Sécurité
Texte provisoire, en attente de validation juridique. Ce n'est pas la version définitive.
Vos données et celles de vos clients nous sont confiées. Cette page décrit ce que nous faisons pour les protéger. Elle ne parle que de mesures en place.
Hébergement en France
Nos services sont hébergés chez Scaleway, en France. Les e-mails que nous vous envoyons partent par Scaleway, en France. Les sauvegardes sont stockées en France, elles aussi.
Vos données restent les vôtres
Chaque compte client est isolé des autres, à deux niveaux :
- dans le code de l'application, qui ne lit que les données du compte en cours ;
- dans la base de données elle-même, qui refuse toute lecture ou écriture hors du compte en cours.
Si une erreur se glissait dans le code, le résultat serait une page vide, pas une fuite. Des tests automatiques vérifient cette isolation à chaque modification du code, y compris pour les traitements en arrière-plan.
Notre équipe n'a pas d'outil pour entrer dans votre compte. Si vous avez besoin d'aide, vous nous montrez votre écran.
Connexion et comptes
- Double authentification pour tous les comptes, quel que soit l'abonnement : application d'authentification, passkeys et codes de secours.
- Double authentification imposable : un compte peut l'exiger de tous ses membres.
- Confirmation pour les actions sensibles : changer un rôle, exporter des données, modifier la connexion d'entreprise ou la facturation demande une vérification récente du second facteur. Un mot de passe seul ne suffit pas.
- Connexion avec Google ou Microsoft, sans rattachement automatique à un compte existant sur la seule base de l'adresse e-mail.
- Connexion d'entreprise (SSO) en SAML ou OpenID Connect, après vérification de votre domaine.
- Équipe interne : la double authentification est obligatoire pour accéder à nos outils d'administration.
Droits et clés d'API
- Chaque action est autorisée ou refusée par le serveur, selon le rôle de la personne.
- Une clé d'API n'est affichée qu'une fois. Nous n'en gardons qu'une empreinte. Ses droits ne dépassent jamais ceux de la personne qui l'a créée, et vous pouvez la révoquer à tout moment.
Chiffrement
- Toutes les connexions passent en HTTPS.
- Les identifiants de vos outils connectés (vos CRM, par exemple) sont chiffrés dans notre base.
- Les sauvegardes sont chiffrées avant de quitter le serveur.
Journal d'audit
Les actions importantes sont inscrites dans un journal d'audit : qui, quoi, quand, depuis quelle adresse. Ce journal ne peut pas être modifié. Il est conservé trois ans. Vous pouvez le consulter depuis votre compte.
Vos données, du début à la fin
- Export complet de vos données à tout moment, protégé par la double authentification.
- Suppression de vos contacts et de leurs réponses 30 jours après la résiliation, après vous avoir laissé le temps de les exporter. Nos sauvegardes chiffrées s'effacent d'elles-mêmes dans les 30 jours suivants, soit environ 60 jours au total.
Intelligence artificielle
Certaines analyses utilisent une IA : Claude (Anthropic), traitée dans l'Union européenne. Avant tout envoi, nous retirons les adresses e-mail, numéros de téléphone, liens, coordonnées bancaires et noms connus. Vous pouvez désactiver l'IA pour votre compte.
Intégrations
- Les webhooks que nous vous envoyons sont signés : vous pouvez vérifier qu'ils viennent bien de nous.
- Le widget intégré à votre application vérifie l'identité de vos utilisateurs par une signature calculée sur votre serveur. Il ne dépose aucun cookie.
Erreurs et surveillance
Les rapports d'erreurs techniques ne contiennent ni le contenu des requêtes, ni les variables du programme, ni l'identité des utilisateurs.
Développement
Chaque modification du code passe des contrôles automatiques avant d'être livrée : tests, vérification de l'isolation entre comptes, vérification des licences.
Signaler une vulnérabilité
Vous pensez avoir trouvé une faille ? Merci de nous la signaler à security@scaliamo.com. Notre politique de divulgation des vulnérabilités explique comment faire et ce que nous nous engageons à faire en retour.