Ce qui part, ce qui reste, combien de temps

Cette page s'adresse à la direction et au conseiller ou à la conseillère à la protection des données d'une organisation. Elle décrit le fonctionnement réel du service au 28 octobre 2026. Maijin Shield est un service édité par Maijin Sàrl, Genève (CHE-300.778.667) : voir À propos et les mentions légales. Le détail juridique figure dans la politique de confidentialité.

Le parcours d'un document

Un document passe par huit étapes ; seul son texte est envoyé à l'IA d'Infomaniak, en Suisse, et seules la table de correspondance et la version anonymisée, chiffrées, sont conservées.

1. Dépôt

Vous déposez un document Word (.docx), Excel (.xlsx), PowerPoint (.pptx), PDF ou XML sur le site, ou vous le transférez par e-mail (voir plus bas). Le fichier est lu en mémoire sur le serveur d'Infomaniak en Suisse. Il n'est enregistré ni sur disque, ni en base de données, ni dans les journaux. Par e-mail, le document transite d'abord par votre propre messagerie, qui peut être hébergée hors de Suisse.

2. Lecture

Le serveur extrait le texte : paragraphes, tableaux, passages cachés et révisions pour un document Word ; cellules, commentaires et formes pour un classeur Excel ; une page après l'autre pour un PDF. Les données personnelles que le document contient sont encore visibles à ce stade.

3. Détection par des règles

Des règles fixes, exécutées sur notre serveur, repèrent d'abord ce qui a un format connu : numéro AVS, IBAN, adresse e-mail, téléphone, dates, codes postaux, numéros GLN des soignants, numéros du dossier électronique du patient (EPR-SPID), adresses IP et autres identifiants techniques. Elles s'appuient aussi sur la structure du document (cases de tableau, lignes du type « Nom : valeur ») et sur des listes officielles suisses (localités, noms de famille, prénoms). Rien n'est envoyé à l'extérieur pour cette étape.

4. Détection par l'IA d'Infomaniak

Les noms, adresses, données de santé ou opinions dépendent du contexte : une règle fixe ne les voit pas. Le texte du document est donc envoyé, par une connexion chiffrée, à des modèles de langage hébergés par Infomaniak en Suisse (Infomaniak AI Tools ; au 7 octobre 2026 : Mistral Small et Gemma, dont les réponses s'additionnent). Ce texte est envoyé sans masquage : l'IA lit le document tel qu'il est, avec les noms et les valeurs. Elle renvoie la liste des passages à masquer. Selon Infomaniak, ces données ne sont ni conservées ni utilisées pour entraîner un modèle.

Une seconde passe relit ensuite seulement les phrases qui paraissent encore suspectes, avec les données déjà repérées remplacées par leur type (par exemple [PERSONNE]). Si une partie du document n'a pas pu être analysée, l'aperçu vous le signale.

5. Aperçu et corrections

Vous voyez le document avec les données surlignées et l'étiquette prévue pour chacune. Vous pouvez laisser une donnée en clair, changer son type, ou sélectionner un mot oublié pour le masquer. Le serveur ne garde rien entre l'aperçu et la génération.

6. Génération du document anonymisé

Chaque donnée est remplacée par une étiquette lisible, comme [PERSONNE_1] ou [DIAGNOSTIC_1]. La même valeur reçoit la même étiquette dans tout le document, pour que l'IA garde le sens du texte. Le document Word ou Excel est réécrit en conservant sa mise en page ; la miniature et les métadonnées sont neutralisées. Dans un PDF, le texte est réellement effacé (pas de simple rectangle noir) et le fichier n'est livré qu'après une relecture qui vérifie qu'aucune valeur d'origine ne reste. Le document anonymisé est téléchargé sur votre appareil.

7. Table de correspondance et version anonymisée chiffrées

Pour pouvoir remettre plus tard les vraies valeurs, le serveur conserve la table qui relie chaque étiquette à sa vraie valeur, le nom du fichier d'origine et une empreinte du texte anonymisé. Il conserve aussi la version anonymisée du document, que seul son auteur peut retélécharger depuis l'historique. La table, le nom du fichier et la version anonymisée sont chiffrés ; l'empreinte est calculée avec une clé secrète et ne permet pas de reconstituer le texte (voir « Le chiffrement »). Le document d'origine, lui, n'est pas conservé.

8. Restitution

Vous déposez le document rendu par l'IA. Le service reconnaît le document d'origine grâce à l'empreinte, puis remet les vraies valeurs à la place des étiquettes. Ce document est lui aussi lu en mémoire et n'est pas conservé. Seul le compte qui a anonymisé le document peut retrouver ses valeurs, même en équipe, et seulement tant qu'il en est membre.

Ce qui est conservé, où, combien de temps, par qui

Le document d'origine n'est jamais conservé. Sont conservés : la table de correspondance et la version anonymisée du document, chiffrées, des statistiques d'usage sans contenu, le journal d'audit, les données du compte, la facturation des abonnements, les formulaires que vous nous envoyez et les sauvegardes.

Les statistiques ne contiennent que des nombres et des codes : pages, formats, nombre de données masquées par type, durée du traitement. Les pages vues du site public sont comptées sans cookie, sans adresse IP ni identifiant de visiteur ; chaque essai de la démo laisse une ligne de statistiques, sans contenu ni adresse IP. Les détails sont dans la politique de confidentialité.

Le chiffrement

La table de correspondance et la version anonymisée sont chiffrées en AES-256-GCM, avec une clé gardée hors de la base de données. Ce n'est pas un chiffrement de bout en bout.

• Au repos. La table de correspondance, le nom du fichier et la version anonymisée sont chiffrés en AES-256-GCM, avec un vecteur d'initialisation aléatoire à chaque chiffrement. Chaque donnée chiffrée est liée à son document et à son auteur : recopiée vers un autre document ou un autre compte, elle devient indéchiffrable.
• Clé hors de la base. La clé vit dans la configuration du serveur, séparée de la base de données. Une copie de la base seule ne permet pas de lire ces données. Les sauvegardes quotidiennes (conservées 14 jours) contiennent des tables toujours chiffrées.
• Empreinte. Pour reconnaître le document d'origine, nous gardons une empreinte du texte anonymisé, calculée avec une clé secrète : sans la clé, elle ne permet ni de reconstituer le texte ni de tester des textes candidats.
• En transit. Les connexions au site et à l'IA sont chiffrées (HTTPS). La base de données n'est pas accessible depuis Internet, et une politique de sécurité du contenu stricte limite les communications de votre navigateur à notre domaine.
• Serveur. Pare-feu qui ne laisse ouverts que SSH, HTTP (redirection) et HTTPS ; accès SSH par clé uniquement, sans connexion « root » ; journal d'audit en ajout seul ; sauvegarde quotidienne de la base, contrôlée, conservée 14 jours sur le serveur, avec alerte en cas d'échec ; journaux techniques sans adresse IP.

Ce n'est pas un chiffrement de bout en bout : le serveur détient la clé, puisqu'il doit remettre les vraies valeurs quand vous le demandez.

Les sous-traitants

Infomaniak, en Suisse, traite vos documents et envoie tous nos e-mails. Stripe, hors de Suisse, ne reçoit jamais un document.

• Infomaniak Network SA (Genève, Suisse) : hébergement du site et de la base de données (serveur à Genève), modèles de langage de la détection, boîte du dépôt par e-mail et envoi de tous nos e-mails (liens de connexion, invitations, notifications, réponses du dépôt). Tout cela se passe en Suisse.
• Stripe Payments Europe, Ltd. (Irlande) et Stripe, LLC (États-Unis), hors de Suisse : paiement et facturation des abonnements. Les données de carte sont saisies chez Stripe et ne nous parviennent jamais. Stripe ne reçoit jamais un document ni une donnée traitée par l'outil.

Sur le site, le document et l'analyse par l'IA restent en Suisse. Par e-mail, le document transite aussi par votre propre messagerie, à l'envoi comme au retour (le document restitué contient alors les vraies valeurs) : vérifiez où elle est hébergée. Seul le paiement passe par un prestataire situé hors de Suisse, sans qu'aucun contenu de document ne lui soit transmis. Lorsque vous êtes responsable du traitement, le contrat de sous-traitance, annexe des conditions générales, s'applique à tout abonnement. Questions : contact@maijin.ch.

Le dépôt par e-mail

Transférer un document Word, Excel, PowerPoint, PDF ou XML à votre adresse de dépôt personnelle l'anonymise ; la réponse arrive dans votre messagerie, sans aperçu.

Chaque personne dispose d'une adresse de dépôt personnelle, de la forme …@depot.maijinshield.ch, avec un jeton aléatoire de 10 caractères. Transférer à cette adresse un document Word, Excel, PowerPoint, PDF ou XML (jusqu'à 5 pièces jointes) l'anonymise ; transférer un document qui contient des étiquettes comme [PERSONNE_1] et correspond à un document conservé lui rend ses vraies valeurs.

• L'e-mail arrive dans une boîte d'Infomaniak, en Suisse. Notre serveur le relève, traite les pièces jointes en mémoire, puis l'efface définitivement de la boîte, qu'il ait été traité ou non ; le dossier des indésirables et la corbeille sont purgés toutes les heures. En cas de panne passagère, l'e-mail reste dans la boîte le temps de trois essais, puis il est effacé. Le corps du message n'est pas utilisé ; seul son objet est repris dans la réponse.
• Seuls les e-mails envoyés depuis l'adresse de votre compte et authentifiés (contrôles DMARC, DKIM et SPF alignés sur cette adresse) sont traités ; les autres sont écartés. La réponse part toujours vers cette adresse, jamais vers une autre, et elle est envoyée par la messagerie d'Infomaniak, en Suisse.
• Comme il n'y a pas d'aperçu par e-mail, tout ce qui est détecté est masqué, sans possibilité de laisser une donnée en clair, ni retirer les images du document. Même moteur, mêmes quotas, mêmes réglages de masquage et même durée de conservation que sur le site.
• Le document passe par votre propre messagerie (Microsoft 365, Gmail, etc.), à l'envoi comme au retour, parfois hors de Suisse. Le document restitué contient les vraies valeurs : une fois arrivée dans votre messagerie, la réponse est conservée par votre fournisseur d'e-mail, selon ses propres règles.
• Pour un PDF qui mélange texte et pages scannées, déposez-le plutôt dans votre espace : la réponse par e-mail ne signale pas encore les pages scannées (voir « Les limites »).

Les limites, honnêtement

Maijin Shield réduit fortement ce que voit l'IA, mais la détection est imparfaite et le service ne remplace ni un avis juridique, ni la relecture humaine.

• C'est de la pseudonymisation. L'IA ne voit que des étiquettes, mais le compte qui détient la table peut retrouver les vraies valeurs. Pour qui détient cette table, les données restent des données personnelles.
• Des recoupements restent possibles. Un code postal, un âge et un diagnostic rare, même laissés en clair, peuvent permettre de reconnaître une personne. Masquez généreusement en cas de doute.
• La détection est automatique et imparfaite. Elle peut oublier un nom ou en masquer un de trop. Nous ne publions pas de taux de détection.
• Les PDF scannés ne sont pas traités. Un PDF fait uniquement d'images de pages est refusé. Dans un PDF qui mélange texte et pages scannées, le contenu des pages scannées n'est pas anonymisé. Dans votre espace, l'aperçu vous en avertit et propose de retirer les images ; la réponse par e-mail ne le signale pas encore : pour un tel document, déposez-le plutôt dans votre espace. Le contenu des images (photo, texte scanné) n'est de toute façon jamais analysé.
• Relisez toujours l'aperçu. C'est votre dernier contrôle avant le téléchargement. Pour un dépôt par e-mail, relisez le document reçu avant de le confier à une IA.
• Le service reçoit votre document en clair. Pendant le traitement, Maijin Shield et le modèle d'IA d'Infomaniak lisent le texte tel quel. Si votre organisation est soumise à une règle (loi cantonale, directive interne, secret professionnel) qui interdit de confier de telles données à un service externe, cette page ne tranche pas la question : elle revient à votre DPO ou à votre juriste.
• Après l'anonymisation, c'est votre responsabilité. L'usage de l'IA à laquelle vous confiez le document anonymisé relève de vous et de ses conditions. Maijin Shield réduit fortement ce que voit ce fournisseur d'IA, mais ne remplace ni un avis juridique, ni une directive interne, ni la relecture humaine.

Vous préparez un document de patient avant l'IA ? Voir notre guide ChatGPT et données de patients : préparer un document avant de le confier à une IA.

Comment effacer vos données

Vous pouvez effacer une table et la version anonymisée à tout moment depuis votre espace ; sinon elles s'effacent seules après 90 jours.

• Une table de correspondance et la version anonymisée : depuis « Mes documents » dans votre espace, supprimez le document. Dans une équipe, un administrateur peut aussi supprimer les documents de l'équipe.
• Tout votre compte : depuis les Paramètres, supprimez votre compte. Vos tables et versions anonymisées sont effacées, et vos statistiques d'usage sont définitivement détachées de vous. Si vous êtes propriétaire d'une équipe qui compte d'autres membres, transmettez d'abord la propriété à un autre membre (Paramètres, Équipe), ou supprimez l'équipe.
• Sans rien faire : chaque table et sa version anonymisée s'effacent seules au bout de 90 jours.
• Délais à connaître.Une donnée effacée disparaît des sauvegardes au plus tard 14 jours après. Le journal d'audit, sans contenu, est gardé 13 mois. Les données de facturation des abonnements sont gardées 10 ans, comme l'impose le droit suisse.
• Une autre demande (accès, rectification, effacement, opposition) : nous répondons dans les 30 jours. Les données de votre compte se téléchargent avec « Télécharger mes données », dans vos Paramètres. Écrivez à contact@maijin.ch.

Les offres, les quotas et les durées de conservation sont détaillés sur la page Tarifs.