Sécurité

La sécurité que votre marque mérite.

La sécurité n'est pas une priorité. Cela façonne la façon dont nous construisons, comment nous opérons et comment nous pensons à chaque fonctionnalité que nous proposons.

Dernière mise à jour le 18 avril 2026

Région

Données pour l'UE uniquement

Cryptage

TLS 1.2+ / AES-256

Enregistrer

Zéro violation de données

Réponse

Notification RGPD sous 72 heures

01Infrastructure et hébergement

Infrastructure de niveau entreprise, par défaut.

Nous travaillons avec des fournisseurs qui servent collectivement des centaines de milliers d'entreprises et apportent une sécurité physique, réseau et opérationnelle qu'une petite équipe ne pourrait jamais construire seule. Chaque modification apportée au fonctionnement de nos services est examinée, contrôlée en version et reproductible.

Google Cloud Platform
Application de calcul en europe-nord1 (Finlande). Certifié SOC 2 Type 2 et ISO/IEC 27001.
Vercel (EU edge)
Livraison front-end sur les sites périphériques de l’UE avec contrôles de sécurité d’entreprise.
Supabase (EU)
Base de données et authentification hébergées dans une région de l'UE, avec rapports d'audit publiés.
Redis (EU)
Couche de cache hébergée dans une région de l'UE, chiffrée au repos et en transit.
02Protection des données

Crypté partout, visible par personne supplémentaire.

Les données des clients sont cryptées en transit et au repos. Notre base de code élimine des classes entières de vulnérabilités Web courantes et les dépendances sont surveillées en permanence.

Chiffré en transit
Tout le trafic réseau vers et depuis Videntic utilise TLS 1.2 ou supérieur, y compris les appels vers chaque API tierce.
Chiffré au repos
La base de données, le stockage de fichiers, le cache et les sauvegardes sont cryptés avec AES-256, avec des clés gérées par le KMS de nos fournisseurs de cloud.
Les paiements ne nous touchent jamais
Stripe gère les détails de la carte de bout en bout. Nous ne voyons que des identifiants anonymes pour les clients et les abonnements.
Mots de passe
Nous ne stockons les mots de passe sous aucune forme lisible. Les informations d'identification sont hachées par notre fournisseur d'identité selon les normes modernes.
Sécurité des applications
Une validation stricte des entrées et un accès paramétré à la base de données empêchent l’injection SQL, XSS et les redirections ouvertes. Les entrées utilisateur envoyées à l’IA sont nettoyées et normalisées.
Surveillance des dépendances
Dependabot surveille en permanence chaque référentiel pour détecter les vulnérabilités connues dans notre arborescence de dépendances.
03Contrôle d'accès

Un petit groupe nommé. Tout le monde sur MFA.

Seul un petit groupe nommé de personnes peut accéder aux systèmes de production de Videntic. Nous suivons le principe du moindre privilège et séparons les données client au niveau de l'application et de la base de données.

MFA + SSO partout
Chaque opérateur utilise l'authentification multifacteur et l'authentification unique sur les consoles cloud, la base de données, le référentiel, les paiements et les tableaux de bord internes.
Approbation par deux personnes
Toute modification apportée à l’infrastructure critique nécessite une deuxième approbation explicite de notre CTO ou PDG.
Moindre privilège
L'accès est accordé uniquement à ceux qui en ont besoin pour leur rôle, et uniquement aux ressources requises.
Liste de contrôle pour le départ
Lorsqu'une personne quitte l'entreprise, tous les accès sont révoqués manuellement sur chaque système le dernier jour, selon une liste de contrôle écrite.
Isolement des locataires
Les données client sont logiquement séparées au niveau de l’application et de la base de données. Un client ne peut pas accéder aux données d'un autre.
04L'IA et vos données

Vos données ne sont pas des données d'entraînement.

Notre produit utilise largement l’IA, nous savons donc que c’est la question que les entreprises clientes posent le plus souvent. Voici comment nous le gérons.

Aucune formation sur vos données
Les modèles Foundation sont accessibles via les niveaux d’API d’entreprise. Selon leurs termes, les entrées API ne sont pas utilisées pour la formation. Nous n'affinons pas les données clients.
Isolement par client
Les requêtes de récupération, l'état de la conversation et les intégrations vectorielles sont tous définis par l'identité du client. L'IA d'un client ne peut pas faire apparaître les données d'un autre.
Traçable dès la conception
Chaque interaction avec l'IA est enregistrée via nos outils d'observabilité avec une conservation de 30 jours. Exactement ce que l’IA a fait, quand et sur quelles entrées.
05Surveillance et journalisation

Nous regardons continuellement. De garde, toujours.

Surveillance continue via Sentry (avec filtrage PII activé), Google Cloud Logging et les tableaux de bord natifs du fournisseur. Les alertes circulent vers une rotation d’astreinte disponible 24 heures sur 24.

Rétention
Erreurs d'application90 jours
Journaux d'infrastructure30 jours
Traces d'agents IA30 jours
Sauvegardes de base de données7 jours, en continu
06Continuité des activités

Sauvegardes testées. Objectifs de rétablissement définis.

Notre base de données est sauvegardée automatiquement chaque jour avec une conservation continue de 7 jours. Les sauvegardes sont cryptées AES-256 avec récupération à un moment précis, et nous avons testé la restauration à partir d'une sauvegarde.

RTO : 1 à 4 heures
Objectif de rétablissement du service après un incident majeur. Notre objectif de temps de récupération.
RPO : 24 heures maximum
Perte de données maximale limitée par l'intervalle de sauvegarde quotidien. Notre objectif de point de récupération.
Plateforme d'auto-réparation
S'adapte automatiquement au sein de sa région cloud et récupère automatiquement après les pannes d'instance, les contrôles d'état et la répartition de la charge.
07Réponse aux incidents

Détecter. Contenir. Avertir. Apprendre.

Aucune entreprise ne peut promettre que rien ne se passera jamais mal. Ce que nous pouvons promettre, c’est la façon dont nous réagirons lorsque cela se produit. À ce jour, Videntic n’a subi aucune violation de données.

1
Détecter
Surveillance et alertes automatisées sur toute la pile.
2
Intensifier
Une chaîne d’intervenants prioritaires nommée, disponible à toute heure.
3
Contenir
Isolez les services concernés sans mettre hors service l’ensemble du système.
4
Notifier
Clients concernés dans les 72 heures suivant toute violation confirmée des données personnelles, conformément à l'article 33 du RGPD.
5
Revoir
Post-mortem documenté et correction de la cause première.
08Vos droits et traitement des données

Vos données, vos droits.

Le RGPD vous confère des droits spécifiques et exécutoires sur les données que nous détenons à votre sujet. Nous répondons sous 30 jours, généralement plus rapidement.

Vous disposez d'un droit d'accès (Art. 15), de rectification (Art. 16), de suppression (Art. 17) et d'exportation de vos données personnelles dans un format portable (Art. 20), ou de vous opposer à des utilisations spécifiques (Art. 21). E-mail info@videntic.com pour exercer l’un d’entre eux.

Lorsque vous supprimez votre compte
Nous effaçons définitivement les données clients que nous contrôlons : enregistrements de bases de données, stockage de fichiers, historique des conversations IA, analyses. Les données peuvent persister brièvement dans des sauvegardes chiffrées (jusqu'à 7 jours) avant d'être supprimées. Les données détenues par des processeurs indépendants (par exemple Stripe) sont conservées selon leurs propres politiques.
09Où nous allons

Nous ne restons pas immobiles.

Au cours des 12 à 18 prochains mois, nous renforcerons notre programme de sécurité formel et publierons davantage de nos contrôles en externe.

Accords de traitement des données
DPA standard avec chaque sous-processeur de notre pile.
Test d'intrusion tiers
Un test d'intrusion indépendant, commandé en externe.
Attestation SOC 2 Type 2
Poursuite de l'attestation formelle Videntic.

Vous avez trouvé un problème de sécurité ? Vous avez une question ?

E-mail info@videntic.com et vous recevrez une réponse dans les 48 heures. Nous ne poursuivons pas les chercheurs qui signalent des problèmes de bonne foi.