Cette traduction est fournie pour votre commodité. Seule la version anglaise fait foi et prévaut en cas de divergence ou de différence de sens. Lire la version anglaise.
Sécurité
Ce que nous faisons aujourd’hui, pas ce que nous prévoyons.
Cette page décrit les mesures en place au 30 octobre 2026. La version qui fait foi est l’annexe 2 de l’Accord de traitement des données (DPA).
01
Hébergement et données
L’application est hébergée sur Vercel. La base de données clients et l’authentification sont hébergées par Supabase sur AWS en Irlande (UE) : les données des clients sont stockées dans l’UE, chiffrées au repos, avec une sécurité au niveau des lignes, de sorte que les enregistrements de chaque client ne sont lisibles que par les utilisateurs de ce client et par le service agissant pour leur compte. Les fonctions Vercel et les fournisseurs d’IA fonctionnent hors de l’UE : le traitement n’a donc pas lieu exclusivement dans l’UE. La Politique de confidentialité liste chaque fournisseur avec sa localisation.
Les sauvegardes sont chiffrées et effectuées automatiquement chez le fournisseur, avec restauration à un instant donné ; leur rotation intervient dans un délai de 30 jours.
02
Accès
Les membres de l’équipe utilisent des comptes individuels protégés par l’authentification à deux facteurs. Celle-ci est obligatoire pour toute connexion d’administrateur ou de membre de l’équipe, et proposée à chaque utilisateur client. Les secrets de production sont conservés uniquement dans le coffre chiffré des variables d’environnement de l’hébergeur, jamais dans le code. Les jetons d’intégration (par exemple Google Analytics) sont chiffrés en AES-256-GCM avec une clé conservée uniquement dans ce coffre. Les mots de passe sont stockés sous forme de hachages salés par le fournisseur d’authentification, jamais par nous.
03
Données en transit
TLS 1.2 ou supérieur partout. Le nombre de requêtes est limité sur les formulaires publics et les routes de l’API ; les formulaires de connexion, de création de compte et de contact sont protégés par une vérification anti-robots Cloudflare là où elle est activée. Les tentatives de connexion sont limitées par compte et par adresse.
04
Fournisseurs d’IA
Les requêtes sont transmises aux fournisseurs d’IA dans le cadre de conditions d’API professionnelles. Anthropic et OpenAI n’utilisent pas les données transmises par API pour entraîner leurs modèles. Lorsque les conditions d’un fournisseur n’ont pas encore été vérifiées, la Politique de confidentialité l’indique. Nous n’autorisons aucun fournisseur à entraîner un modèle public sur les données des clients. Les brouillons générés sont contrôlés par un vérificateur automatisé, au regard des propres données du client, avant que celui-ci ne les voie, et chaque brouillon est signalé comme généré par l’IA.
05
Incidents
Nous informons les clients concernés dans les 48 heures suivant la prise de connaissance d’une violation de données à caractère personnel, et nous coopérons aux notifications qu’ils adressent eux-mêmes aux autorités de contrôle et aux personnes concernées. Nous journalisons les événements de sécurité sur chaque compte ; chaque client consulte son propre historique de connexion et ses sessions actives dans l’onglet Sécurité de son portail. L’engagement complet figure à la section 5 de l’Accord de traitement des données (DPA).
06
Certifications
Nous ne disposons pas encore de notre propre rapport SOC 2 ou ISO 27001. Nos fournisseurs d’infrastructure, eux, en disposent : nous communiquons leurs rapports sur demande, sous accord de confidentialité, et le DPA précise comment un client peut nous auditer.
07
Signaler une vulnérabilité
Écrivez à security@thenewmap.ai. Nous accusons réception sous 5 jours ouvrés. Nous n’engagerons aucune action en justice contre une recherche menée de bonne foi qui respecte les données des autres clients, ne dégrade pas le service et n’accède pas à plus que ce qui est nécessaire pour démontrer le problème. Merci de nous laisser un délai raisonnable pour le corriger avant de le rendre public. Nous n’avons pas de programme de récompense (bug bounty).
Questions des services achats ou d’un délégué à la protection des données : privacy@thenewmap.ai. Voir aussi : Politique de confidentialité, Accord de traitement des données (DPA), Conditions générales d’utilisation.
Dernière mise à jour : .