Vos données méritent
plus qu'un cadenas.
Vos données restent en France, le chiffrement est en place, et tout ce qu'un questionnaire fournisseur réclame est déjà écrit et téléchargeable. Cette page l'explique sans jargon. Le dossier va au niveau de détail de vos équipes techniques.
Document RSSI, DPO et équipes d'audit. Téléchargement libre, sans inscription.
Hébergé en Franceserveurs et sauvegardes
RGPD article 32mesure par mesure
Chiffrement post-quantiquesur les échanges et les sessions
Second facteurimposable à toute l'entreprise
Tout ce que votre service achat va demander
Un client vous envoie un questionnaire fournisseur, votre direction veut une preuve avant de signer, votre DPO veut le contrat. Les quatre pièces sont là, sans rendez-vous préalable.
DPA, article 28sur demande, sous 48 heuresL'accord de traitement des données, à signer à la souscription. Demandez-le : vos juristes peuvent le relire avant même que nous nous parlions.
Registre des sous-traitantspage publique, tenue à jourQui reçoit quoi, dans quel pays, sous quelle garantie, et ce que chacun ne reçoit jamais. Y compris nos trois dépendances hors Union européenne.
Canal de signalementsecurity.txtL'adresse déclarée pour nous remonter une faille, au format que vos outils savent lire.Le dossier va au niveau de détail qu'attend une équipe sécurité. Si votre questionnaire va plus loin, écrivez-nous : nous répondons sur pièce.
10 domaines, 44 mesures
Chaque domaine répond à une famille d'attaques que nous voyons passer. Ouvrez celui qui vous intéresse.
Vos comptes
Un mot de passe volé ne suffit pas à entrer.
De votre clavier
jusqu'à notre base.
Voilà ce qui se passe entre le moment où vous tapez notre adresse et celui où vos données sont écrites. Cinq étapes, chacune chiffrée, signée ou vérifiée.
Vous tapez roomca.fr
Le navigateur ouvre un tunnel chiffré vers nos serveurs. Les versions anciennes du protocole, celles qui se cassent, sont refusées.
La poignée de main
Les deux machines se mettent d'accord sur une clé, avec un algorithme classique et un algorithme post-quantique. Celui qui enregistrerait l'échange pour le déchiffrer plus tard n'obtient rien.
Nous vérifions qui vous êtes
Le mot de passe est comparé à son empreinte. Le second facteur est demandé dès que votre entreprise l'impose, ou porté par votre fournisseur d'identité en SSO.
La session est signée deux fois
Chaque jeton porte une signature classique et une signature post-quantique. Il faudrait casser les deux pour le fabriquer.
L'écriture se fait chiffrée
Les données sensibles sont chiffrées avant d'arriver sur le disque, les sauvegardes aussi. Tout reste en France.
Nos protections, en une image
Sur qui reposent nos garanties
Nous ne produisons aucune de ces certifications. Elles sont portées par notre hébergeur, ou par les standards internationaux que nous appliquons.
- ISO 27001Management de la sécuritéScalewayvérifié
- ISO 27017Sécurité des services cloudScalewayvérifié
- ISO 27018Protection des données cloudScalewayvérifié
- HDSHébergeur de données de santéScalewayvérifié
- SecNumCloudQualification ANSSI en coursScalewayen cours
- RGPD article 32Sécurité du traitementROOMCAvérifié
- OWASP Password 2024Hachage des mots de passeROOMCAvérifié
- FIPS 203 / 204Post-quantique NISTROOMCAvérifié
Ce que nous
avons refusé.
Chaque ligne est un confort auquel nous avons renoncé. Elles sont là parce qu'elles reviennent dans tous les questionnaires fournisseurs, et qu'une réponse écrite vous évite un appel.
- Pas de régie ni de pixel publicitaireaucun traceur publicitaire, aucun reciblage. La seule mesure d'audience tierce est Google Analytics, sur les pages publiques et après consentement explicite.
- Supervision gardée chez nousnos journaux d'erreurs ne partent chez aucun prestataire américain
- Aucun CDN hors Union européenne devant la plateformenous avons renoncé au confort d'un grand réseau de diffusion pour que vos données applicatives ne transitent pas hors UE
- Aucun service extra-UE dans le traitement de vos donnéesdeux appels sortants existent et sont encadrés : la mesure d'audience des pages publiques, et la vérification de réputation d'un lien quand la vigilance mail est déclenchée, qui envoie l'adresse du lien et rien d'autre
- Que des composants auditables sur nos serveursrien de fermé, rien qu'on ne puisse ouvrir
Notre usage de l'IA
L'assistant et le coach ROOMCA s'appuient sur un modèle hébergé en France. Il aide à préparer et à rédiger. Il ne note personne et ne décide de rien.
Hébergée en France
L'inférence tourne sur une infrastructure française. Aucune de vos données ne quitte l'Union européenne, et le Cloud Act ne s'y applique pas.
Vos données n'entraînent pas le modèle
Ni les vôtres, ni celles de vos collaborateurs. Aucune donnée nominative ne lui est transmise : il travaille sur des agrégats anonymes.
Une décision reste humaine
Aucune notation automatique d'un collaborateur, aucune décision RH déléguée à la machine. L'IA prépare le travail, vous tranchez.
Explicable et bornée
Quand une analyse peut être déterministe, elle l'est, pour rester explicable. L'IA enrichit la méthode Cybervécu, elle n'en est jamais le point de défaillance.
