Confiance et sécurité

Hébergement et localisation des données

CaseConduit fonctionne entièrement dans la région Royaume-Uni d’un grand fournisseur de cloud : vos contenus et les données de votre compte y sont stockés, les traitements de la plateforme s’y exécutent et les e-mails liés aux comptes sont envoyés depuis cette région. Les données sont chiffrées en transit (TLS) et au repos.

La génération par IA fait exception : lorsque vous demandez à la plateforme de générer ou d’analyser quelque chose, le contenu concerné est envoyé à nos fournisseurs d’IA (sous-traitants ultérieurs), dont certains opèrent hors du Royaume-Uni (aux États-Unis) ; ils le traitent de façon transitoire pour produire le résultat demandé, puis renvoient ce résultat. Ces transferts s’appuient sur les garanties appropriées prévues par le droit britannique de la protection des données (l’International Data Transfer Agreement / Addendum du Royaume-Uni). Tous les détails figurent dans notre politique de confidentialité.

Sous-traitants ultérieurs

Nous faisons appel à un nombre volontairement restreint de prestataires, chacun étant tenu de ne traiter les données que sur nos instructions :

En vertu des conditions applicables aux offres professionnelles de nos fournisseurs d’IA, vos contenus ne servent pas à entraîner leurs modèles à usage général — ils sont traités uniquement pour produire le résultat que vous avez demandé. Les pages du site chargent par ailleurs des polices et des bibliothèques d’icônes depuis des CDN publics (Google Fonts, cdnjs, unpkg), qui reçoivent les métadonnées habituelles de toute requête web, comme les adresses IP, mais aucun de vos contenus.

Conservation et suppression

• Vos contenus et votre bibliothèque — conservés jusqu’à ce que vous les supprimiez ou que vous fermiez votre compte.
• Données de compte et de profil — supprimées dans les 30 jours suivant la fermeture du compte, sauf lorsque la loi impose leur conservation.
• Journaux techniques et de sécurité — conservés jusqu’à 12 mois.
• En libre-service, sans passer par le support : une fois connectés, les utilisateurs peuvent eux-mêmes consulter, exporter et supprimer définitivement leurs données depuis la rubrique MyData de leur espace de travail — sans avoir à en faire la demande.

Pratiques de sécurité

• TLS partout ; les données stockées sont chiffrées au repos par la plateforme cloud.
• Architecture sans serveur (serverless) — aucun serveur permanent auquel appliquer des correctifs ; la plateforme se compose de contenu statique et de services cloud gérés.
• Authentification gérée — les mots de passe sont pris en charge par le service d’identité géré de la plateforme cloud et ne sont jamais stockés en clair par nous ; une authentification unique (SAML / OIDC) est disponible pour les entreprises, afin que votre fournisseur d’identité garde le contrôle.
• Les clés d’API et les secrets restent exclusivement côté serveur — le navigateur ne détient jamais d’identifiants d’accès à nos fournisseurs d’IA ; tous les appels à l’IA passent par notre back-end, qui impose également une limitation du nombre de requêtes et des plafonds d’utilisation.
• Isolation des paiements — le paiement et la facturation se déroulent sur les pages hébergées par le prestataire de paiement ; la signature cryptographique des notifications webhook est vérifiée.
• Stockage versionné — le stockage des données utilisateur conserve les versions antérieures, ce qui permet de récupérer les données en cas de suppression ou d’écrasement accidentels.
• Lecteur de cas protégé — les cas diffusés aux apprenants s’affichent dans un lecteur protégé, avec filigrane, qui bloque le téléchargement et la copie simple. Disons-le franchement : aucun lecteur web ne peut rendre un contenu impossible à capturer (on peut toujours photographier l’écran avec un téléphone) ; le nôtre rend la capture plus laborieuse et appose sur chaque page l’identité de la personne qui la consulte.

Certifications et tests — la réponse franche

CaseConduit en tant que tel ne détient pas encore la certification Cyber Essentials ni la certification ISO 27001, et ne dispose pas d’un rapport de test d’intrusion réalisé par un tiers. Nous préférons vous le dire plutôt que de vous laisser le découvrir à la question 40 d’un questionnaire. Trois autres faits sont tout aussi vrais :

• L’infrastructure cloud sur laquelle tout repose est couverte par les référentiels ISO 27001, SOC 1/2/3, Cyber Essentials Plus et tout le reste de l’alphabet habituel ; avec notre architecture sans serveur, la part du périmètre qui ne relève pas de ce fournisseur est très réduite. Nous communiquons le nom du fournisseur sur demande, sous accord de confidentialité (NDA) ou dans le cadre du DPA.
• La certification Cyber Essentials est prévue : c’est notre prochaine étape formelle, qui sera suivie de tests de sécurité indépendants à mesure que la plateforme se développera.
• Si votre évaluation nécessite des réponses précises d’ici là, écrivez-nous — nous répondons par écrit aux questionnaires de sécurité, et les réponses viennent directement des personnes qui ont construit le système.

Accord de traitement des données (DPA)

Chaque abonnement payant inclut, sur demande, notre accord type de traitement des données (DPA), qui couvre les obligations du sous-traitant au titre du RGPD de l’UE et du RGPD britannique, la liste des sous-traitants ultérieurs ci-dessus, les garanties applicables aux transferts internationaux et nos mesures de sécurité. Écrivez-nous et nous vous l’enverrons pour contresignature. Des conditions de DPA sur mesure sont disponibles avec l’offre Enterprise.