Due diligence prête avant la première démo.

Les lignes de sortie dans analysis_outputs sont chiffrées en AES-256-GCM avec isolation des clés par organisation. Les clés ne quittent jamais la couche applicative.

Les documents du client ne sont jamais persistés sur disque ou en base. Chaque analyse s'exécute en RAM et est détruite à la fin de session. Aucune fonction "supprimer les données client" n'existe car il n'y a pas de données client à supprimer.

Noms, identifiants (NIF/IBAN), adresses et e-mails sont remplacés par des tokens opaques avant tout appel LLM externe. Le modèle audite la structure en aveugle ; l'identité réelle ne franchit jamais la frontière.

Analyse d'impact sur la protection des données publiée en dix sections. Examinable par votre DPO avant même de demander une démo.

Ricardo González Álvaro, Calle Zorzaleño 15, La Raya del Palancar, Madrid, Espagne — quantumnexusventures@proton.me. Publié sur /privacy dans toutes les langues et enregistré dans la DPIA.

Chaque utilisateur déclare son barreau et son numéro (ICAB, CGAE, NY Bar, Law Society England & Wales, OAB, etc.) dans les paramètres. Horodaté dans le journal de consentements. Vérification API avec les principaux barreaux dans la roadmap.

Chaque analyse achevée est scellée par un hash SHA-256 de la sortie finale, un horodatage ISO 8601 et une signature HMAC avec clé par organisation. Toute altération postérieure rompt la vérification. Aucun réseau externe, aucun tiers.

Callbacks de jobs asynchrones signés HMAC-SHA256 dans l'en-tête X-Nexus-Signature. Calendrier de réessais replay-safe : 1m → 5m → 30m → 2h → 12h. Vérifiables avec votre clé secrète.

Suivi d'erreurs en production via Sentry (région UE). SLA : 99,5% Standard / 99,9% Enterprise. La violation déclenche un crédit automatique — sans ticket support.

Base de données sur Supabase eu-west-2. Application sur Railway europe-west4 (Pays-Bas). Toute la résidence des données reste dans l'UE. Aucune réplication cross-region hors UE.

RGPD + LOPDGDD (Espagne) + CCPA (Californie) + EU AI Act (cas d'usage juridiques à haut risque cartographiés) + UAE PDPL. Hooks de conformité intégrés à la plateforme, pas ajoutés a posteriori.

Les rapports de sécurité sont reçus à security@nexusquantum.legal. Nous nous engageons à accuser réception sous 72h et fournir un calendrier de remédiation sous 7 jours. Coordinated disclosure préférée.

Chaque citation législative dans une sortie porte le sceau [L4-N]. Le Plateau de Preuves expose un bouton de vérification en un clic : vert (correspondance littérale), ambre (le LLM a paraphrasé), rouge (citation absente du corpus), avertissement (article modifié). Les citations sont vérifiées contre le corpus de votre juridiction sous contrat ; chaque juridiction s'active sous contrat Premium.

Équivalent KeyCite / Shepard's pour chaque juridiction couverte. Chaque citation porte un badge de validité : vert (fait droit), ambre (distingué), rouge (renversé), noir (loi abrogée), gris (inconnu — confiance sous le seuil). Add-on Premium, activation par contrat par juridiction (5 ou 10 jours ouvrés).

L'infrastructure de Single Sign-On est construite et prête pour Enterprise. Compatible avec Okta, Azure AD, Google Workspace, OneLogin, Ping Identity et tout IdP SAML 2.0 standard. L'admin du cabinet colle le XML de métadonnées de son IdP dans l'onglet de configuration SSO ; l'équipe Nexus active le SSO pour le domaine d'entreprise ; chaque utilisateur du domaine voit le bouton « Se connecter avec SSO ». Isolé par domaine d'entreprise.

Les contrôles des Trust Service Criteria (Sécurité, Disponibilité, Confidentialité) sont live depuis mai 2026 : vendor register, risk register, journal d'incidents append-only, journal de changements. Période d'observation formelle prévue T3-T4 2026 ; rapport attendu T1 2027. Les clients Enterprise peuvent demander l'evidence packet sous NDA dès aujourd'hui.

L'authentification multifacteur est imposée sur les accès administratifs en production. Les actions privilégiées exigent un second facteur.

La sécurité au niveau des lignes impose une isolation stricte entre tenants ; les données d'un cabinet ne sont jamais accessibles depuis un autre. Cette isolation a été vérifiée propre lors de plusieurs audits indépendants.

Nous opérons un programme coordonné de divulgation des vulnérabilités avec un security.txt publié (RFC 9116). Les chercheurs peuvent signaler leurs découvertes via un canal documenté ; les rapports dans le périmètre sont triés et accusés.

Un tiers indépendant a réalisé un test d'intrusion dynamique (DAST) contre l'application en production. Les découvertes ont été corrigées ; un résumé est disponible sous NDA.

Chaque analyse produite par Nexus Legal est scellée. Une signature HMAC-SHA256 à clé rend chaque rapport inviolable de manière évidente, de sorte que toute modification après génération est détectable, et le sceau peut être re-vérifié à la demande par le système émetteur. Chaque sortie porte aussi un journal de gouvernance consignant les modèles utilisés, la version exacte du moteur de vérification qui l'a contrôlée et la décision approuver / réviser / bloquer, avec des marquages IA visibles et lisibles par machine sur chaque export.