Le centre de confiance d'Ojja
Ce que nous lisons, ce que nous ne lisons jamais, où vont les données, qui y accède, combien de temps elles sont gardées, et ce que nous ne faisons pas. Tout est daté.
Une question de votre RSSI ? security@ojja.ai
Un éditeur vérifié par Microsoft
L'application qu'Ojja vous demande d'autoriser est publiée par un éditeur vérifié : Microsoft a vérifié l'identité d'Ojja par son compte Microsoft Partner Center. Sur l'écran d'autorisation, votre administrateur voit le badge bleu à côté du nom de l'éditeur, et le domaine ojja.ai.
En un coup d'œil
Lecture seule
Ojja Reader ne porte que des permissions de lecture.
Données traitées et hébergées en France
Chez Scaleway, sans transfert hors de l'Union.
Aucun identifiant de salarié conservé
Des comptes par application et par département.
Brut supprimé à 30 jours
Trente jours après la lecture.
Accès retiré à tout moment
En supprimant l'application Ojja Reader de votre annuaire.
Éditeur vérifié par Microsoft
Microsoft a vérifié l'identité d'Ojja.
Cinq principes non négociables
- Lecture seule, absolue, pour Ojja Reader. Ojja Reader, l'application qui lit vos outils, ne demande, n'accepte ni ne détient aucun accès en écriture. Les droits exacts sont publiés : Ojja Reader ne porte que des permissions de lecture, et chaque appel passe par une liste fermée de points d'accès, contrôlée à chaque version. L'application de lecture n'écrit jamais. Vos décisions sont appliquées par vos équipes ou votre infogérant, après la validation d'une personne de chez vous.
- Minimisation par construction. Nous lisons des registres et des configurations, jamais vos documents, jamais vos données métier. Nous lisons des configurations, des définitions et des métadonnées : quels systèmes existent, et ce qu'ils ont le droit de faire. Jamais les données que ces systèmes traitent, jamais une conversation, jamais le contenu d'un document, jamais un secret.
- Jamais de surveillance individuelle. Aucun rapport d'usage n'est conservé au niveau d'une personne : chaque ligne est comptée à la lecture, puis oubliée. Ojja lit seulement les journaux de connexion des 28 derniers jours, et n'en garde que des comptes par application et par département. Rien de nominatif n'est restitué.
- Le brut est une preuve, pas un actif. Les données extraites sont scellées par empreinte, exploitées, puis supprimées trente jours après la lecture. Conditions d'Ojja Watch, article 13.5 : « Les données du Client servent au Service du Client. Elles n'alimentent pas le catalogue public d'Ojja et ne sont jamais montrées à un autre client. Ojja peut en tirer des statistiques agrégées entre clients, aux conditions de l'article 15.2 des conditions du relevé gratuit ; le Service les présente au Client pour qu'il se compare à des entreprises comparables. »
- Un client, un espace. Isolation par client sur chaque requête, un schéma par client, aucune requête de données sur deux clients ; un secret propre à chaque espace, détruit à la fin de l'abonnement.
Les données de vos salariés
Dans ce que nous lisons de vos outils, nous ne gardons aucun identifiant de salarié. Les rapports d'usage sont agrégés ; pour une application qu'un salarié a autorisée, nous gardons le type d'autorisation, les données qu'elle atteint et le nombre de comptes, pas son identité. Nous ne lisons jamais un contenu : courriel, document, message, conversation avec un assistant. Les seules personnes connues d'Ojja sont celles qui utilisent votre espace Ojja : les personnes habilitées de votre organisation, selon leur rôle, les lecteurs que vous invitez, dont vous retirez l'accès quand vous le voulez, et, avec l'espace salariés, les salariés qui s'y connectent. Ojja mesure l'IA en place dans l'organisation, jamais le comportement ni la performance d'une personne.
La sécurité de la plateforme
Ce qui protège vos données, tel que c'est construit, pas tel que nous le souhaiterions.
Hébergement
Les données de nos clients sont traitées et hébergées en France, chez Scaleway (Paris).
Chiffrement au repos
La base de données et l'espace de dépôt des documents sont chiffrés au repos.
Chiffrement en transit
Toute connexion à l'espace passe en HTTPS.
Une adresse de sortie
Ojja lit vos outils depuis une adresse IP fixe et une seule, que votre RSSI peut autoriser.
Connexion
Lien magique valable 15 minutes, ou compte Microsoft ; pas de mot de passe. Session de 7 jours.
Navigateur
Aucune ressource tierce, aucune intégration dans une page étrangère, accès aux capteurs fermé ; limitation de débit sur chaque adresse.
Séparation des clients
Un schéma de base de données par client, avec des règles d'accès au niveau de la ligne.
Aucune identité conservée
Aucun identifiant d'utilisateur de vos outils n'est conservé : des agrégats, après hachage avec un sel propre à votre organisation puis suppression.
Journal
Chaque connexion et chaque décision s'ajoutent à un journal en ajout seul ; le brut lu dans vos outils est supprimé à 30 jours.
Sauvegardes
Sauvegarde quotidienne de la base, gardée 14 jours, dans la même région (France).
Les sauvegardes logiques de la base ne sont pas couvertes par le chiffrement au repos de l'hébergeur (documentation Scaleway).
Vérifier et signaler
Signaler une faille
Écrivez à security@ojja.ai. Le fichier security.txt de ojja.ai donne l'adresse, les langues acceptées (français et anglais) et sa date d'expiration.
Relancer les contrôles vous-même
Le chiffrement de la connexion et les en-têtes de ojja.ai se vérifient avec deux outils publics, que vous relancez quand vous voulez.
Kit DPO
Ce que votre DPO examine avant de valider Ojja, réuni au même endroit. Chaque pièce porte sa date.
Ce qu'Ojja lit et ne lit jamais, permission par permission
Publié le 24/10/2026.
L'accord de traitement des données (DPA)
Publié le 03/10/2026.
Fiche de registre préremplie (pour le registre du client, art. 30, § 1)
Publié le 13/10/2026.
Faits pour votre AIPD, critère par critère
Publié le 13/10/2026.
Fiche de registre préremplie (pour le registre du client, art. 30, § 1)
- Nom du traitement : Inventaire et suivi des outils d'IA et de leurs coûts (Ojja).
- Responsable du traitement : [votre organisation] ; DPO : [le vôtre].
- Finalité : établir le relevé de l'IA en place et, avec Ojja Watch, tenir à jour l'inventaire des outils et des fonctions d'IA, de leurs réglages, de leurs coûts et des décisions prises (DPA, annexe 1).
- Base légale : à déterminer par le responsable, avec son DPO. (Ojja ne la propose pas.)
- Personnes concernées : salariés et autres utilisateurs du tenant ; administrateurs du tenant ; personnes invitées dans l'espace Ojja.
- Données : identifiants techniques des comptes et des applications ; autorisations des applications (type, données atteintes, nombre de comptes) ; licences attribuées, avec le département ; réglages et fonctions d'IA activés ; rapports d'usage agrégés par application et par département ; journaux de connexion agrégés par application et par département ; pour les comptes de l'espace, adresse professionnelle et rôle.
- Données exclues : contenus des courriels, documents, messages et conversations ; identité des salariés qui ont autorisé une application (non conservée). Aucune catégorie particulière de données.
- Destinataires : les personnes habilitées de votre organisation dans l'espace, selon leur rôle ; les lecteurs que vous invitez, dont vous retirez l'accès quand vous le voulez ; OJJA SASU, sous-traitant.
- Sous-traitants ultérieurs (DPA, annexe 3) : Scaleway (hébergement, base de données, coffre de secrets, modèles d'IA ; France) ; Brevo (courriels de service ; Union européenne).
- Transferts hors de l'Union : aucun (DPA, art. 7 ; traitement et hébergement en France).
- Durées : extraction brute supprimée 30 jours après chaque lecture ; Ojja Watch : durée de l'abonnement, puis 12 mois sauf demande contraire ; relevé sans abonnement : supprimé 12 mois après la remise ; journaux techniques : 30 jours (DPA, art. 10 et annexe 2).
- Mesures de sécurité (DPA, annexe 2) : lecture seule limitée au manifeste ; isolation par espace, avec un secret propre détruit en fin d'abonnement ; coffre de secrets ; chiffrement TLS ; accès du personnel limité et revu chaque trimestre ; données client séparées du catalogue public ; hébergement et modèles d'IA en France.
- Violations : Ojja vous notifie sans délai injustifié et au plus tard 48 heures après en avoir eu connaissance (DPA, art. 9.1) ; la notification à la CNIL reste votre décision.
Faits pour votre AIPD, critère par critère
Les neuf critères des lignes directrices européennes sur l'analyse d'impact (WP248, reprises par le CEPD). Ojja donne les faits ; la décision de mener une analyse d'impact, et son contenu, sont les vôtres.
- Évaluation ou notation : Ojja ne note ni ne classe aucune personne ; il compte des licences et des usages par application et par département.
- Décision automatisée à effet juridique ou significatif : aucune.
- Surveillance systématique : lecture récurrente (chaque jour ou chaque semaine selon l'outil, rythme publié) de rapports d'usage et de journaux de connexion, agrégés par application et par département ; un département de moins de dix comptes est regroupé dans « autres » ; identifiants hachés puis supprimés ; rien de nominatif restitué ; le masquage des noms des rapports Microsoft est respecté.
- Données sensibles ou très personnelles : aucune catégorie particulière ; aucun contenu.
- Grande échelle : dépend du nombre de comptes de votre tenant ; à votre appréciation.
- Croisement de données : licences, applications et usages agrégés sont rapprochés par application et par département.
- Personnes vulnérables : des salariés sont concernés (les lignes directrices citent les salariés parmi les personnes vulnérables, du fait du lien de subordination).
- Usage innovant : une partie de l'analyse est assistée par un modèle d'IA hébergé en France, sur des noms de fonctions et des agrégats, jamais sur un contenu ; tout chiffre est produit par un calcul déterministe.
- Obstacle à un droit ou à un contrat : aucun.
À examiner aussi avec votre conseil : l'information ou la consultation du CSE sur la lecture d'usages agrégés par département (Code du travail, L. 2312-38) ; l'ouverture de l'espace salariés, quand vous la déciderez, modifie ces faits (identités de connexion, recherches, déclarations).
Ce que nous lisons, source par source
Pour les outils hors Microsoft, vous déclarez la liste ; chaque ligne du registre porte alors la mention « déclaré ». La déclaration n'est jamais la source de vérité : ce qui peut être lu est lu.
Microsoft 365
lu dès le relevé gratuit
Nous n'y touchons jamais
- Abonnements souscrits et identité de l'organisation
- Comptes et licences attribuées, avec leur département ; l'identifiant de chaque compte est haché à la lecture et jamais conservé
- Annonces de Microsoft à votre administrateur (Message Center)
- Usage de Microsoft 365 Copilot, compté par application et par département
- Applications présentes dans votre tenant : leur nom, leur éditeur et leur identifiant public
- Les consentements que vos salariés et vos administrateurs ont accordés aux applications
- Journaux de connexion seulement, agrégés par application et par département
- Nouvelle application IA connectée :
- lu chaque jour
- Facturation à l'usage activée :
- lu chaque semaine
- Conditions ou fonctions d'un éditeur modifiées :
- à chaque publication
- Nouveau modèle derrière une fonction :
- lu chaque jour
- Nouvel accès aux données :
- lu chaque jour
Export de console du rapport d'usage, fourni par votre administrateur
Agents Copilot Studio et Agent Builder
lu avec Ojja Watch
Nous n'y touchons jamais
- Applications présentes dans votre tenant : leur nom, leur éditeur et leur identifiant public
- Le catalogue des agents de votre organisation (Copilot Studio, Agent Builder) : leur nom, leur plateforme, leur éditeur et leurs dates, jamais leurs instructions ni leurs conversations
- Nouvelle application IA connectée :
- lu chaque jour
- Facturation à l'usage activée :
- lu chaque semaine
- Conditions ou fonctions d'un éditeur modifiées :
- à chaque publication
- Nouveau modèle derrière une fonction :
- lu chaque semaine
- Nouvel accès aux données :
- lu chaque semaine
Export CSV de l'inventaire, fourni par votre administrateur, pour le modèle, les canaux, le partage et les connecteurs.
Google Workspace : En préparation.
Ce qu'Ojja ne lit jamais
- Contenus : courriels, documents, messages, tickets, réunions, conversations avec un assistant, prompts et réponses, contenu et instructions d'un agent, transcriptions.
- Données des tables métier : Ojja enregistre qu'un agent touche une base RH, jamais les enregistrements.
- Secrets : mots de passe, clés, jetons ; seulement leurs métadonnées (dates d'expiration).
- Les API qui exposent le contenu, même pour compter.
Si une lecture révèle par accident un contenu ou une catégorie particulière de données : purge immédiate et entrée au journal d'incidents.
Le manifeste des permissions
Le manifeste des permissions
Chaque permission qu'Ojja Reader demande, ce qu'elle lit et pourquoi, puis la liste fermée des points d'accès : le manifeste en vigueur, celui que votre administrateur voit avant de donner son accord.
Un second hôte, sans jeton. Pour lire le rapport d'usage de Microsoft 365 Copilot, Graph répond par une redirection vers un téléchargement sur un hôte régional de Microsoft (reports*.office.com). Ojja suit cette seule redirection, en https, sans y envoyer aucun jeton, refuse tout autre hôte et toute autre redirection, et borne la taille du fichier. Le fichier est lu en mémoire : seuls des comptes sont gardés.
Ojja Reader · éditeur vérifié
Nous n'y touchons jamais
Certaines lectures passent par une ligne par personne : l'annuaire, le rapport d'usage de Copilot, les consentements donnés par les salariés à une application, les journaux de connexion. L'identifiant est haché à la lecture ; seuls des totaux par offre, par application et par département sont conservés.
Points d'accès
GET https://graph.microsoft.com/v1.0/subscribedSkusGET https://graph.microsoft.com/v1.0/usersGET https://graph.microsoft.com/v1.0/directory/subscriptionsGET https://graph.microsoft.com/v1.0/admin/serviceAnnouncement/messagesGET https://graph.microsoft.com/v1.0/organizationGET https://graph.microsoft.com/v1.0/copilot/reports/getMicrosoft365CopilotUsageUserDetail(period='D28')GET https://graph.microsoft.com/v1.0/copilot/reports/getMicrosoft365CopilotUsageUserDetail(period='D180')GET https://graph.microsoft.com/v1.0/servicePrincipalsGET https://graph.microsoft.com/v1.0/applicationsGET https://graph.microsoft.com/v1.0/copilot/admin/catalog/packagesGET https://graph.microsoft.com/v1.0/oauth2PermissionGrantsGET https://graph.microsoft.com/v1.0/auditLogs/signInsGET https://reports*.office.com/…/v1.0/download
Manifeste v1.6 du 24 octobre 2026
Les documents
Le manifeste des permissions
La liste exacte des permissions Microsoft Graph demandées, expliquée ligne à ligne, version 1.6.
L'accord de traitement des données (DPA)
L'accord de traitement des données du relevé et d'Ojja Watch, version 1.0.
La liste des sous-traitants
Qui traite quoi, et où : l'annexe 3 du DPA.
Les pièces pour vérifier le DPA
Description des mesures, liste des sous-traitants, journal des accès, historique des versions du manifeste.
Mises à votre disposition (DPA, art. 12.1).
Annexe 3. Sous-traitants ultérieurs
| Sous-traitant | Prestation | Lieu de traitement |
|---|---|---|
| Scaleway (France) | Hébergement, base de données, coffre de secrets, modèles d'IA | France |
| Brevo (France) | Courriels de service : invitations, rappels, alertes | Union européenne (OVH en France et en Allemagne, Google Cloud en Belgique) ; voir la liste officielle des sous-traitants annexée au DPA de Brevo |
En pratique
- Aucun document en pièce jointe. Nos courriels renvoient à l'espace ; ceux de votre fil ne portent que des comptes et un lien vers l'espace, jamais un nom d'outil ni un chiffre de votre organisation.
- L'IA dans nos propres traitements. Une partie de l'analyse est assistée par un modèle d'IA hébergé en France, sur des noms de fonctions et des agrégats, jamais sur un contenu ; tout chiffre est produit par un calcul déterministe. Les modèles d'autres fournisseurs ne servent que sur des contenus publics (notes de version, documentation des éditeurs), pour préparer le catalogue ; ils ne reçoivent aucune donnée d'un client.
- Réversibilité. Votre registre vous appartient : à tout moment, sur demande, Ojja supprime vos données ou vous les restitue dans un format lisible, puis supprime les copies existantes, sauf obligation légale de conservation (DPA, art. 10.3).
- Indépendants des éditeurs. Nous lisons leurs outils, nous n'en vendons aucun.
- Cadre contractuel. Ojja ne traite vos données que sur instruction documentée de votre part : les conditions du relevé, l'accord de traitement des données (DPA), le manifeste en vigueur et vos choix dans l'espace (DPA, art. 3.1).
Hébergement et souveraineté
- Souveraineté Les données de nos clients sont traitées et hébergées en France, chez Scaleway (hébergement, base de données, coffre de secrets, modèles d'IA). Notre autre sous-traitant est européen : Brevo (courriels de service : invitations, rappels, alertes). Transferts hors de l'Union : aucun (DPA, art. 7 ; traitement et hébergement en France). Le site public ojja.ai ne reçoit aucune donnée lue dans vos outils ; ses formulaires sont transmis directement à Brevo. Tout ajout ou remplacement d'un sous-traitant vous est annoncé au moins trente jours à l'avance ; vous pouvez vous y opposer pour un motif légitime lié à la protection des données et, à défaut d'accord, mettre fin au service sans frais (DPA, art. 6.2).
- Conservation Extraction brute supprimée 30 jours après chaque lecture ; journaux techniques : 30 jours. Relevé gratuit non suivi d'un abonnement : aucune lecture après la remise, un rappel à J+14 pour retirer l'accès, relevé gardé douze mois dans votre espace et supprimé plus tôt sur demande. Ojja Watch : instantanés, journal et décisions gardés pendant l'abonnement puis douze mois, sauf si vous en demandez la suppression ou la restitution plus tôt. Vous pouvez retirer l'accès à tout moment, en supprimant l'application Ojja Reader de votre annuaire.
- Violations de données Ojja vous notifie sans délai injustifié et au plus tard 48 heures après en avoir eu connaissance (DPA, art. 9.1) ; la notification à la CNIL reste votre décision.
- Droits des personnes Ojja vous aide à répondre aux demandes d'exercice des droits des personnes concernées ; une demande reçue directement par Ojja vous est transmise sous cinq jours ouvrés, sans qu'Ojja y réponde (DPA, art. 8).
Ce que nous ne faisons pas
Nous n'administrons jamais un tenant. Ojja informe sur le droit en général ; l'application à votre situation relève de votre conseil. Nous ne vendons aucune licence. Nous ne construisons rien.
Centre de confiance, version 1.6 · 24 octobre 2026. Cette page évolue avec le produit ; chaque version est datée.
Une question sécurité avant de connecter vos outils ?
Votre RSSI peut nous écrire directement : security@ojja.ai