Sécurité et confidentialité

Ce que nous stockons

• Métadonnées d'usage IA : modèle, fournisseur, tokens, latence, date, tag d'équipe/application.
• L'annuaire des personnes que vous importez : email, nom, département, manager, pays, centre de coûts.
• Les attributions de licences IA et leur dernière activité.
• L'empreinte calculée (énergie, CO₂e, eau) et le moteur de calcul appliqué.
• Les journaux d'audit des actions sensibles (qui a fait quoi, et quand).

Ce que nous NE stockons PAS

• Nous ne stockons pas les prompts. Nous lisons les comptes et les coûts chez vos fournisseurs ; le contenu de vos requêtes ne nous parvient jamais.
• Nous ne stockons pas les réponses des modèles.
• Nous ne stockons ni documents ni fichiers de votre Microsoft 365 — uniquement annuaire, licences et rapports d'usage.

Identifiants et tokens

• Vos clés API fournisseur (OpenAI, Anthropic…) sont chiffrées au repos avec Fernet (AES-128-CBC + HMAC-SHA256), avec une clé dérivée du secret serveur qui ne quitte jamais le serveur, et ne sont plus affichées après enregistrement.
• Les tokens OAuth Microsoft sont chiffrés selon le même schéma.
• Vous pouvez faire tourner ou révoquer les identifiants des connecteurs à tout moment depuis les Réglages.

Permissions Microsoft Graph

Le connecteur utilise des permissions en lecture seule selon le moindre privilège : lecture des utilisateurs et de l'annuaire, des licences et des rapports d'usage. Chaque permission est expliquée dans l'assistant avant l'admin consent, et vous pouvez déconnecter le tenant et supprimer les données importées à tout moment.

Authentification et accès

• Mots de passe hachés avec scrypt et sel ; sessions signées avec cookies HttpOnly/SameSite.
• Rate limiting sur la connexion et l'inscription.
• Rôles par organisation : Owner, Admin, Analyst, Viewer, Developer.
• Connexion Microsoft (SSO) disponible pour tous les clients, configurable par organisation ; l'accès par mot de passe utilise un hachage scrypt.

Durcissement de l’application

• HTTPS forcé (Let’s Encrypt) avec HSTS en production ; transport chiffré de bout en bout.
• En-têtes de sécurité sur chaque réponse : Content-Security-Policy, anti-clickjacking (X-Frame-Options / frame-ancestors), nosniff et politique de referer stricte.
• Protection CSRF par vérification d’origine, combinée à des cookies de session signés SameSite.
• Limitation du nombre de tentatives à la connexion et à l'inscription, et journal d'audit des actions sensibles (changements d'offre, identifiants, synchronisations, accès admin).
• Isolation entre clients : chaque requête est limitée à l'organisation authentifiée et tout accès aux données est autorisé au regard de celle-ci, ce qui vise à empêcher tout accès inter-organisations. Le backoffice est une surface distincte, restreinte à une seule adresse d'administrateur configurée, et ses accès sont journalisés.

Vos données, votre contrôle

Principes conformes au RGPD : minimisation des données (métadonnées uniquement par défaut), droit à l'effacement (suppression par organisation sur demande), méthodologie documentée. Puisque nous traitons les données de vos employés en tant que sous-traitant, le <strong>DPA est disponible pour tout client qui le demande</strong>, pas seulement les grands comptes. Les revues de sécurité et questionnaires sur mesure sont traités pour les comptes sous contrat. Nous ne revendiquons pas de certifications (SOC 2, ISO 27001) que nous n'avons pas encore.