Sécurité et réversibilité
Où vivent vos données, qui les voit, et comment vous repartez avec.
Contenu vérifié le 14 août 2026
Où elles vivent
| Rôle | Raison sociale | Adresse | Localisation |
|---|---|---|---|
| Application, base de données et documents | Railway Corporation | 548 Market St Suite 68956, San Francisco, Californie 94104, États-Unis | Données stockées dans la région europe-west4, Pays-Bas |
| Interface web | Vercel Inc. | 440 N Barranca Ave #4133, Covina, Californie 91723, États-Unis | Diffusion par réseau de distribution de contenu |
Les deux faits, et pas seulement le premier. Vos données sont stockées dans l'Union européenne, aux Pays-Bas. Et nos deux prestataires d'hébergement sont des sociétés de droit américain : les transferts éventuels vers leur maison mère sont encadrés par les clauses contractuelles types de la Commission européenne. Écrire seulement le premier fait serait une formule commerciale que le contrat ne tient pas. Écrire les deux vous permet d'instruire votre propre dossier.
Qui voit quoi
| Rôle | Prestataire | Ce qu'il voit | Où |
|---|---|---|---|
| Application, base de données et documents | Railway Corporation | L'ensemble de vos données, au repos et chiffrées. | Données stockées dans la région europe-west4, Pays-Bas |
| Diffusion de l'interface web | Vercel Inc. | Les pages servies. Aucun contenu de dossier ne transite en clair par ce service. | Diffusion par réseau de distribution de contenu |
| Comptes et authentification | Clerk | Votre adresse e-mail, votre nom et les éléments de session. Aucun contenu de dossier. | Non établie à ce jour |
| Moteur d'analyse automatisé | OpenAI | Le contenu textuel des documents que vous déposez pour analyse, le temps de produire l'analyse. C'est le seul prestataire qui voit le contenu de vos pièces. | Non établie à ce jour |
| Envoi des e-mails de service | Resend | Votre adresse e-mail et le contenu du message envoyé. | Non établie à ce jour |
| Mesure d'audience | PostHog | Des événements de navigation, après votre consentement explicite. Jamais le contenu d'un dossier. | Non établie à ce jour |
| Paiement | Stripe | Les données nécessaires à la transaction. Aucune coordonnée bancaire ne transite par nos serveurs ni n'y est stockée. | Non établie à ce jour |
La ligne surlignée est celle qui compte. Un seul prestataire voit le contenu de vos pièces, et seulement le temps de produire l'analyse. Nous le nommons plutôt que de le fondre dans une catégorie technique : c'est une obligation d'information, et c'est aussi la seule façon d'être cru sur le reste de cette page.
Ce que nous n'en faisons pas
- Nous ne revendons aucune donnée, à personne, sous aucune forme.
- Nous n'entraînons aucun modèle sur vos documents, et nous n'autorisons aucun de nos prestataires à le faire.
- Nous ne réutilisons pas vos données pour un autre client, y compris sous forme agrégée, sans un consentement explicite et révocable de votre organisation.
- Nous ne stockons jamais vos adresses IP en clair.
Durées de conservation
| Donnée | Durée | Précision |
|---|---|---|
| Documents déposés pour analyse | Supprimés dès l'extraction du texte | Dans le cas nominal, la suppression est immédiate. En cas de panne du moteur, le fichier est conservé pour ne pas vous le redemander, avec une borne dure de trente jours. |
| Pièces de votre coffre de preuves | Tant que vous les conservez | Ce sont vos justificatifs, versés volontairement et destinés à être opposables plusieurs années. Vous les supprimez quand vous voulez, pièce par pièce ou en bloc. |
| Diagnostics rapides non réclamés | Effacés à l'échéance du lien | Un diagnostic produit sans compte n'est rattaché à personne. Passé le délai du lien, il est effacé et n'est plus récupérable. |
| Mesure d'audience | 13 mois | Durée maximale recommandée pour un traceur de mesure, appliquée telle quelle. |
| Journal d'audit et registre d'intégrité | Conservés pour la durée de vie du dossier | C'est ce qui rend votre dossier défendable des années après. Voir la page Preuve et traçabilité pour ce qui subsiste après un effacement, et ce qui n'y subsiste pas. |
Comment vous repartez
- Copie complète de vos données, en libre-service, à tout moment, en formats ouverts et lisibles sans notre logiciel.
- Export du coffre de preuves avec son index et l'empreinte de chaque pièce, pour que les justificatifs restent vérifiables ailleurs.
- Export du journal d'audit et du registre d'intégrité, qui sont la partie de votre dossier qui prouve le reste.
- Suppression de compte en libre-service, sans passer par nous, sans délai de rétention commercial.
Aucune de ces quatre opérations ne passe par nous, aucune ne suppose un préavis, aucune n'est ralentie par un délai de rétention commercial. C'est la contrepartie normale d'un produit qui vous demande de lui confier des justificatifs destinés à être défendus pendant des années.
Certifications : aucune à ce jour
Nous n'avons obtenu aucun référentiel de sécurité à ce jour, ni ISO 27001, ni SOC 2, ni HDS. Le silence sur cette question se lit comme une réponse évasive et coûte plus cher que l'aveu. Si votre procédure d'achat en exige un, il vaut mieux le savoir maintenant que trois semaines avant la signature.
- Chiffrement des échanges en transit et des données au repos, sans option pour le désactiver.
- Suppression et export en libre-service, depuis vos paramètres, sans passer par nous.
- Journal d'audit consultable : qui a lu quoi, quand, et pendant combien de temps.
- Sous-traitants nommés un par un sur cette page, avec ce que chacun voit exactement.
Ces quatre points ont un avantage sur un logo : vous pouvez les vérifier vous-même, depuis votre propre espace, en quelques minutes, sans nous croire sur parole.
Contact sécurité
Faille suspectée, question de votre direction informatique, demande de précision sur un prestataire : contact@strata-esg.fr. Si vous signalez une vulnérabilité, décrivez-la sans la publier le temps que nous la corrigions ; nous vous répondrons avec la date de correction.
Pour l'accord de traitement des données, les bases légales, les finalités et l'exercice de vos droits, tout est détaillé sur la politique de confidentialité.
Questions fréquentes
Avez-vous une certification ISO 27001 ?
Non, aucune à ce jour, ni ISO 27001 ni SOC 2. Nous préférons l'écrire que laisser la question sans réponse. À la place, quatre choses sont vérifiables immédiatement depuis votre espace : le chiffrement en transit et au repos, l'export et la suppression en libre-service, le journal d'audit, et la liste nominative de nos sous-traitants publiée sur cette page. Si votre procédure interne exige un référentiel, dites-le nous avant de signer plutôt qu'après.
Mes données sortent-elles de l'Union européenne ?
Le stockage a lieu dans l'Union européenne, aux Pays-Bas. Nos deux prestataires d'hébergement sont toutefois des sociétés de droit américain, et les transferts éventuels vers leur maison mère sont encadrés par les clauses contractuelles types de la Commission européenne. Nous écrivons les deux faits plutôt qu'une formule rassurante qu'un contrat ne tiendrait pas.
Qui peut lire le contenu des documents que je dépose ?
Un seul prestataire voit le contenu textuel de vos pièces, et uniquement le temps de produire l'analyse : il est nommé dans le tableau des sous-traitants de cette page. Aucun autre prestataire n'y a accès, aucun modèle n'est entraîné sur vos documents, et nous n'autorisons aucun de nos prestataires à le faire.
Que se passe-t-il si vous cessez l'activité ?
Vous repartez avec tout, et vous n'avez pas besoin de notre accord pour le faire : l'export complet est en libre-service, à tout moment, en formats ouverts lisibles sans notre logiciel. Il comprend le coffre de preuves avec son index et l'empreinte de chaque pièce, ainsi que le journal d'audit et le registre d'intégrité, qui sont la partie de votre dossier qui prouve le reste. La bonne pratique est de déclencher cet export une fois par exercice, sans attendre un événement.
Combien de temps conservez-vous les documents que je dépose pour analyse ?
Dans le cas nominal, ils sont supprimés dès l'extraction du texte. En cas de panne du moteur, le fichier est conservé pour ne pas vous le redemander, avec une borne dure de trente jours. Les pièces que vous versez volontairement à votre coffre de preuves suivent une autre règle : elles restent tant que vous les conservez, parce qu'elles sont faites pour être opposables plusieurs années.
Sur le même sujet
Politique de confidentialité
Bases légales, finalités, droits des personnes concernées et accord de traitement des données.
Preuve et traçabilité
Ce que le registre à empreintes chaînées détecte, et pourquoi la détection n'est pas l'inaltérabilité.
Ce que nous avons cessé de promettre
Cinq lignes commerciales retirées du site, avec leur date et leur motif. Deux concernent la sécurité.
Mentions légales
L'éditeur du site, sa forme juridique, son immatriculation et ses hébergeurs.
Une question de votre direction informatique ?
Envoyez-nous la grille de votre procédure d'achat. Nous répondons ligne par ligne, y compris quand la réponse est non, et nous vous renvoyons la grille remplie plutôt qu'une plaquette.