'audit.

À lire aussi

Vous avez un doute sur la sécurité ou l'hébergement ?

Envoyez-nous votre questionnaire de sécurité : nous le remplissons, et nous organisons si besoin un échange technique avec votre RSSI.

Nous contacter

Les informations de cette page décrivent l'état de la plateforme à la date de mise à jour et peuvent évoluer. Pour un besoin de conformité spécifique, contactez-nous pour obtenir les éléments contractuels à jour.