Sécurité

Dernière mise à jour : 29 septembre 2026

Point11 s’engage à protéger la sécurité et la confidentialité des données de ses clients. Cette page décrit comment nous isolons, protégeons et surveillons ces données, et où nous en sommes en matière de conformité.

Isolation des données des clients

Les données de chaque client sont séparées au sein même de la base de données. La sécurité au niveau des lignes (row-level security) de Postgres est activée et appliquée sur chaque table contenant des données de clients, et l’application se connecte via un rôle de base de données qui ne peut pas la contourner.
Une requête qui n’identifie pas l’espace de travail client auquel elle se rapporte est refusée par la base de données au lieu de recevoir une réponse.
Des tests automatisés vérifient ces règles d’isolation.

Infrastructure

La plateforme Point11 est hébergée sur Vercel, avec Postgres (Neon) et Redis (Upstash) gérés. Lorsqu’un client configure ses propres identifiants, les appels aux modèles d’IA peuvent s’exécuter dans le compte Amazon Bedrock, Microsoft Azure ou Google Vertex AI de ce client.

Données chiffrées en transit avec TLS 1.2 ou une version supérieure pour toutes les connexions
HTTPS imposé par les navigateurs grâce à HTTP Strict Transport Security
Connexions aux bases de données soumises à TLS avec vérification complète des certificats
Données chiffrées au repos avec AES-256 ou un équivalent
Identifiants de fournisseurs de modèles fournis par les clients, en outre chiffrés par Point11 avec AES-256-GCM et liés à l’espace de travail du client
Atténuation des attaques DDoS au niveau de la plateforme, en périphérie du réseau

Contrôle d’accès

Connexion et authentification unique gérées par notre fournisseur d’identité, WorkOS, avec vérification en deux étapes facultative par clé d’accès, application d’authentification ou SMS, qu’une organisation peut exiger, et codes de récupération à usage unique stockés uniquement sous forme de hachages
Contrôles d’accès fondés sur les rôles et les principes du moindre privilège
Clés API affichées une seule fois, stockées uniquement sous forme de hachage, limitées à un seul espace de travail et configurées pour expirer dans un délai d’un an
Accès aux systèmes de production réservé au personnel autorisé
Accès du personnel de Point11 accordé uniquement à des comptes de l’entreprise, chaque attribution, modification et révocation étant consignée dans un journal d’audit
L’accès du support à l’espace de travail d’un client exige un motif enregistré, est limité dans le temps et est consigné à son début comme à sa fin ; chaque client peut choisir d’en être notifié à chaque fois ou de l’approuver au préalable

Surveillance et journalisation

Actions liées à la sécurité, notamment les connexions, les modifications de la vérification en deux étapes, les changements de rôle, les modifications de clés API et les accès du personnel, consignées dans un journal d’audit en ajout seul que la base de données protège contre toute modification ou suppression, conservé au moins un an
Contrôles de santé automatisés, notamment des tests synthétiques des parcours clients critiques toutes les cinq minutes
Incidents opérationnels suivis de leur détection jusqu’à une résolution documentée

Développement sécurisé

Chaque mise en production passe des contrôles automatisés, notamment la vérification des types, l’analyse statique du code (linting), les tests unitaires et d’intégration, et la vérification du schéma de la base de données
Modifications de la base de données vérifiées avant leur mise en production, avec un historique des migrations appliquées qui ne peut pas être modifié
Alertes automatisées sur les vulnérabilités connues dans nos dépendances logicielles
Détection automatisée des secrets lors des commits et des pushs vers notre dépôt de code
Les nouvelles versions des paquets tiers doivent attendre trois jours avant de pouvoir être installées, ce qui limite l’exposition aux versions compromises
Protections côté serveur empêchant la plateforme d’accéder à des adresses réseau privées ou internes

Traitement des données

Point11 n’entraîne pas ses propres modèles d’IA sur les données des clients. Meta peut utiliser les entrées et sorties des modèles Muse Spark, qui font fonctionner de nombreuses fonctionnalités de Point11 Analytics, pour améliorer ses modèles conformément aux conditions de Meta ; notre Politique de confidentialité énumère les fonctionnalités et les données concernées. Pour les autres appels aux modèles de langage et d’image via Vercel AI Gateway, nous demandons au Gateway de n’utiliser que des fournisseurs qui n’entraînent pas de modèles sur les données envoyées.

Les données des clients sont conservées aussi longtemps que nécessaire pour fournir les services et respecter les obligations légales. Notre Politique de confidentialité décrit ce qui est supprimé à la fermeture d’un compte et ce qui est conservé. Les clients peuvent demander leur suppression par écrit.

Les prestataires qui traitent les données des clients, ainsi que les données que chacun reçoit, sont répertoriés dans notre Politique de confidentialité.

Point11 ne traite ni ne stocke directement les données de cartes de paiement ; leur traitement est assuré par des prestataires certifiés PCI DSS (Stripe). Pour discuter des exigences HIPAA ou d’autres besoins de conformité, contactez legal@point11.ai.

Réponse aux incidents et reprise d’activité

Les incidents de sécurité confirmés affectant les données des clients sont signalés par e-mail aux propriétaires et administrateurs de l’espace de travail concerné, sans retard injustifié et dans les 72 heures suivant le moment où nous en avons connaissance
Analyse après incident et correction des incidents confirmés
Sauvegarde gérée des bases de données et restauration à un instant donné par l’intermédiaire de notre fournisseur de bases de données, Neon

Conformité

Point11 ne dispose pas encore d’un rapport SOC 2 ni d’une certification ISO 27001. Nos fournisseurs d’hébergement et de bases de données, Vercel et Neon, disposent de rapports SOC 2 Type 2 pour l’infrastructure sur laquelle Point11 fonctionne ; ces rapports ne couvrent pas l’application propre à Point11.

Signaler un problème de sécurité

Pour signaler un incident de sécurité présumé affectant votre compte ou vos données Point11, comme une activité inhabituelle, une clé API exposée ou un accès non autorisé présumé, écrivez à security@point11.ai. Signalez une vulnérabilité de sécurité dans la plateforme Point11 à la même adresse ; périmètre, cadre de protection et modalités de signalement : politique de divulgation des vulnérabilités.

Évaluations de sécurité

Vous évaluez Point11 en tant que fournisseur ? Nous remplissons les questionnaires de sécurité et pouvons présenter ces pratiques plus en détail à votre équipe. Contactez legal@point11.ai ou votre interlocuteur commercial.

Vous préférez acheter via votre fournisseur cloud ? Point11 Analytics est disponible sur AWS Marketplace et Microsoft Marketplace.