Carnet de build — Marchés Publics IA

0 Vue d'ensemble — la carte mentale

Le projet en un coup d'œil : les 6 chantiers et ce qu'on y a appris.

1 Timeline — les étapes franchies

Chaque ✓ = une étape réellement terminée et prouvée. Les … = à venir.

• Cadrage — note de cadrage : on découvre que Lexpol ≠ Te Ariari, et que le contact de Pascal est côté Lexpol/SGG.
• Étude de marché — scraping intégral de Lexpol : ~270 marchés attribués/an, 4,1 offres/marché, 75% sans aucune offre PME, marché de niche.
• Procédures & formulaires — 62 documents officiels, la matrice « quel formulaire pour quelle situation », et le piège des 2 régimes (CPMP vs État).
• Faisabilité — l'IA assemble ~70-80% du dossier ; coffre-fort « setup une fois, candidate à l'infini ».
• Prototype « dossier auto » — pipeline DCE-driven codé, gate Codex PASS (0 CRITICAL), run complet 8/8 sur un vrai DCE.
• Documentation — rapport contexte 16 pages, one-pager produit, 3-layer (truth + design + manifest), ce carnet.
• SaaS — fondation & plomberie — Next.js 15 + Supabase dédié (RLS par entreprise) + auth OTP + onboarding + dashboard + upload DCE. Isolation cross-tenant prouvée 15/15.
• Moteur réel déployé — le pipeline du prototype porté en worker in-process (Trigger.dev écarté, Codex PROCEED) + DeepSeek + unpdf. Run prouvé sur le DCE DPAM → BROUILLON en 64 s.
• 293 vrais avis Lexpol — seeder branché sur l'API officielle (JOAM), les marchés en cours s'affichent dans le dashboard (filtrés sur les ouverts).
• Billing Freemius — webhook (signature HMAC, idempotency, anti-spoofing, gating) prouvé 14/14 par events signés forgés, sans compte réel.
• Durcissement sécurité — le gate Codex xhigh a trouvé 3 CRITICAL + 6 HIGH (escalade cross-tenant, bypass de route, binding paiement) → tous corrigés & prouvés, re-gate PASS.
• 🟢 MISE EN LIGNE — déployé sur Hetzner, DNS ajouté via l'API Hostinger, cert HTTPS auto : https://dossier.pacifikai.com est public.
• Débrief qualité avec Pascal — faire juger un dossier généré par l'expert métier (calibrage des formulaires).
• Produit Freemius (dashboard) — créer le produit + 3 plans dans Freemius pour activer le paiement (le code est prêt, attend les clés).

2 Les décisions & leurs justifications

Pourquoi on a tranché comme ça — et l'alternative qu'on a écartée.

3 Le build de bout en bout — le prototype

Comment l'IA transforme un vrai DCE en dossier de réponse. Architecture validée par Codex (checkpoint #1).

flowchart TD
  A["DCE réel
RC + CCAP + CCTP"] --> B["1. EXTRACT
exigences, critères, deadline"]
  B --> C{"2. ROUTE
régime ?"}
  C -- "Pays / Commune / EP" --> D["3. SELECT
formulaires LC/EC + CCAG"]
  C -- "État (UPF, gendarmerie...)" --> X["⛔ STOP
hors périmètre CPMP"]
  D --> E["4. GAP / ÉLICITE
ce qui manque (18 questions)"]
  E --> F["5. FILL
LC1·LC2·LC3·EC1·LC4·EC2"]
  F --> G["6. MÉMOIRE technique
tableau critère→preuve→risque"]
  G --> H["7. CHECK adversarial
cite les articles du RC"]
  H --> I["8. 🔶 BROUILLON
validation humaine obligatoire"]
    

Le parcours du gate Codex (durcissement)

Chaque colonne = une itération de cross-review adversariale. À chaque fois, de vrais bugs corrigés (garde-fou régime, fausse déclaration, never-certify…). Objectif : 0 CRITICAL.

4 Le contexte, illustré

Le piège n°1 : deux droits coexistent

flowchart LR
  Q["Qui publie l'avis ?"] --> P["Pays · Commune · Établissement public"]
  Q --> E["Service de l'État
(UPF, gendarmerie, justice)"]
  P --> CPMP["Régime CPMP
seuils en XPF"]
  E --> CCP["Code métropolitain
seuils en €"]
  CPMP --> US["✅ NOTRE CIBLE"]
  CCP --> HP["hors périmètre"]
    

Le marché en chiffres (scrapés sur Lexpol)

5 Le produit — le funnel

SaaS self-serve : l'IA scale le bas, Pacific Blue Consulting capture le haut.

flowchart TD
  V["🔍 Découverte (gratuit)
voit les AO + alertes"] --> S["📝 Standard ~12k XPF/mois
assistant IA + coffre-fort"]
  S --> P["⚡ Pro ~25k XPF/mois
illimité + intelligence marché"]
  P --> PBC["🤝 Premium — Pacific Blue Consulting
un expert co-construit le dossier"]
  V -. "active les 75% absentes" .-> S
    

6 Sections vivantes — à compléter au fil du build

Le SaaS est construit, durci et en ligne. Voici l'architecture réelle, les preuves empiriques et le parcours sécurité.

Architecture réelle (déployée)

flowchart TD
  U["👤 Entreprise PME
(le vendeur qui répond)"] --> N["Next.js 15 — auth OTP
middleware + RLS"]
  N --> DB[("Supabase dédié
RLS par entreprise · 13 migrations")]
  N -- "upload DCE (PDF)" --> ST["Storage privé
écriture service_role + magic-bytes"]
  N -- "répondre" --> Q["responses : queued
RPC atomique (quota par palier)"]
  Q --> W["⚙️ Worker in-process
lease atomique · concurrence · reprise"]
  W --> ENG["Moteur 8 étapes
unpdf + DeepSeek + garde-fous"]
  ENG --> DR["🔶 BROUILLON
jamais certifié · validation humaine"]
  FR["💳 Freemius (Merchant of Record)"] -- "webhook signé HMAC
idempotency · anti-spoof" --> N
    

Les preuves (rien n'est « dit fait » sans test)

Le parcours sécurité — le gate xhigh a tout rattrapé

Une revue adversariale « holistique » de Codex a trouvé des failles d'architecture que mes tests verts rataient. Chaque colonne = un gate ; objectif 0 CRITICAL avant de déclarer « fait ».

7 Index des livrables

Tout ce qui a été produit, accessible. (Liens relatifs — depuis le dossier du projet ou le tunnel.)