Sécurité et confidentialité

Construit sur Google Cloud. Une sécurité expliquée clairement.

EMPOBase est hébergé sur Google Cloud. Cette page résume les contrôles documentés, les engagements de confidentialité et les améliorations prévues. Contactez-nous pour obtenir les justificatifs actuels et les conditions applicables à votre utilisation du service.

Envoyer un questionnaire de sécurité Voir qui accède à vos données

Le chiffrement géré par le client à l’échelle de l’organisation et la résidence des données dans une région déterminée restent inscrits à la feuille de route.

app.empobase.com TLS

Accès et protection

Contrôle documenté : Connexion chiffrée

Connexions chiffrées
Contrôle documenté : Connexion vérifiée

Connexion vérifiée avant l’accès
Contrôle documenté : Vérifications d’accès de l’organisation

Les actions prises en charge vérifient le contexte de l’organisation et les autorisations
Contrôle documenté : Chiffré au repos

Chiffrement des données stockées géré par Google
Chiffrement géré par le client à l’échelle de l’organisation Feuille de route

Prise en charge prévue des clés de chiffrement contrôlées par le client

Résumé illustratif des contrôles, et non vérification de sécurité en temps réel.

Hébergement: Google Cloud; Région de Singapour. La résidence des données dans l'UE ou fixée par région figure sur notre feuille de route.
Chiffrement: En transit et au repos; TLS en transit. Chiffrement au repos géré par Google.
Isolation: Accès limité par organisation; L’accès aux dossiers de chaque organisation est limité par la connexion et les autorisations.

Engagements permanents

Aucune revente de données
Non utilisées pour entraîner des modèles d’IA
Conditions de DPA sur demande
Exports pris en charge via notre processus de confidentialité
Informations sur les fournisseurs ci-dessous

Contrôles de sécurité

Une protection pour votre équipe et ses dossiers.

Résumé des contrôles documentés, avec les fonctionnalités prévues indiquées séparément. Confirmez que les contrôles et les limites actuelles répondent aux exigences de votre programme.

Protection des connexions

Connexions chiffrées
Protection contre le trafic abusif

Connexion au compte

Vérifications d’identité
Connexion vérifiée avant l’accès

Accès de l’organisation

Les règles d’accès varient selon le module
Autorisations vérifiées pour les actions prises en charge

Fichiers privés

Accès réservé aux utilisateurs autorisés
Liens à durée limitée pour les téléchargements privés

Les données générales utilisent un chiffrement au repos géré par Google. Le chiffrement géré par le client à l’échelle de l’organisation reste prévu. Le coffre-fort RH confidentiel, qui est distinct, utilise un chiffrement côté client dans les processus pris en charge et activés ; confirmez sa disponibilité et ses exigences de récupération.

Contrôles et limites

Les contrôles de sécurité en termes simples.

Ces contrôles contribuent à protéger vos données. Ils ne garantissent pas que toutes les menaces ou actions non autorisées seront empêchées.

Accès limité par organisation

L’accès aux dossiers de chaque organisation est limité par la connexion et les autorisations.
Pour les fichiers privés téléversés, une autorisation est nécessaire avant l’émission d’un lien de téléchargement à durée limitée. Les fonctions de partage public et de publication suivent des règles d’accès différentes ; vérifiez ce qui sera exposé avant de les utiliser.
Le personnel d'EMPO peut aider à l'administration des comptes et des rôles et peut accéder à certains documents de l'organisation pendant l'assistance. Contactez-nous pour confirmer le périmètre et les registres d'activité disponibles.

Chiffrement

Les connexions du navigateur utilisent le chiffrement HTTPS/TLS en transit.
Les dossiers et fichiers stockés utilisent des clés de chiffrement gérées par Google.
Le chiffrement géré par le client à l’échelle de l’organisation reste prévu. Le coffre-fort RH confidentiel, qui est distinct, utilise un chiffrement côté client dans les processus pris en charge et activés. Confirmez sa disponibilité et les exigences d’accès et de récupération. Les clés de chiffrement sont distinctes des clés de fournisseurs d’IA.

Identité & sessions

La connexion utilise les services d’identité Google pour les méthodes de connexion Google et par e-mail prises en charge.
La connexion est vérifiée avant l’accès aux actions prises en charge.
Les vérifications de session contribuent à limiter les utilisations non autorisées.
La connexion est limitée aux domaines web approuvés.

Résilience

La configuration documentée de récupération de la base de données conserve quatorze sauvegardes automatiques et sept jours d’historique de récupération pour permettre une restauration à un instant donné. Cela ne garantit ni un délai de récupération ni l’absence de perte de données.
L’accès aux identifiants du service est restreint et journalisé.
Les protections du navigateur limitent le contenu non fiable et l’intégration de pages.

Confidentialité

Vos données, vos règles. Pas de données d’entraînement.

Nous exploitons le portail. Les clients contrôlent les données qu’ils soumettent, et nous les traitons pour fournir et sécuriser le service.

Propriété des données: Vous possédez les données que vous soumettez. Nous les traitons pour fournir et sécuriser le service, et nous prenons en charge les demandes d’export via notre processus de confidentialité.
Pas d'entraînement, pas de revente: Nous ne vendons pas les données des clients, ne les concédons pas sous licence et n’utilisons pas leur contenu pour entraîner les modèles d’EMPO ou de tiers. Des informations sur les fournisseurs figurent ci-dessous ; demandez les conditions de traitement applicables à vos services et intégrations activés.
Droit à l'effacement: La suppression par enregistrement est disponible dans les flux pris en charge. Les demandes vérifiées de suppression de compte suivent notre processus de confidentialité et les obligations de conservation applicables.
Droit à l'export: Les exports pris en charge sont disponibles dans le produit et via notre processus de confidentialité. Le format et le périmètre dépendent des données et de l’offre.
Conditions du DPA sur demande: Les conditions applicables de l’Accord de traitement des données sont disponibles sur demande pour les modalités de traitement et de transfert prises en charge.
Données des bénéficiaires: Si vous stockez des noms, photos, coordonnées GPS ou documents d’identité de bénéficiaires, traitez-les comme sensibles et confirmez les contrôles d’accès, de conservation et de masquage requis pour votre programme.

Fournisseurs de services

Qui d'autre accède à vos données, et pourquoi.

Le tableau présente les fournisseurs d’infrastructure et de services. Le traitement par l’IA dépend également du service activé et du fournisseur choisi, comme expliqué ci-dessous. Demandez la liste actuelle des fournisseurs et les conditions de traitement applicables pour votre évaluation dans le cadre des achats.

Qui d'autre accède à vos données, et pourquoi.
Prestataire	Finalité	Type de données	Localisation
Google Cloud	Hébergement, base de données, stockage de fichiers et infrastructure associée	Toutes les données client	Région de Singapour
Fournisseur d'identité Google	Connexion (Google + email)	Email, nom d'affichage, horodatages de connexion	Mondial
Hostinger	Bureau d'enregistrement de domaine	Uniquement les enregistrements de propriété du domaine	UE (Lituanie)
Resend	Email transactionnel (reçus, authentification, notifications)	Adresse email, contenu du message	États-Unis
Stripe	Facturation des abonnements (prévu — pas encore actif)	Contact de facturation, email, moyen de paiement	États-Unis · UE disponible

Stripe est prévu, mais pas encore actif. Les informations sur la région d’hébergement ne signifient pas que tous les fournisseurs traitent les données uniquement dans cette région.

Les fournisseurs d’IA et vos données

Les fonctions d’IA peuvent envoyer des instructions et des éléments de contexte sélectionnés à Google. Les clés de fournisseurs prises en charge et configurées par le client peuvent orienter les requêtes vers Anthropic ou OpenAI à la place. La disponibilité dépend de la configuration du service. Examinez le fournisseur choisi et les conditions applicables avant d’envoyer des informations sensibles ; demandez-nous de confirmer les modalités de traitement pour votre cas d’usage.

Lire les informations sur les paramètres d’IA Lire nos recommandations de confidentialité

Limites actuelles et projets

Améliorations prévues.

Nous ne revendiquons ni attestation SOC 2 ni certification ISO 27001. Les éléments ci-dessous indiqués comme prévus ou à l’étude ne sont ni des fonctionnalités actuelles ni des engagements de livraison à une date donnée.

Aujourd'hui

Contrôles fondamentaux

Contrôles de sécurité fondamentaux
Contrôles d’accès de l’organisation
Chiffrement en transit et au repos
Modèle de DPA sur demande
Informations sur les fournisseurs (ci-dessus)

Prévu

Prévu — aucune date garantie

Déploiement des applications d’authentification et assistance à la récupération prévus.
Couverture élargie de l’export du journal d’audit
Amélioration de l’exportation et de la suppression des données
Résidence des données dans l'UE
Kit de questionnaire de sécurité fournisseur

À l’étude

À l’étude — aucune date garantie

SOC 2 Type I
Clés de chiffrement gérées par le client à l’échelle de l’organisation
Lancement de l'audit ISO 27001
Page d'état publique

Parlez-nous

Des questions sur nos contrôles de sécurité ?

Envoyez votre questionnaire de sécurité fournisseur ou demandez les justificatifs actuels des contrôles. Contactez-nous pour convenir du périmètre, du calendrier et des modalités de confidentialité de l’évaluation.

Pour signaler une vulnérabilité présumée, utilisez l’adresse e-mail de sécurité ci-dessous. Indiquez la page ou la fonctionnalité concernée et une description concise. N’incluez ni mots de passe, ni clés API, ni dossiers personnels ; demandez comment partager les éléments sensibles en toute sécurité.

Signaler une vulnérabilité

security@empobase.com

Écrire à l'équipe sécurité Demander le DPA