Se connecterS'inscrire
S'inscrire

Souveraineté

Notre définition de la souveraineté

Pour ANCRALE, la souveraineté se prouve. Elle tient en quatre engagements, dont cette page donne la preuve :

  • 1. Les documents que vous déposez dans le service sont traités en France, sur l'infrastructure de Scaleway (région de Paris), société de droit français (voir « Votre chaîne de traitement »).
  • 2. Un éditeur et un contrat de droit français : le service est édité par ANCRALE, société de droit français, sous un contrat soumis au droit français (voir « Juridiction de l'infrastructure »).
  • 3. Ces documents ne sont pas conservés durablement : ils sont effacés automatiquement, au plus tard 24 heures après leur dépôt, et dans les délais plus courts en vigueur indiqués ci-dessous, qu'un traitement ait été lancé ou non. Ce que nous ne détenons plus, nous ne pouvons le remettre à personne (voir « Effacement des documents » et « Protection contre l'accès des autorités d'un pays tiers »).
  • 4. Vous restez libres : l'export de vos données et le changement de fournisseur sont gratuits (voir « Votre liberté de partir »).

Ces engagements portent sur les documents que vous déposez dans le service. Le paiement, qui ne porte sur aucun document, est assuré par un prestataire établi dans l'Union européenne.

Juridiction de l'infrastructure

  • Éditeur du service : ANCRALE, société par actions simplifiée de droit français, 61 rue de Lyon, 75012 Paris, RCS Paris 109 497 354.
  • Hébergeur du service : Scaleway SAS, société de droit français, 8 rue de la Ville-l'Évêque, 75008 Paris, RCS Paris 433 115 904. L'infrastructure du service est située dans sa région de Paris.
  • Lieu de traitement des données traitées dans le service : France.
  • Droit applicable au contrat : droit français.

Effacement des documents

Les documents et les textes saisis dans le service ne sont pas conservés durablement. Le contrat fixe un plafond : leur effacement automatique au plus tard 24 heures après leur dépôt ou leur saisie (article 3 des CGU). Les délais en vigueur sont les suivants :

  • effacement 15 minutes après la fin de chaque traitement (16 minutes au plus) ;
  • effacement 240 minutes après le dépôt lorsque aucun traitement n'est lancé ;
  • lien de téléchargement du fichier produit valable 10 minutes ; son téléchargement n'avance pas l'effacement ;
  • contrôle régulier qui supprime tout résidu.

Protection contre l'accès des autorités d'un pays tiers

  • Les documents ne sont pas conservés durablement : passé les délais d'effacement ci-dessus, ANCRALE n'en conserve aucune copie qu'elle pourrait communiquer.
  • Les données que le service conserve, notamment les données de compte et de l'organisation, la Trace d'audit (métadonnées techniques des traitements, dont des empreintes cryptographiques, sans le contenu ni le nom des documents) et les journaux d'accès, restent détenues par ANCRALE pendant les durées indiquées dans la politique de confidentialité ; les engagements ci-dessous s'y appliquent.
  • Si une autorité d'un pays tiers demande l'accès à des données d'un client, ANCRALE en informe le client avant d'y donner suite, sauf lorsque la demande sert des fins répressives et aussi longtemps que cela est nécessaire pour préserver l'efficacité de l'action répressive ; elle ne communique que le minimum de données nécessaire.
  • Conformément à l'article 32 du règlement (UE) 2023/2854, ANCRALE ne donne suite à la demande d'une autorité d'un pays tiers portant sur des données d'un client que si elle se fonde sur un accord international ou si les conditions de cet article sont réunies et, pour les données personnelles, dans le respect du chapitre V du RGPD, notamment de son article 48.
  • Mesures techniques et organisationnelles : celles de l'annexe 2 du DPA, notamment le chiffrement des échanges, la séparation des données de chaque organisation, le contrôle des accès et la journalisation, ainsi que l'absence de conservation durable des documents.

Votre chaîne de traitement

Qui traite quoi, où et sous quel droit, par type de données :

  • Documents : hébergement de l'infrastructure du service par Scaleway SAS, en France, société de droit français ; aucun service d'intelligence artificielle tiers ne les traite.
  • Données de compte et du service, dont la Trace d'audit et les journaux d'accès : hébergées par Scaleway SAS, en France, société de droit français, sur la même infrastructure ; conservées selon la politique de confidentialité.
  • Courriels du service : envoyés par Scaleway SAS, en France, société de droit français.
  • Paiement et factures des offres souscrites en ligne : un prestataire de paiement établi dans l'Union européenne (Irlande), qui ne reçoit aucun document ; le détail figure dans la politique de confidentialité.
  • Devis et factures de l'offre Intégral : une plateforme de facturation électronique établie en France, qui ne reçoit aucun document ; le détail figure dans la politique de confidentialité.
  • Site www.ancrale.fr : hébergé par OVH SAS, en France, société de droit français ; sa mesure d'audience est un outil qu'ANCRALE exploite elle-même sur un serveur d'OVH SAS situé en France.

Sous-traitants ultérieurs (clause 5 du DPA) : Scaleway SAS (France, région de Paris), pour l'hébergement de l'infrastructure du service, sur laquelle les documents sont traités, et l'envoi des courriels du service ; aucun transfert hors de l'Union européenne. Tout ajout ou remplacement est notifié aux clients selon la clause 5 du DPA.

Votre liberté de partir

Le client obtient sans frais l'export de ses données exportables, en libre-service lorsque le service le propose, sinon sur demande à contact@ancrale.fr dans un délai raisonnable, et, en cas de changement de fournisseur, dans les conditions de l'article 11 des conditions générales de vente. Le changement de fournisseur, le transfert et l'effacement des données sont sans frais. Registre des formats d'export :

  • Données du compte et de l'organisation, dont les paramètres de l'organisation : JSON (RFC 8259, UTF-8) : l'identifiant de l'organisation, la nature et l'échéance de son abonnement ; pour chaque utilisateur, ses outils favoris et ses préférences d'affichage.
  • Liste des utilisateurs : JSON (RFC 8259, UTF-8) : pour chacun, son identifiant, son adresse électronique, son nom et son prénom.
  • Rôles des utilisateurs : JSON (RFC 8259, UTF-8).
  • Historique des traitements (métadonnées, sans contenu) : JSON (RFC 8259, UTF-8).
  • Trace d'audit et événements de sécurité des connexions : JSON (RFC 8259, UTF-8).
  • Événements d'activation : JSON (RFC 8259, UTF-8).
  • Consommation des quotas : JSON (RFC 8259, UTF-8).
  • Tableau de bord d'usage, pour les offres qui le comportent : CSV (RFC 4180, UTF-8).
  • Factures : PDF, tel qu'émis par le prestataire de paiement pour les offres souscrites en ligne ; les factures de l'offre Intégral sont émises par l'intermédiaire d'Indy.

L'export en libre-service est une archive ZIP (ISO/IEC 21320-1), propre à l'utilisateur qui le demande, qui contient les fichiers JSON (RFC 8259) suivants, encodés en UTF-8 ; les dates et heures y suivent la norme ISO 8601 :

  • L'historique des traitements : pour chacun, son identifiant (UUID, RFC 9562), l'outil utilisé, son statut, la date et l'heure de sa création et celles de sa fin ; ni le nom, ni les paramètres, ni le contenu du document.
  • La Trace d'audit et les événements de sécurité des connexions : pour chaque événement, son identifiant (UUID, RFC 9562), son type, sa date et heure, l'identifiant pseudonymisé de son auteur et ses données techniques (objet JSON).
  • Les événements d'activation : pour chacun, son identifiant, l'étape de prise en main atteinte, sa date et heure et ses données techniques (objet JSON, éventuellement vide).

Les mêmes données pour les autres utilisateurs de l'organisation, ainsi que les autres données du registre, sont fournies au client sur demande, dans les formats indiqués ci-dessus.

La description détaillée des champs de chaque export, de leur type et de leurs valeurs possibles est jointe à chaque export et consultable, à jour, dans l'application ; elle est fournie sur demande au client et aux tiers qu'il autorise.

Les documents ne sont pas exportables : ils sont effacés automatiquement. Les données propres au fonctionnement interne d'ANCRALE (code, configuration de l'infrastructure, métriques internes) sont exclues.

Certifications

Au 16 octobre 2026, Scaleway est titulaire de la certification ISO/IEC 27001, dans le périmètre de son certificat, et est engagée dans la qualification SecNumCloud de l'ANSSI pour son offre « Scaleway SecNumCloud », qu'elle n'a pas obtenue. Le service Ancrale ne revendique aucune qualification SecNumCloud, et ANCRALE ne détient pas de certification propre.

À propos de cette page

Cette page est un document d'information, tenu à jour, auquel renvoient les conditions générales ; elle n'est pas un document contractuel. Elle répond aux articles 26 et 28 du règlement (UE) 2023/2854 sur les données (« Data Act ») : juridiction de l'infrastructure, mesures contre l'accès illicite des autorités d'un pays tiers et registre des formats d'export. Elle publie aussi la liste des sous-traitants ultérieurs prévue à la clause 5 du DPA. Les quatre engagements de la première section reprennent ceux du contrat, qui seul fait foi : article 15 des CGV et clause 6 du DPA pour le lieu de traitement, article 18 des CGV pour le droit applicable, article 3 des CGU pour l'effacement, articles 11 et 12 des CGV pour l'export et le changement de fournisseur.

Version

Version 1, en vigueur à compter du 1er décembre 2026.