Comment Cleo Labs protège vos données
La sécurité est au fondement de tout ce que nous construisons. Cleo Labs traite des données réglementaires et de conformité sensibles, et nous considérons leur protection comme une exigence produit fondamentale, pas une réflexion après coup.
Cleo Labs est conforme au Règlement Général sur la Protection des Données (RGPD), y compris l'article 28 sur le traitement des données. Nous tenons des registres d'activités de traitement, menons des Analyses d'Impact sur la Protection des Données (AIPD) et avons désigné un responsable de la protection des données. Nous répondons aux demandes des personnes concernées dans un délai de 30 jours. DPA téléchargeable.
Toutes les données clients sont stockées et traitées sur des serveurs situés dans l'Union européenne (Scaleway, région Paris). Nous ne transférons pas de données personnelles hors de l'UE sauf nécessité avec les garanties appropriées (Clauses Contractuelles Types).
Les données sont chiffrées au repos avec AES-256 et en transit avec TLS 1.3. Les sauvegardes de base de données sont chiffrées. Les clés API et secrets sont gérés via des systèmes de coffre-fort sécurisés. Nous imposons HTTPS sur tous les points d'accès.
Nous n'utilisons jamais les données clients pour entraîner, affiner ou améliorer nos modèles d'IA. Vos scans réglementaires, rapports de conformité et données de compte restent strictement les vôtres. Nos modèles d'IA sont entraînés exclusivement sur des sources réglementaires publiques.
Nous mettons en œuvre un contrôle d'accès basé sur les rôles (RBAC) sur l'ensemble de la plateforme. Les membres de l'équipe ne voient que les données pertinentes pour leur rôle. Tout accès aux systèmes de production nécessite une authentification multi-facteurs (MFA). Nous appliquons le principe du moindre privilège.
Chaque action sur la plateforme est enregistrée avec des horodatages immuables. Les rapports de scan réglementaire incluent une traçabilité complète des sources, liant chaque constat à sa source réglementaire d'origine. Les journaux d'audit sont conservés et disponibles pour les revues de conformité.
Nous exécutons des scans de sécurité automatisés et des audits de dépendances à chaque déploiement. Les vulnérabilités critiques sont corrigées dans les 24 heures.
Nous maintenons un plan de réponse aux incidents documenté. En cas de violation de données, les utilisateurs affectés et les autorités compétentes (dont la CNIL) sont notifiés dans les 72 heures conformément au RGPD.
Tous les membres de l'équipe suivent une formation à la sécurité lors de leur intégration et annuellement par la suite. L'accès aux systèmes de production est restreint et régulièrement revu.
Les fournisseurs tiers sont évalués sur leurs pratiques de sécurité et de protection des données avant engagement. Tous les fournisseurs traitant des données personnelles signent des Accords de Traitement des Données (DPA).
Nous maintenons des sauvegardes automatisées avec récupération ponctuelle. Notre infrastructure est conçue pour une haute disponibilité avec redondance sur plusieurs zones de disponibilité au sein de l'UE.
Intégration Single Sign-On avec votre fournisseur d'identité (Okta, Azure AD, Google Workspace). Centralisez l'authentification et appliquez les politiques de sécurité de votre organisation.
Journaux d'audit complets et exportables pour chaque action utilisateur, appel API et événement d'accès aux données. Rétention de 12+ mois avec horodatages immuables.
Restreignez l'accès à la plateforme aux plages IP approuvées. Idéal pour les organisations avec des exigences strictes de périmètre réseau.
Politiques de rétention des données configurables. Purge automatique des résultats de scan et rapports après votre période de rétention définie. Suppression complète des données sous 30 jours à la clôture du compte.
Canal de support sécurité prioritaire avec SLA de réponse garanti. Responsable de compte dédié pour les revues de sécurité et l'assistance aux questionnaires de conformité.
RGPD
Conforme Article 28, DPA téléchargeable
Données UE
Hébergées sur Scaleway, région Paris
AES-256
Chiffrement au repos
TLS 1.3
Chiffrement en transit
Si vous découvrez une vulnérabilité de sécurité ou avez des préoccupations en matière de sécurité, veuillez nous contacter immédiatement à contact@cleolabs.co. Nous prenons tous les signalements de sécurité au sérieux et répondons dans les 24 heures.