Nos affirmations, et ce qui les étaye
Le produit touche vos contrats, vos arrêts maladie et vos données RH. Ce que nous faisons, ce que nous ne faisons pas encore, et qui traite quoi.
Six mesures, vérifiables dans le produit.
Aucune n’est une intention : chacune se constate en utilisant l’espace.
Isolation par organisation
Le cloisonnement est appliqué par la base de données elle-même (politiques de sécurité par ligne), pas par le code de l’interface. Une requête qui sortirait du périmètre de votre organisation ne renvoie rien, quel que soit le chemin emprunté.
Chiffrement
Chiffrement des échanges en transit (TLS) et des données au repos côté base et stockage. Aucune clé privilégiée n’est embarquée dans le navigateur : le site public ne dispose que d’une clé restreinte par ces mêmes politiques.
Traçabilité
Consommations de la réserve d’intelligence artificielle, mouvements du grand livre de facturation et connexions sont journalisés et consultables depuis votre espace. Nos conditions générales en font une preuve opposable entre les parties.
Moindre privilège
Les opérations sensibles passent par des fonctions serveur qui revérifient l’autorisation de l’appelant, avec un chemin de recherche figé. Elles ne sont jamais exposées aux visiteurs anonymes.
Accès à vos outils, révocable
Les connecteurs fonctionnent par autorisation OAuth : l’écran de consentement de Google ou Microsoft liste chaque droit demandé, vous pouvez en décocher, et vous pouvez tous les retirer à tout moment depuis votre compte Google ou Microsoft, ou en déconnectant le connecteur.
Aucun entraînement sur vos données
Vos documents et vos échanges ne servent ni à entraîner un modèle, ni à améliorer un service tiers. Les modèles sont appelés via leurs interfaces professionnelles, dont les conditions excluent la réutilisation des contenus transmis.
Ce que nous ne pouvons pas encore affirmer.
Nos contrôles suivent le référentiel SOC 2, sans attestation d’auditeur indépendant à ce jour : nous publions l’état réel, contrôle par contrôle.
Attestation SOC 2 Type II
Aucun cabinet n’est mandaté à ce jour. Nos contrôles sont construits en suivant le référentiel, mais aucun auditeur indépendant ne les a encore examinés.
Test d’intrusion externe
Aucun test d’intrusion conduit par un tiers indépendant n’a encore été réalisé sur la plateforme.
Plan de continuité éprouvé
Les sauvegardes de la base sont assurées par notre hébergeur, mais la procédure de restauration n’est pas encore formalisée ni testée à intervalle régulier.
Revue formelle des accès
Les accès privilégiés sont restreints au strict nécessaire, sans revue périodique documentée à ce stade.
Polices de caractères servies par un tiers
Les polices du site public sont chargées depuis le service de polices de Google, qui reçoit à cette occasion l’adresse IP du visiteur. Les auto-héberger supprimerait ce transfert : ce n’est pas encore fait. Cela ne concerne que la consultation du site, jamais les données de votre espace de travail.
Qui traite quoi, et où.
Les prestataires mobilisés en production, au sens de l’article 28 du RGPD. 7 d’entre eux traitent des données hors de l’Union européenne.
| Prestataire | Rôle | Région de traitement | Hors Union européenne |
|---|---|---|---|
| Supabase | Base de données, authentification et stockage des fichiers | Union européenne | Non |
| Vercel | Hébergement de l’application web et des fonctions serveur | États-Unis | Oui |
| Anthropic | Modèle de langage Claude, mobilisé pour le dialogue et l’exécution des tâches | États-Unis | Oui |
| Mistral AI | Modèle de langage Mistral, au choix de votre organisation | France | Non |
| Modèle Gemini, pour la génération et la retouche d’images demandées à un agent | États-Unis | Oui | |
| Voyage AI | Indexation sémantique de vos documents (recherche dans vos connaissances) | États-Unis | Oui |
| Composio | Passerelle vers les connecteurs tiers, activée connecteur par connecteur | États-Unis | Oui |
| Stripe | Encaissement des abonnements et conservation du moyen de paiement | Irlande, avec transferts vers les États-Unis | Oui |
| Resend | Envoi des e-mails du service (demandes de congés, convocations, relances) | États-Unis | Oui |
| IgniSign | Signature électronique qualifiée et horodatage des documents signés | Luxembourg | Non |
| Pappers | Données publiques du registre des entreprises, pour préremplir votre structure | France | Non |
Sur vos données.
Signaler une vulnérabilité
Écrivez à contact@vosagents.com : ce que vous avez observé, et comment le reproduire. Accusé de réception sous 2 jours ouvrés. Merci de ne pas publier une faille avant que nous l’ayons corrigée.
Ouvrez votre espace aujourd’hui.
Quinze jours pour tout essayer, sans installation et sans mobiliser votre informatique.