Sécurité et confiance

Comment vos données sont protégées

• HTTPS partout

  Toutes les pages, l'application et l'API sont servies uniquement en HTTPS, avec HSTS (Strict-Transport-Security pendant un an, sous-domaines compris) : le navigateur ne revient pas à une connexion non chiffrée.

• Trafic via Cloudflare

  Tout le trafic vers kautharai.com passe par le réseau de Cloudflare, qui aide à absorber les attaques et garde l'adresse de notre serveur cachée.

• Chaque entreprise dans son espace

  Chaque donnée appartient à un seul compte d'entreprise, et chaque requête traitée par le système est limitée à ce compte : une entreprise ne voit que ses propres données.

• Des droits pour chaque membre

  Le propriétaire du compte décide de ce que chaque membre de l'équipe peut voir et faire, écran par écran.

• Journal d'activité et corbeille

  Chaque modification est enregistrée avec son auteur et sa date. Les éléments supprimés vont dans une corbeille, où le propriétaire peut les restaurer ou les supprimer définitivement.

• Mots de passe hachés

  Les mots de passe ne sont jamais stockés en clair, uniquement sous forme de hachage bcrypt. Les numéros de téléphone sont vérifiés par un code SMS à usage unique, et les cookies de session sont HttpOnly et envoyés uniquement en HTTPS.

• Clés de connexion chiffrées

  Les clés et mots de passe que vous nous confiez pour connecter d'autres services — votre clé de fournisseur d'IA, le mot de passe de votre boîte de support, les clés API de votre boutique — sont chiffrés au repos en AES-256-GCM et ne sont jamais réaffichés en entier.

• Sauvegardes chaque nuit

  La base de données et les fichiers importés sont sauvegardés chaque nuit. Chaque sauvegarde est conservée 14 jours, puis supprimée automatiquement.

• L'IA sur nos propres serveurs par défaut

  Par défaut, l'IA fonctionne sur des serveurs que nous exploitons : vos fichiers et les conversations de vos clients ne sont pas envoyés à une société d'IA externe. Seulement si une entreprise connecte son propre compte chez un fournisseur d'IA (OpenAI, Anthropic, Google Gemini ou un service compatible), les messages nécessaires à chaque réponse lui sont envoyés, sous le compte de l'entreprise.

• Paiement par carte chez le prestataire

  Les abonnements se paient sur la page sécurisée de notre prestataire de paiement ; les numéros de carte n'atteignent jamais nos serveurs.

• Jetons de notification

  Le jeton de notification de l'application mobile sert uniquement à envoyer des notifications à cet appareil, et il est supprimé à la déconnexion.

• Suppression du compte

  Le propriétaire peut supprimer le compte de l'entreprise depuis l'application ou le site. Après un délai de grâce de 14 jours (pour annuler une erreur), le compte, toutes ses données et ses fichiers sont effacés définitivement ; les sauvegardes qui les contiennent encore expirent dans les 14 jours suivants.

• Accès de notre équipe

  Les administrateurs de la plateforme peuvent ouvrir le compte d'une entreprise pour assurer le support ou le bon fonctionnement du service, et chaque accès de ce type est enregistré dans le journal d'activité de cette entreprise.