Sécurité

Vos données

• Hébergement

  • Base de données et fichiers déposés : Supabase, Paris (France) (région AWS eu-west-3).
  • Automatisations et traitements des documents : Serveurs exploités par l’éditeur (n8n, Stirling PDF, robot de récupération des DCE), France (instance de secours sur un serveur privé virtuel Hostinger situé en France).
  • Site et application web : Vercel, France (Paris) (fichiers de l’application, diffusés par le réseau mondial de Vercel ; aucune donnée de dossier n’y est stockée).

• Chiffrement

  Les échanges avec ARAO passent en HTTPS. Supabase, qui héberge la base de données et les fichiers, chiffre les données au repos (AES-256) et en transit (TLS).

• Entreprises cloisonnées

  Chaque entreprise ne voit que ses propres données : les règles d’accès de la base (Row Level Security de PostgreSQL) le vérifient à chaque requête, et les traitements côté serveur contrôlent l’appartenance à l’entreprise avant d’agir.

Vos comptes

• Double authentification

  Chaque utilisateur peut activer une double authentification par code à usage unique (application d’authentification, TOTP), dans Profil, onglet Sécurité. Elle n’est pas imposée : nous recommandons de l’activer.

• Mots de passe

  10 caractères au moins ; un mot de passe connu des fuites de données publiques est refusé. Les mots de passe sont conservés sous forme d’empreinte, jamais en clair.

• Sessions

  Une session est fermée au bout de 30 jours au plus. Le bouton « Se déconnecter de tous les appareils » (Profil, onglet Sécurité) ferme d’un coup toutes vos sessions.

L’intelligence artificielle

• Données envoyées aux modèles d’IA

  Les traitements d’IA passent par des fournisseurs sous contrat : OpenAI (analyse, rédaction et chiffrage) et Mistral AI (lecture des documents numérisés).

  OpenAI : Les données envoyées à l’API d’OpenAI ne servent pas à entraîner ses modèles.

  Mistral AI : Les données envoyées à Mistral AI ne servent pas à entraîner ses modèles.

  Avant tout envoi à un modèle, les noms des salariés saisis dans « Moyens humains » sont remplacés par des jetons, et le texte d’un CV est caviardé dans votre navigateur avant son analyse.

Protections du service

• Limites de débit

  Les formulaires publics et les lancements de traitements sont limités en fréquence. Les adresses IP servant au comptage sont hachées, jamais stockées en clair, et effacées au bout d’un jour.

• Automatisations protégées

  Le navigateur ne détient aucune clé des automatisations : chaque traitement est autorisé par le serveur, pour une seule exécution, après vérification de l’appartenance à l’entreprise.

• Surveillance

  Une sonde vérifie chaque heure le site, l’authentification et les automatisations, et alerte l’équipe en cas d’anomalie.

• Revue de sécurité

  Une revue de sécurité interne complète (application, base de données, automatisations) a été menée le 24/09/2026. Elle a donné lieu à des corrections, appliquées en production, et des contrôles automatiques de sécurité sont rejoués avant chaque mise en production.

Annexe de traitement des données

L’annexe de traitement (article 28 du RGPD) fixe nos engagements pour les données que votre entreprise dépose dans ARAO : objet et durée, sécurité, sous-traitants ultérieurs, assistance, violations de données et sort des données en fin de contrat.