Envoi souverain
Nos e-mails transactionnels sont expédiés via une messagerie hébergée en Europe. Vos échanges avec Galyct ne transitent pas par des relais extra-européens.
Souveraineté · France & Union européenne
Localisation des données et dépendances de Galyct.
Galyct est conçu, développé et hébergé en France. Cette page détaille, service par service, où sont traitées vos données, par quel fournisseur, dans quel pays, et pour quelle durée.
On ne vous demande jamais vos mots de passe.
Hébergement
France · hébergement Scaleway/Online
Mistral
IA française · UE
Chiffré
Transit & repos
30 jours
Corbeille de secours
Transfert hors UE
Aucun en configuration standard
LES DÉPENDANCES, EN CLAIR
Où sont traitées vos données, service par service
Chaque brique de Galyct, avec son fournisseur, son pays, le type de données, l'existence d'un transfert hors UE et la durée de conservation.
| Service | Fournisseur | Pays | Données | Transfert hors UE | Conservation |
|---|---|---|---|---|---|
| Hébergement (serveurs) | Scaleway / Dedibox | France | Application, dossiers | Aucun | Durée du compte + corbeille 30 j |
| Moteur d'IA | Mistral AI | France / UE | Requêtes d'assistance | Aucun | Non réutilisées pour l'entraînement |
| Messagerie transactionnelle | Scaleway (TEM) | Union européenne | E-mails de service | Aucun | Journaux limités |
| Base de données | MySQL, auto-hébergé | France | Comptes, contenus chiffrés | Aucun | Selon compte + corbeille 30 j |
| DNS / nom de domaine | Online.net | France | Aucune | Aucun | Sans objet |
| Certificats TLS | Let's Encrypt / ISRG | États-Unis | Noms de domaine Galyct, aucune donnée client | Oui, sans donnée personnelle | Durée du certificat |
| Vérification d'un mot de passe | Pwned Passwords (frontal Cloudflare) | Hors EEE | 5 caractères d'une empreinte SHA-1 | Oui, sans donnée personnelle | Non conservé |
| Amorçage RDAP (Pro) | rdap.org, puis registre du domaine | À établir | Nom de domaine analysé | Oui, sans donnée personnelle | Cache court |
Aucun transfert de données personnelles vers un pays tiers n'est initié par Galyct en configuration standard. Trois flux techniques quittent l'Espace économique européen sans porter de donnée personnelle : ils sont nommés dans le tableau ci-dessus. D'autres services situés hors de l'EEE sont prévus par le code mais ne sont pas configurés à ce jour : recherche d'exposition d'une adresse e-mail (Have I Been Pwned), abuse.ch et AbuseIPDB. Les connecteurs de sécurité (Microsoft, Google, Sophos, Acronis, CrowdStrike, SentinelOne, MISP) fonctionnent avec vos propres identifiants vers votre propre abonnement : la destination relève alors de votre contrat, pas de la configuration standard de Galyct. Nous n'avons pas établi l'identité de l'exploitant de rdap.org ni le pays de chaque serveur de registre vers lequel il redirige ; nous l'écrivons plutôt que de le supposer. Mise à jour : 1er septembre 2026.
LE RÉFÉRENTIEL
Ce que « souverain » veut dire chez Galyct
Le mot circule sans définition partagée. Voici la nôtre, écrite une fois, et c'est à elle que renvoient toutes nos pages qui l'emploient.
La définition
Souverain par défaut, au sens du référentiel Galyct
Hébergement, traitement primaire, IA par défaut et sauvegardes opérés dans l'Union européenne, sans transfert vers un pays tiers initié par Galyct en configuration standard.
Un connecteur que vous activez volontairement peut ajouter une destination : elle est alors nommée, journalisée, et relève de votre initiative, pas de la configuration standard.
Ce que ce n'est pas
Notre référentiel, pas une certification
« Souverain au sens du référentiel Galyct » est notre critère, publié pour être discuté. Ce n'est ni un label, ni une qualification d'État, ni une certification délivrée par un tiers.
L'ANSSI le rappelle pour le cloud : être hébergé sur un service qualifié SecNumCloud ne rend pas l'application elle-même SecNumCloud. Le même raisonnement vaut ici. Galyct n'est pas qualifié SecNumCloud et ne s'en prévaut pas.
Trois questions, trois réponses séparées
Un client sérieux ne pose pas une question, il en pose trois. Les confondre sous un seul mot ne répond à aucune des trois.
Localisation
Où vos données sont stockées et traitées. Serveur dédié en France ; sauvegardes et pièces de preuve conservées dans l'Union européenne ; traitements d'intelligence artificielle en France ou dans l'Union européenne par défaut.
Juridiction
Qui exploite l'infrastructure, et à quel droit cet opérateur est soumis. L'hébergeur est Scaleway / Online S.A.S., société de droit français (RCS Lille Métropole 433 115 904). L'éditeur et exploitant est DATASHIELD RISK CONSULTING (SAS, RCS Lyon 984 134 916, Lyon). Aucune de ces deux sociétés n'est contrôlée depuis un pays tiers.
Dépendance
Quelles briques externes conditionnent le fonctionnement du service. Quatre : l'hébergement (Scaleway / Online, France), le moteur d'intelligence artificielle (Mistral, France / UE), le paiement (Stancer, France) et la messagerie transactionnelle (Union européenne). La liste datée vit au registre des sous-traitants, qui fait foi sur cette page.
Ce que nous n'affirmons pas : nous ne prétendons pas être à l'abri de toute dépendance ni de toute juridiction étrangère. Nous décrivons l'architecture que nous avons choisie et que nous contrôlons. Ce qui échappe à notre contrôle, nous ne le garantissons pas : nous le nommons.
01 · LA GARANTIE
Quatre garanties inscrites dans l'architecture
La souveraineté ne se décrète pas dans une plaquette : elle s'inscrit dans l'architecture. Voici, concrètement, ce qui protège vos données à chaque étape.
Hébergement français
Serveurs en France, chez Scaleway/Online (SAS de droit français). Vos données et vos preuves sont conservées dans l'Union européenne, sous droit français et européen.
IA française Mistral
Nos traitements par intelligence artificielle passent par l'assistant IA souverain Mistral (France / UE), sous supervision humaine : aucun moteur hors UE, selon l'architecture publiée.
Chiffrement & RGPD natif
Chiffrement en transit (TLS) et au repos et conformité pilotée et documentée. La protection des données n'est pas ajoutée après coup : elle est dans la conception.
Corbeille 30 jours
Chaque suppression passe par une corbeille chiffrée, récupérable 30 jours. Jamais d'effacement sans filet : vos comptes, dossiers et preuves ne disparaissent pas sur un clic.
02 · COMPARER SANS DÉNIGRER
Solutions américaines et Galyct : les faits
Les grandes plateformes ont d'immenses qualités et rendent d'immenses services. Une seule question nous sépare : où vivent vos données, et qui peut y accéder. Voici les faits, sans caricature.
Plateformes extra-européennes
Les grandes plateformes américaines
Des outils puissants, mais dont le cadre juridique et la localisation ne dépendent pas de vous.
- Données souvent hébergées ou répliquées hors d'Europe.
- Soumises à des lois d'accès extraterritoriales (ex. : CLOUD Act).
- IA généraliste entraînée et opérée en dehors de l'Union européenne.
- Conditions et localisation qui peuvent évoluer sans votre accord.
Aucun jugement, seulement le cadre applicable.
Galyct · France & UE
Le choix souverain
Le même sérieux technique, mais un cadre qui reste sous droit français et européen.
- Hébergement en France, chez Scaleway/Online (SAS de droit français).
- Droit français et européen : par défaut, pas d'exposition à une loi d'accès extraterritoriale.
- Assistant IA souverain Mistral (France / UE), sous supervision humaine.
- Localisation stable, écrite et exploitable dans nos engagements.
03 · L'ENGAGEMENT
Nous ne vous demanderons jamais vos mots de passe.
Un vrai professionnel de la cybersécurité ne réclame jamais vos codes. Galyct non plus. Nous vous guidons pour reprendre la main vous-même : vous restez le seul détenteur de vos accès, du début à la fin.
Aucune fenêtre, aucun conseiller, aucun e-mail Galyct ne vous demandera votre mot de passe, un code reçu par SMS ou vos identifiants bancaires. Si on vous le demande au nom de Galyct, c'est une fraude : signalez-la-nous.
04 · LA MESSAGERIE
Nos e-mails partent d'Europe, pas d'ailleurs
Un incident se joue aussi dans la boîte de réception. Notre messagerie de service est souveraine, authentifiée et sobre : elle vous informe sans vous exposer.
Domaine authentifié
Notre domaine est vérifié et signé (SPF, DKIM, DMARC). Un e-mail qui prétend venir de Galyct sans ces signatures n'est pas de nous.
Aucun pistage
Pas de pisteurs marketing cachés dans nos messages de service. Un e-mail Galyct sert à vous informer, jamais à vous surveiller.
05 · NOTRE FRANCHISE
Ce que la souveraineté garantit, et ce qu'elle ne promet pas
Nous préférons la clarté au marketing de la peur. Voici ce sur quoi nous nous engageons, et ce que nous ne prétendrons jamais.
Ce que nous garantissons
Nos engagements
- Hébergement et données conservés en France, dans l'UE.
- Traitements par IA Mistral (France / UE) par défaut ; aucun transfert de vos données personnelles vers un pays tiers sans votre activation explicite.
- Chiffrement en transit (TLS) et au repos et conformité RGPD par conception.
- Corbeille chiffrée 30 jours : jamais d'effacement sans filet.
- Jamais de mot de passe ni de code demandé au nom de Galyct.
Ce que nous ne promettons pas
Notre franchise
- Aucun résultat n'est garanti : la sécurité absolue n'existe chez personne.
- La souveraineté réduit les risques ; elle ne les supprime pas.
- Nous ne dénigrons pas les autres solutions : nous exposons des faits.
- Nous ne vendons pas de peur : nous préférons la décision éclairée.
Une décision de souveraineté ne se prend pas seul.
Parlons de votre contexte, hébergement, données, conformité, IA. Un échange d'expert, sans engagement ni démarchage.