BeSavvy s'engage pleinement pour la sécurité des données au sein de notre plateforme. Vous pouvez compter sur nous pour protéger les informations de votre compte.
Chiffrement et protection des données
●Chiffrement en transit et au repos. Toutes les données sont chiffrées en transit avec TLS 1.2+ et au repos avec AES-256 par notre hébergeur.
●Protection des mots de passe. Les mots de passe sont stockés uniquement sous forme de hachages bcrypt salés, et les liens de réinitialisation du mot de passe sont stockés sous forme de hachages irréversibles.
Authentification sécurisée et contrôle d'accès
●Prise en charge de l'authentification unique (SSO). BeSavvy prend en charge l'authentification SSO sécurisée via Google et Microsoft Entra (Azure), ce qui réduit le risque d'attaques par identifiants et garantit une gestion fluide des accès.
●Authentification multifacteur (MFA). La MFA est imposée sur tous les comptes BeSavvy ayant accès à notre hébergement, à notre base de données et à notre code source.
●Contrôle d'accès basé sur les rôles (RBAC). L'accès est limité par rôle au sein de chaque organisation (Administrateur, Gestionnaire, Observateur, Membre) et au sein de chaque cours (Auteur, Mentor), avec des autorisations de modification ou de commentaire.
◐Sécurité des sessions. Les sessions utilisent des jetons signés dans des cookies sécurisés et HTTP-only. Nous réduisons la durée de vie des sessions et renforçons la protection de leur gestion.
Protection de la vie privée et conformité
●Approche de minimisation des données. Nous ne collectons et ne traitons que les données nécessaires au fonctionnement de la plateforme, afin de respecter la vie privée des utilisateurs.
●Conformité au RGPD et au UK GDPR. Nos politiques de protection des données sont alignées sur les principes du RGPD, notamment les droits des utilisateurs d'accéder à leurs données, de les rectifier et de les supprimer.
●Revues de conformité régulières. Nous menons des revues internes et des analyses d'écarts au regard du UK GDPR et des critères SOC 2.
●Accord de traitement des données (DPA). Un DPA est disponible pour tous les clients entreprise. Écrivez à [email protected] pour en demander un exemplaire.
IA et traitement des données par des tiers
●Aucun entraînement d'IA sur les données des clients. Vos données ne sont jamais utilisées pour entraîner ou affiner des modèles d'IA, ni par BeSavvy ni par aucun de nos fournisseurs d'IA. Les données des clients servent uniquement à fournir le service convenu.
●Fournisseurs d'IA. Nous utilisons OpenAI et Anthropic (Claude) via leurs API professionnelles, dont les conditions interdisent d'utiliser les données transmises pour entraîner des modèles. Les fournisseurs peuvent conserver les requêtes jusqu'à 30 jours, uniquement pour détecter les abus.
◐Aucune conservation des données. Nous avons demandé à OpenAI et à Anthropic de bénéficier de conditions « zéro conservation des données » (ZDR), afin que les requêtes ne soient plus conservées après leur traitement.
●Documents sources des clients. Les documents que vous importez pour créer des playbooks sont traités en mémoire et ne sont pas stockés sous forme de fichiers. Nous ne conservons que le texte extrait et les playbooks créés à partir de celui-ci, et nous les supprimons à la fin d'une mission sur demande.
●Jeux de rôle vocaux. La parole dans les jeux de rôle vocaux est traitée par Deepgram et ElevenLabs. Les transcriptions sont conservées pour le feedback et les analyses, et les enregistrements audio sont stockés dans l'UE.
◐Contrôle de l'enregistrement audio. Nous ajoutons un paramètre par organisation pour désactiver l'enregistrement audio. Les jeux de rôle restent disponibles et leurs transcriptions sont conservées ; seule l'analyse de la communication fondée sur l'audio n'est plus possible.
●Aucun accès aux systèmes internes des clients. BeSavvy ne s'intègre ni à votre CRM, ni à vos bases de données internes, ni à aucun système contenant des données personnelles de vos employés ou clients.
Sous-traitants ultérieurs
Ces prestataires traitent des données personnelles pour notre compte. Nous informons les clients ayant signé un DPA au moins 14 jours avant d'en ajouter ou d'en remplacer un.
●Heroku (Salesforce) sur AWS. Hébergement de l'application (États-Unis) et base de données (UE, Irlande).
●OpenAI. Évaluation des réponses, feedback et génération de contenu. États-Unis.
●Anthropic. Évaluation des réponses, feedback et génération de contenu. États-Unis.
●Deepgram. Reconnaissance vocale et voix dans les jeux de rôle vocaux. États-Unis.
●ElevenLabs. Voix dans les jeux de rôle vocaux. États-Unis.
●Bunny.net. Stockage des enregistrements des jeux de rôle vocaux. UE.
●Cloudinary. Stockage d'images, y compris les photos de profil. États-Unis.
●Postmark. E-mails transactionnels. États-Unis.
●Crisp. Chat en direct et support client. France.
●Sentry. Surveillance des erreurs de l'application. UE (Allemagne).
●Google. Connexion (OAuth) et analyse d'audience du site. États-Unis / UE.
●Microsoft. Connexion (Entra ID). États-Unis / UE.
Surveillance de la sécurité et réponse aux incidents
●Plan de réponse aux violations de données signé. BeSavvy a officiellement approuvé et mis en œuvre un plan de réponse aux violations de données, qui définit des procédures claires de détection des incidents, de réponse et de notification aux autorités, y compris la notification à l'ICO dans un délai de 72 heures lorsque le UK GDPR l'exige.
●Revues de code et correctifs. Les modifications sont revues avant leur mise en production, et les dépendances sont mises à jour rapidement lorsque des failles de sécurité sont divulguées.
●Surveillance des erreurs et de la disponibilité. Les erreurs de l'application et l'état du service sont surveillés en continu via Sentry et Heroku.
Sauvegarde et restauration des données
●Sauvegardes automatisées et chiffrées. Notre base de données est sauvegardée automatiquement par notre hébergeur, et les sauvegardes sont chiffrées avec AES-256.
●Plan de reprise après sinistre (PRA). Une stratégie de réponse documentée garantit une restauration rapide des données et la continuité de l'activité en cas d'incident.
Contrôle par l'utilisateur et transparence
●Suppression des données sur demande. Les admins clients peuvent nous demander de supprimer les données d'apprenants ou d'une organisation. Nous les supprimons des systèmes actifs sous 30 jours et des sauvegardes sous 90 jours, conformément à notre DPA.
◐Contrôle autonome des données (à venir). Nous développons des outils permettant aux admins et aux apprenants d'exporter et de supprimer eux-mêmes leurs données.
●Politique de confidentialité et conditions transparentes. Notre Politique de confidentialité et nos Conditions d'utilisation décrivent clairement les pratiques de collecte, d'utilisation et de sécurité des données.
Certification et assurance
●Certifiée UK Cyber Essentials. BeSavvy détient la certification UK Cyber Essentials pour l'ensemble de l'organisation, évaluée de manière indépendante au regard de la norme soutenue par le gouvernement britannique et valable jusqu'en février 2027. Contactez-nous pour obtenir le certificat.
●Assurance cyber et données. BeSavvy bénéficie d'une assurance cyber et données de 1 000 000 £ auprès de Hiscox.
◐SOC 2. Nous travaillons à l'obtention d'un rapport SOC 2 Type I, prévu pour la fin du premier trimestre 2027, suivi d'un rapport SOC 2 Type II après la période d'observation standard.
◐Feuille de route ISO 27001. Nos mesures de sécurité suivent les pratiques ISO 27001 et NIST CSF, et la certification ISO 27001 figure sur notre feuille de route.
Engagement d'amélioration continue
●Stratégies de sécurité adaptatives. BeSavvy fait évoluer ses mesures de sécurité en fonction des nouvelles cybermenaces et des avancées du secteur.
●Amélioration continue de la sécurité. Nous mettons en œuvre des améliorations fondées sur les recherches les plus récentes, les bonnes pratiques et les évolutions réglementaires.