Sécurité

Smart Role entraîne les équipes support sur des conversations client réalistes. Ces conversations, et les personnes qui y participent, méritent le même soin que des données client de production. Cette page décrit les mesures en place aujourd'hui. Nos engagements contractuels figurent sur notre page RGPD et dans notre politique de confidentialité.

Hébergement en Europe

• L'application tourne sur Vercel, avec ses fonctions serveur dans la région de Paris.
• La base de données est un cluster MongoDB Atlas hébergé sur AWS à Francfort, répliqué sur trois nœuds.
• Les fichiers envoyés sont stockés sur Amazon S3, également à Francfort.
• L'IA des simulations et des retours tourne sur les propres déploiements Azure OpenAI de Smart Role en Europe, en France et en Suède. Microsoft n'utilise pas les données envoyées à ces déploiements pour entraîner ses modèles.
• Notre configuration d'hébergement (projets applicatifs, domaines, paramètres d'environnement) est gérée sous forme de code avec Pulumi, plutôt que modifiée à la main.

Chiffrement

• Tout le trafic passe par HTTPS. L'application envoie un en-tête HSTS d'un an, sous-domaines compris, pour que les navigateurs refusent toute connexion non chiffrée.
• Les données stockées sont chiffrées au repos par nos fournisseurs : MongoDB Atlas et Amazon S3 chiffrent les données sur disque par défaut.
• Les secrets, comme les clés d'API et les identifiants de base de données, ne sont jamais conservés en clair dans notre code : nos fichiers d'environnement sont chiffrés, et leurs clés de déchiffrement sont conservées hors du dépôt.

Authentification et contrôle d'accès

• Les utilisateurs se connectent par e-mail et mot de passe, avec Google ou avec Microsoft.
• Les entreprises peuvent utiliser l'authentification unique SAML 2.0, avec assertions signées obligatoires, et le provisionnement SCIM pour que les accès suivent votre fournisseur d'identité.
• Les mots de passe sont hachés avec bcrypt et jamais stockés en clair. Les sessions expirent au bout de sept jours, et les cookies de session ne circulent qu'en HTTPS.
• Les permissions dépendent des rôles : ce qu'un utilisateur peut voir ou modifier dépend de son rôle dans l'espace de travail, et les administrateurs peuvent définir leurs propres rôles.
• Les enregistrements gardent la trace de qui les a créés et modifiés en dernier, et les enregistrements supprimés peuvent être restaurés.
• Les formulaires publics, comme l'inscription, sont protégés contre les robots par reCAPTCHA.

Isolation des données client

Les données de chaque client appartiennent à sa propre organisation et à ses espaces de travail. L'API limite les lectures et les écritures à l'espace de travail de l'utilisateur connecté.

Sécurité applicative

• Des en-têtes de sécurité protègent l'application contre le clickjacking (elle ne peut pas être intégrée dans un autre site), l'interprétation abusive des types de contenu et le retour au HTTP non chiffré.
• Les données reçues par l'API sont validées par des schémas typés avant d'atteindre la base de données.
• La console d'administration tourne sur un domaine distinct de l'application client, et elle est exclue des moteurs de recherche.
• Nos workers Cloudflare, qui convertissent les documents et consultent des pages web, bloquent les requêtes malveillantes avant tout traitement : chemins d'attaque connus, scanners de vulnérabilités et tentatives d'accès aux réseaux internes.
• L'application a fait l'objet d'un test d'intrusion en 2026. Les correctifs de ses constats ont été livrés en août 2026, notamment un cloisonnement plus strict des données client, la protection contre le clickjacking, HSTS et des cookies de session sécurisés.

Supervision et disponibilité

• Les erreurs applicatives remontent dans Sentry, pour que l'équipe les voie dès qu'elles surviennent.
• L'état de la plateforme est publié en direct sur notre page de statut.
• Les changements arrivent en production par des déploiements automatisés.

Conformité

Smart Role agit en tant que sous-traitant pour les données que vous traitez sur la plateforme. Notre page RGPD décrit notre rôle, les accords de traitement des données et l'exercice de vos droits. Notre centre de confiance rassemble notre documentation de sécurité.

Signaler une vulnérabilité

Si vous pensez avoir trouvé un problème de sécurité dans Smart Role, écrivez à support@smartrole.ai avec une description et les étapes pour le reproduire. Nous l'examinerons et vous tiendrons informé. Merci de ne pas accéder aux données d'autres clients ni de les modifier, et de nous laisser le temps de corriger le problème avant de le rendre public.