Sécurité et confidentialité

Comment nous traitons vos données.

Nous sommes une petite équipe qui développe un CRM destiné à d'autres petites équipes. Vous n'avez pas à nous croire sur parole concernant le contenu de cette page : chaque affirmation ci-dessous correspond à un élément que vous pouvez vérifier dans le produit, dans la DPA ou en nous contactant directement.

Chiffrement au repos

Chaque champ de contact est chiffré au repos à l'aide de l'algorithme AES-256-GCM. Chaque locataire dispose de sa propre clé de chiffrement. Les données d'un espace de travail ne peuvent pas être déchiffrées à l'aide de la clé d'un autre espace de travail — ni par nous, ni par un pirate informatique qui parviendrait à lire la base de données.

Les clés sont gérées dans un service de gestion des clés et ne sont pas stockées à proximité des données. Si vous résiliez votre abonnement, votre clé de locataire peut être retirée et le texte chiffré restant devient illisible.

Isolement des locataires

L'isolation au niveau des lignes pour les locataires multiples est appliquée au niveau de la base de données, et non dans le code de l'application. Chaque requête est limitée à votre identifiant de locataire au niveau de la couche Postgres. Les lectures inter-locataires ne constituent pas une fonctionnalité activable : elles sont techniquement impossibles au niveau de la base de données.

Journalisation des audits

Chaque modification est consignée avec l'acteur, l'enregistrement concerné, les valeurs antérieures et actuelles, ainsi que l'horodatage. Les administrateurs de l'espace de travail peuvent exporter l'historique complet à tout moment. Les journaux sont en mode « ajout uniquement ».

Authentification

Les administrateurs de la plateforme s'authentifient via WebAuthn / clés d'accès — pas de mots de passe partagés, pas d'authentification à deux facteurs par SMS. Les utilisateurs de l'espace de travail se connectent à l'aide de leur adresse e-mail et d'une clé d'accès ou d'un mot de passe ; les comptes avec mot de passe utilisent Argon2id avec des sels propres à chaque utilisateur.

Champ d'application de l'IA

Nexus, notre assistant IA, dispose de plus de 60 outils intégrés à la structure de votre espace de travail. Il n'a pas accès aux autres tenants, et il ne peut pas effectuer d'appels sortants vers des services externes en votre nom sans une intégration explicite et délimitée.

Par défaut, l'inférence IA s'exécute sur AWS Bedrock dans l'UE, dans une configuration sans rétention (zero-retention) : les requêtes et les résultats ne sont pas journalisés et ne sont pas utilisés pour entraîner un quelconque modèle.

Ce qui nous manque encore

Nous ne sommes pas certifiés SOC 2 Type II ni ISO 27001.

Ces certifications figurent dans notre plan d'action, mais cela ne signifie pas que nous les détenons déjà. Si votre service des achats en a besoin dès aujourd'hui, FlowGrid n'est pas encore la solution qui vous convient, et nous ne prétendrons pas le contraire.

Nous ne sommes pas soumis à la loi HIPAA ni à l'accord BAA. FlowGrid n'est pas conçu pour les processus de santé ; si votre cas d'utilisation nécessite le traitement de données médicales protégées (PHI), notre outil ne vous convient pas.

Si vous décidez de nous évaluer, voici ce que nous pouvons vous fournir de plus utile : le DPA ci-dessus, cette page, un contact direct avec l'équipe, ainsi qu'un accès en lecture au produit en production afin que votre responsable de la sécurité puisse l'examiner en détail.

Vous avez une question à laquelle cette page n'a pas répondu ?

Envoyez-nous un e-mail. C'est un membre de notre équipe qui vous répondra, et non un système de gestion des tickets.

[email protected]