Registre des risques assumés

Dernière mise à jour : 2026-10-02

Ce document détaille les risques relatifs aux données personnelles identifiés et assumés par GELOC, avec les mesures prises. Il ne constitue pas une analyse d'impact au sens de l'article 35 du RGPD.

Risque #1 — DeepSeek (LLM Chine) — RETIRÉ le 2026-06-29

• Statut : résolu. DeepSeek (siège : République Populaire de Chine) a été entièrement retiré du pipeline le 2026-06-29 — client API, sélecteurs de modèles et mécanisme de rollback supprimés du code. Plus aucun appel à un sous-traitant établi en Chine n'est effectué dans l'analyse.
• Remplacement : la couche « texte pur » (extraction L1, split, briefings, synthèse RAG) a été confiée à Mistral Small 4 (Mistral AI, siège Paris, UE) du 2026-06-29 au 2026-08-31. Depuis, elle est servie par Google Gemini Flash-Lite : le modèle Mistral concerné n'est plus accessible au palier d'abonnement du compte (constaté le 2026-09-12), et le repli prévu a pris le relais. Mistral AI reste sous-traitant pour l'OCR des PDF, inchangé.
• Ce que cela change sur la localisation des traitements : le retrait de DeepSeek (Chine) reste acquis et définitif. En revanche, GELOC ne revendique pas de résidence des traitements dans l'Union européenne pour la couche d'analyse : hors OCR, les modèles utilisés sont opérés par des sous-traitants américains (Google, OpenAI, Anthropic), encadrés par les clauses contractuelles types et, le cas échéant, le Data Privacy Framework.
• Historique conservé (traçabilité AIPD) : DeepSeek était précédemment utilisé pour le workflow Quick Scan (extraits de documents déjà parsés, jamais pour les livrables finaux), sous kill-switch et restriction d'usage. Bench interne (2026-06-29) : Mistral Small ≈ Gemini en qualité et >> DeepSeek → le retrait est un gain qualité et conformité, sans compromis.
• Sous-traitants LLM restants (voir le registre des sous-traitants) : Google (Gemini), OpenAI (GPT-5.6, en production sur la détection et sur le copilote) et Anthropic (Claude) — États-Unis, encadrés par les clauses contractuelles types / Data Privacy Framework — et Mistral AI (UE), pour l'OCR. Plus aucun sous-traitant hors zone d'adéquation de type « transfert vers la Chine » dans le pipeline.

Risque #2 — Pseudonymisation de l'audit log lors du RTBF

L'article 17 RGPD (droit à l'effacement) entre en tension avec l'obligation de traçabilité (audit log immuable, généralement conservé 5 ans). GELOC tranche en faveur d'une pseudonymisation du user_id (passage à l'UUID nul) plutôt qu'une suppression complète de la ligne d'audit. Cela permet de conserver la trace des opérations sans permettre de remonter à l'utilisateur.

Cette pseudonymisation est techniquement implémentée via une fonction SQL SECURITY DEFINER qui bypasse le trigger BEFORE UPDATE de l'audit log. C'est le seul cas autorisé de modification d'une ligne d'audit log ; cette fonction est verrouillée à service_role et appelée uniquement depuis le endpoint /api/user/account/delete.

Risque #3 — Conservation des dossiers sans suppression automatique

Les données d'un dossier restent accessibles au moins 12 mois après son premier lancement, et GELOC n'a pas mis en place de suppression automatique à l'issue de ce délai. Les documents d'un dossier peuvent contenir des données de tiers (vendeurs, locataires, dirigeants) qui restent donc conservées tant que le client ne supprime pas le dossier.

Mesures : la durée est dite telle quelle dans les CGU, le DPA et la politique de rétention ; le client, responsable de traitement pour ces données, supprime un dossier à tout moment depuis l'interface, ou en demande la suppression, faite sous 30 jours ; à la clôture du compte, GELOC restitue ou supprime les données sous 30 jours.

Contact

Toute question : orpheo@geloc.eu