Trust Center
Mesures de sécurité
Les mesures en service, domaine par domaine. Chacune répond de notre annexe des mesures techniques et organisationnelles ou de notre accord de traitement des données.
Contrôle d'accès et authentification
- L'authentification forte est exigée pour accéder aux consoles d'administration de la solution.
- Les rôles d'administration nominatifs portent une date d'échéance obligatoire.
- Un rôle d'auditeur en lecture seule permet le contrôle sans aucun droit de modification.
- Les opérations sensibles de la plateforme sont soumises à une validation à quatre yeux.
Chiffrement et gestion des secrets
- Les données sont chiffrées au repos, dans la région d'hébergement choisie par le client.
- Les échanges sont chiffrés en transit (TLS 1.2 ou 1.3), y compris jusqu'aux bases de données.
- Les clés de chiffrement sont renouvelées chaque année.
- Aucun secret n'est stocké dans la configuration : les secrets sont conservés dans un coffre dédié.
- Le client peut fournir sa propre clé de signature. Fiche sécurité SEAL (scellement, gestion des clés) →
Journalisation et supervision
- Chaque action est enregistrée dans une piste d'audit horodatée : acteur, rôle, action, résultat.
- La piste d'audit est chaînée et scellée chaque jour : toute altération est détectable.
- Le client peut diffuser sa piste d'audit vers son propre SIEM.
- La disponibilité est mesurée en continu par des sondes externes et publiée sur une page de statut.
Gestion des vulnérabilités
- Les images déployées sont analysées pour les vulnérabilités connues, puis déployées par empreinte.
- Les vulnérabilités critiques sont corrigées sous 14 jours et les vulnérabilités élevées sous 30 jours.
- Toute vulnérabilité peut nous être signalée à security@we-reviewit.com, selon notre politique de divulgation responsable. Politique de divulgation responsable →
Configuration et durcissement
- Aucune base de données n'est exposée sur Internet, et l'administration passe par un accès contrôlé sans adresse publique.
- Seules des versions scellées, identifiées par leur empreinte, sont déployées en production.
Protection des données
- Chaque souscription dispose de ses propres bases de données.
- Les données sont hébergées dans la région choisie par le client, Paris par défaut. Localisation des données et transferts hors UE →
- Les durées de conservation sont fixées par catégorie de données, et la purge est exécutée par le produit. Engagement de rétention et de réversibilité →
- À la fin du contrat, les données sont restituées puis effacées, et une attestation de suppression est remise. Modèle d'attestation de suppression →
Continuité, sauvegarde et incidents
- Les bases sont sauvegardées automatiquement, et les sauvegardes sont conservées 35 jours. Stratégie de sauvegarde et de reprise — synthèse →
- L'infrastructure est répartie sur deux zones de disponibilité.
- Toute violation de données personnelles est notifiée au client sous 24 heures.
Fournisseurs
- Chaque sous-traitant ultérieur est encadré par un accord de traitement évalué au regard de l'article 28 du RGPD.
- Tout changement de sous-traitant ultérieur est annoncé au client avec un préavis de 30 jours.
- La liste de nos prestataires informatiques est tenue à la disposition des clients, notamment pour leur registre d'information DORA.
IA
- L'assistant RITA est désactivable par souscription, et son mode par défaut n'utilise pas d'IA générative.
- Les conversations avec RITA ne sont jamais conservées.
- Les modèles s'exécutent dans la géographie de la région du client, et toute autre route est refusée.
- Les données du client ne servent jamais à entraîner des modèles. Notice de transparence IA — RITA →
Version 1.0, publiée le 04/11/2026 · le français fait foi · empreinte 996d079c8d4f48b0… Vérifier →