Sécurité et protection des données

Tout ce qui figure sur cette page est déjà contraignant — il s’agit du résumé, destiné aux acheteurs, des engagements inscrits dans notre Accord de traitement des données et notre Accord de niveau de service. Rien ici ne constitue une nouvelle promesse ; c’est le même texte, dans l’ordre dans lequel un acheteur pose réellement ses questions.

• Chiffrement. TLS 1.2+ en transit, AES-256 au repos.
• Contrôle d’accès. Accès basé sur les rôles, MFA sur les systèmes de production, moindre privilège par défaut.
• Sécurité réseau. WAF Cloudflare, protection DDoS, liste d’adresses IP autorisées pour l’accès administratif.
• Surveillance. Journalisation d’audit, détection d’intrusion, alertes automatisées en cas d’anomalie.
• Sauvegardes. Sauvegardes chiffrées quotidiennes, conservation de 30 jours, restaurabilité testée chaque trimestre.
• Personnel. Vérification des antécédents, accords de confidentialité signés, formation obligatoire à la sécurité.
• Gestion des fournisseurs. Examen de sécurité et DPA en place avec chaque sous-traitant ultérieur.
• Réponse aux incidents. Procédure documentée, astreinte 24 h/24 et 7 j/7, analyses post-incident écrites.
• Certification. Démarche en cours vers SOC 2 Type II.

Les affirmations en matière de sécurité sont faciles à écrire et difficiles à vérifier. Celles-ci, vous pouvez les vérifier en trente secondes — ouvrez les outils de développement de votre navigateur sur n’importe quelle page de ce site, ou exécutez curl -I https://caliradi.ai/, et lisez les en-têtes de réponse :

• Nous sommes un sous-traitant, pas un courtier en données. Les données de vos clients servent à faire fonctionner votre service et à rien d’autre. Nous ne les vendons pas et nous n’entraînons rien sur elles pour d’autres clients.
• Exportation à tout moment. Les contacts, les conversations, les résultats des campagnes et les résultats obtenus sont exportables depuis votre tableau de bord.
• Conservation après votre départ. Les données sont conservées pendant 90 jours après la fin de votre offre, puis restituées ou supprimées, sauf si la loi nous oblige à les conserver.
• Rien n’est envoyé en votre nom sans vérification. Les contenus sortants sont préparés pour votre approbation dans le tableau de bord avant d’être envoyés ou publiés, et chaque envoi est horodaté dans la piste d’audit.

La liste complète — hébergement et CDN, inférence IA, plateforme de gestion des fiches clients, Stripe pour les paiements, Cloudflare pour la sécurité réseau et le DNS, et e-mails transactionnels — est publiée à la section 7 du DPA, avec la localisation de chacun.

• Vous êtes informé 14 jours à l’avance avant que nous ajoutions ou remplacions un sous-traitant ultérieur, et vous pouvez vous y opposer pour des motifs raisonnables liés à la protection des données.
• Les données de carte n’atteignent jamais nos serveurs. Les paiements sont traités par Stripe ; nous ne stockons aucun numéro de carte.
• Les transferts hors de l’EEE, du Royaume-Uni ou de la Suisse reposent sur les clauses contractuelles types de l’UE (module 2, responsable du traitement à sous-traitant) et sur l’avenant britannique relatif aux transferts internationaux de données (UK International Data Transfer Addendum).

• Notification des violations dans un délai de 72 heures lorsque cela est possible, et en tout état de cause dans les meilleurs délais.
• Objectif de disponibilité mensuelle de 99,5 %, avec des crédits de service si nous ne l’atteignons pas — la formule et le barème des crédits figurent dans le SLA.
• Objectif de délai de rétablissement : 4 heures pour le système de production après un incident majeur.
• Les fenêtres de maintenance ont lieu le dimanche de 2 h à 4 h (heure du Pacifique) et sont annoncées au moins 24 heures à l’avance lorsque la disponibilité peut être affectée.

Notre mesure d’audience fonctionne sans cookies : le script de statistiques exécuté à chaque visite ne dépose aucun cookie, ne stocke aucune adresse IP et ne fait aucun suivi intersites — et si votre navigateur envoie un signal Global Privacy Control, nous ne le chargeons pas du tout. Cela est appliqué dans le code, et non dans un document de politique. Tout autre outil d’analyse ou de publicité cité dans notre Politique de cookies ne dépose de cookies qu’après que vous avez accepté le bandeau cookies ; jusque-là, il n’est pas chargé. Les détails figurent dans Confidentialité et Cookies. La conformité est conçue selon le RGPD, le CCPA et la PIPL.