Kartula est un outil destiné à des professionnels réglementés, et il est construit comme tel. Voici clairement comment vos données sont conservées, qui en a la maîtrise, et comment les questions que pose une autorité de contrôle trouvent leur réponse dans l'architecture plutôt que dans une promesse.
Chaque action — une connexion, une revue, un export, une décision — est écrite une fois et jamais réécrite. L’application n’a aucun chemin qui modifie ou supprime une entrée ; une correction s’ajoute.
Vos données et chacun de nos sous-traitants restent dans l'UE. Aucun transfert vers un pays tiers n'a lieu sans avoir été évalué et porté à votre connaissance au préalable.
Les données de chaque client sont cloisonnées dans chaque requête que fait l’application, et des tests d’intégration prouvent qu’un client ne peut pas lire les données d’un autre. Votre liste de clients n’appartient qu’à vous.
Les mots de passe sont hachés ; une adresse de connexion figurant dans la piste d'audit n'est stockée que sous forme d'empreinte à sens unique. Nous minimisons ce qui est conservé et ne gardons aucun secret dont le système n'a pas besoin.
Un noyau déterministe assure la détection, et aucun modèle ne décide de quoi que ce soit. Là où l’IA est ajoutée, elle ne rédige qu’en périphérie — signalée, et relue par une personne avant de compter.
La piste d'audit conserve des identifiants, des résultats et des empreintes — pas du texte libre ni des noms lorsqu'un identifiant suffit. Moins de données personnelles conservées, c'est moins de données exposées.
Pour les données clients que vous traitez dans Kartula, vous êtes le responsable du traitement — vous déterminez la finalité, au titre de votre propre obligation de lutte contre le blanchiment. Kartula agit en qualité de votre sous-traitant, traitant ces données sur vos instructions dans le cadre d'un contrat de sous-traitance. Pour nos propres données d'exploitation — votre compte, les journaux de sécurité et d'audit — nous sommes le responsable du traitement.
Votre obligation LBC/FT vous reste attachée ; un outil ne peut pas l'endosser. Ce n'est pas une limite — c'est la position honnête et défendable, et c'est pourquoi Kartula fait remonter, rédige et assiste, mais ne décide, ne dépose et ne lève jamais de lui-même.
Ce que vous obtiendrez pour votre dossier : un contrat de sous-traitance, signé avant qu’aucune de vos données n’y entre, avec un registre des sous-traitants ultérieurs que nous utilisons et un exposé clair des données que Kartula détient, sur quelle base et pour combien de temps — les documents que votre DPO ou votre superviseur attendront. Le nôtre est en cours de rédaction, et nous le passerons en revue avec votre DPO.
Le registre luxembourgeois des bénéficiaires effectifs n'est pas ouvert aux fournisseurs. L'accès professionnel est attaché au professionnel qui en est titulaire : un prestataire ne peut donc pas légalement se placer en dehors de cet accès pour vous redistribuer les données.
Kartula reste donc à l’intérieur de votre propre accès professionnel, en tant que sous-traitant : vous effectuez les consultations auxquelles vous avez droit, et Kartula consigne ce qui vous a été montré et le compare aux déclarations du client et aux données publiées. Lorsqu’une chaîne est reconstituée à partir de données publiées (GLEIF) plutôt que du RBE, elle est signalée exactement comme telle, afin que rien dans un dossier ne revendique une provenance qu’il n’a pas.
Si un fournisseur vous propose en masse des données luxembourgeoises sur les bénéficiaires effectifs, demandez-leur sur quelle base ils les détiennent. La conversation est brève, et il vaut mieux l'avoir avant que leur réponse ne devienne votre constat.
La piste d'audit est scindée en deux horizons afin que rien ne soit conservé plus longtemps que nécessaire : l'activité qui soutient votre obligation de conservation LBC/FT est gardée jusqu'à cet horizon, et les événements purement techniques de sécurité (connexions, adresses IP) sont conservés sur une fenêtre plus courte et proportionnée. Lorsque l'obligation s'éteint, une purge planifiée et auto-auditée supprime ce qui a dépassé sa durée de conservation.
Une piste en ajout seul ne peut pas être modifiée discrètement — c'est tout l'intérêt. Si un élément consigné est erroné, la correction est ajoutée : une nouvelle entrée qui renvoie à l'originale et indique ce qui est exact. L'historique reste intact, et la correction figure elle aussi au dossier. C'est ainsi que fonctionne la rectification sur une piste probante à laquelle on peut se fier.
Les parties de Kartula qui décident quoi que ce soit — détection des changements, correspondances de filtrage, logique de risque — sont déterministes et testables. Aucun modèle de langage n’intervient dans ce chemin, et aujourd’hui aucun ne figure dans Kartula. Si un modèle est ajouté, il ne rédigera qu’en périphérie — par exemple un premier exposé de déclaration de soupçon — signalé comme projet et relu par une personne avant de compter. Aucune donnée client ne sert à entraîner des modèles, et aucune décision lourde de conséquences n’est automatisée.
Kartula s'appuie autant que possible sur des sources officielles et librement réutilisables — les comptes annuels déposés, les identifiants d'entités juridiques, les listes publiques de sanctions. Lorsqu'une source est soumise à sa propre licence (certains flux PPE, données financières commerciales), elle constitue une composante clairement identifiée de votre formule, et non quelque chose de revendu discrètement. Et lorsqu'un registre est protégé par un contrôle d'accès, nous empruntons la voie licite — votre propre accès, ou un canal officiel — plutôt que de le moissonner.
Les formulaires de démonstration et de message de ce site conservent ce que vous envoyez : votre nom, votre adresse e-mail et votre cabinet, un numéro de téléphone si vous en indiquez un, les réponses que vous choisissez, votre message, la page et la langue depuis lesquelles vous avez écrit, l’heure, et votre adresse IP réduite à son préfixe de réseau. Nous ne l’utilisons que pour vous répondre. Rien n’est partagé ni ajouté à une liste de diffusion, et tout est supprimé un an après votre envoi.
Comme tout serveur web, ce site tient aussi, pour des raisons de sécurité, un journal d’accès avec les adresses IP complètes, conservé 14 jours.
AMLR — le règlement unique de l'UE en matière de LBC/FT — s'applique à partir du 10 juillet 2027, avec la nouvelle autorité AMLA derrière lui. Le modèle de KYC perpétuel de Kartula, ses dossiers de vigilance harmonisés et ses déclarations au format goAML sont conçus pour ce régime : l'adopter dès maintenant est donc un pas vers la nouvelle norme, et non un travail à refaire.
Nous nous ferons un plaisir de détailler les flux de données, le contrat de sous-traitance et le modèle d'audit.