Sécurité et protection des données
Vos données sont entre de bonnes mains. Protime agit en qualité de sous-traitant et traite vos données exclusivement au sein de l'UE.
Trois niveaux de sécurité — à vous de choisir
Confidentialité standard, conformité renforcée ou séparation structurelle dans votre propre cloud — la configuration de sécurité s'applique à l'échelle de l'entreprise et peut être mise à niveau à tout moment. Vue d'ensemble sur une page des trois niveaux, en déploiement pilote quotidien chez Loeb AG (entreprise familiale suisse) depuis début mars 2026.
Vos questions, nos réponses
Mes courriels sont-ils en sécurité ?
Protime accède à vos courriels via OAuth — nous ne connaissons pas votre mot de passe et vous pouvez révoquer l'accès à tout moment. Pour les briefings standard, les courriels traités sont automatiquement supprimés après 3 mois au maximum. Pour les briefings de boîte de réception, les courriels sont uniquement lus et analysés — aucun contenu de courriel n'est enregistré. Votre boîte de réception reste toujours intacte.
L'équipe de Protime peut-elle lire mes courriels ?
Non. Le contenu de vos courriels est traité automatiquement par l'IA — aucun être humain ne les lit. L'accès aux données clients est strictement réservé au personnel autorisé, uniquement pour le dépannage ou à la suite d'une demande de support de votre part. Nous ne pouvons pas fouiller dans votre boîte de messagerie et ne le ferons jamais.
Protime peut-il être piraté ?
Nous n'exploitons aucun serveur propre. Tout fonctionne sur Google Cloud — la même infrastructure qui protège Gmail et Google Workspace. Notre application est vérifiée Google CASA Tier 2 — le contrôle de sécurité le plus strict exigé par Google pour les applications accédant aux courriels. Surveillance continue assurée par Google Security Command Center.
Mes secrets d'affaires risquent-ils d'être compromis ?
Vos données ne sont jamais utilisées pour l'entraînement de l'IA. Aucun collaborateur de Protime ne lit vos contenus. Tout est chiffré (AES-256), tout reste dans l'UE (Francfort). Le traitement par IA est régi par le contrat cloud de Google — Google n'est pas autorisé à transmettre vos données.
Nos engagements
Protection des données
Protime agit en qualité de sous-traitant (Data Processor) au sens de l'art. 28 RGPD et de l'art. 9 de la loi fédérale suisse sur la protection des données (nLPD). Nous traitons les données personnelles exclusivement pour le compte et selon les instructions de nos clients.
Pour nos clients professionnels, nous mettons à disposition sur demande un contrat de sous-traitance (DPA/AVV) — disponible en version suisse (nLPD) et en version UE/allemande (RGPD). Nous tenons à jour une liste de tous les sous-traitants ultérieurs, disponible sur demande.
L'autorité de surveillance compétente en Suisse est le PFPDT (Préposé fédéral à la protection des données et à la transparence). Pour les utilisateurs situés dans l'espace UE/EEE, l'autorité nationale compétente en matière de protection des données est l'interlocutrice de référence.
Hébergement des données et infrastructure
Toutes les données sont hébergées sur Google Cloud Platform dans le centre de données de Google à Francfort, en Allemagne. Nous utilisons Firebase Authentication, Cloud Firestore et Cloud Functions. Aucune donnée n'est stockée hors de l'UE.
Chiffrement
- ✓Transmission : toutes les connexions sont chiffrées avec TLS/SSL.
- ✓Stockage : chiffrement standard Google Cloud (AES-256) pour toutes les données enregistrées.
- ✓Authentification : OAuth 2.0 pour l'accès à Gmail et Outlook. Aucun mot de passe n'est enregistré.
Traitement par l'IA
Nous utilisons exclusivement Google Gemini pour la génération des briefings. Le traitement s'effectue dans le cadre de l'accord de traitement des données (DPA) de Google Cloud dans le centre de données de Google à Francfort, en Allemagne. Google n'utilise pas vos données pour entraîner des modèles généraux d'IA (conformément aux conditions d'utilisation de Google Cloud).
Accès aux courriels et au calendrier
- ✓Nous utilisons OAuth 2.0 pour un accès sécurisé à vos courriels et à votre calendrier. Vous pouvez révoquer cet accès à tout moment dans les paramètres de compte de votre fournisseur de messagerie.
- ✓Les courriels traités sont automatiquement supprimés après 3 mois au maximum. Les résumés générés à partir de ceux-ci sont conservés.
- ✓Protime respecte la Google Limited Use Policy et la Google API Services User Data Policy.
Sécurité de l'infrastructure et surveillance
- ✓Google Security Command Center pour la détection continue des menaces, la surveillance des intrusions et les alertes en cas de mauvaise configuration.
- ✓Cloud Monitoring avec contrôles de disponibilité, métriques de performance et signalement automatisé des erreurs pour tous les services.
- ✓Journalisation structurée sur l'ensemble des Cloud Functions avec niveaux de criticité pour la détection d'anomalies en temps réel.
- ✓Cloud Armor Web Application Firewall pour la protection contre les attaques du Top 10 OWASP.
- ✓GitHub Branch Protection et revue de code obligatoire pour toute modification mise en production.
- ✓Analyse automatisée des vulnérabilités pour l'ensemble des images de conteneurs et des dépendances.
Sécurité organisationnelle
- ✓L'accès aux données clients est strictement limité au personnel autorisé et s'effectue exclusivement à des fins de dépannage ou sur demande de support.
- ✓Authentification multifacteur (MFA) sur tous les systèmes critiques : infrastructure cloud, dépôts de code, traitement des paiements et distribution des courriels.
- ✓Gestion des mots de passe selon la norme NIST SP 800-63B : mots de passe uniques générés pour chaque service, aucune rotation programmée, modification uniquement en cas de compromission.
- ✓Chiffrement intégral des disques durs (AES-256) sur tous les appareils de l'entreprise. Aucun accès non chiffré aux données clients n'est possible.
- ✓Nous disposons d'un processus de gestion des incidents avec un délai de notification de 72 heures, conformément aux exigences du RGPD.
- ✓Évaluations régulières de la sécurité, y compris Google CASA Tier 2 (Cloud Application Security Assessment, vérifié jusqu'en février 2027).
- ✓Tous les journaux système sont conservés pendant 365 jours afin de garantir une traçabilité et une auditabilité complètes.
- ✓Contact pour la protection des données : Marc Loeb, data@protime.ai
Conformité et normes
Protime met en œuvre des mesures techniques et organisationnelles appropriées, alignées sur les normes de sécurité européennes actuelles. Nos contrôles de sécurité facilitent votre conformité NIS2 pour la chaîne d'approvisionnement.
| Norme / Référentiel | Statut | Détails |
|---|---|---|
| GDPR & revDSG | Certifié | RGPD et nLPD — conformité totale avec les réglementations européenne et suisse sur la protection des données, y compris les contrats de sous-traitance (DPA/AVV), les mesures techniques et organisationnelles (TOM) documentées et la transparence relative aux sous-traitants ultérieurs. |
| Google CASA Tier 2 | Certifié | Google CASA Tier 2 — audit de sécurité indépendant réalisé par un laboratoire agréé par l'App Defence Alliance, vérifiant la sécurité de l'application selon 13 catégories OWASP-ASVS. Certifié jusqu'en février 2027. |
| ISO 27001:2022 | En cours | ISO 27001:2022 — SGSI complet mis en œuvre : Déclaration d'applicabilité v1.3, 12 directives consolidées couvrant l'ensemble des mesures applicables de l'annexe A, registre des risques, registre des activités de traitement (ROPA), plan de continuité des activités. Audit de certification initié avec SGS Suisse en avril 2026. |
| SOC 2 Type I | Planifié | SOC 2 — contrôles prêts pour SOC 2. Mission de Type I planifiée avec TAC Security (finalisation ~30 jours après le lancement). |
| NIS2 supply chain | Conforme — certification en attente | Chaîne d'approvisionnement NIS2 — nos mesures de sécurité aident les organisations régulées à remplir leurs obligations de diligence dans la chaîne d'approvisionnement (art. 21, al. 2, let. d). |
Sous-traitants ultérieurs
Un aperçu actualisé des services utilisés pour fournir Protime :
| Sous-traitant | Finalité | Emplacement des données | Certifications | Garanties de transfert |
|---|---|---|---|---|
| Google Cloud Platform | Firestore, Cloud Functions, Firebase Auth | europe-west3 (Frankfurt) | ISO 27001, SOC 2 Type II, ISO 27701 | Swiss-US DPF |
| Google Vertex AI (Gemini) | AI inference (briefings, inbox classification, drafts) | EU region | ISO 27001, SOC 2 Type II | Swiss-US DPF |
| Microsoft Graph | Outlook OAuth (mail, calendar and tasks read/write) | EU / US | ISO 27001, SOC 2 Type II | Swiss-US DPF |
| Stripe | Payment processing | US / EU | PCI DSS Level 1, SOC 2 Type II, ISO 27001 | Swiss-US DPF |
| SendGrid (Twilio) | Transactional email delivery | US | ISO 27001, SOC 2 Type II | Swiss-US DPF |
| GitHub (Microsoft) | Source code hosting (no customer data) | US | ISO 27001, SOC 2 Type II | Swiss-US DPF |
Divulgation responsable
Les chercheurs en sécurité et les clients peuvent signaler des vulnérabilités via notre canal de divulgation coordonnée.
Nous accusons réception des signalements dans un délai de 3 jours ouvrables et respectons un délai de divulgation de 90 jours pour la résolution.
Contact
Pour toute question relative à la sécurité ou à la protection des données, ou pour signaler une vulnérabilité, contactez-nous à l'adresse :
data@protime.ai