Dernière mise à jour : 25 septembre 2026

Sécurité & Conformité

Revold traite des données commerciales et financières sensibles (contacts B2B, transactions, factures, paiements). Les données sont stockées en Union européenne et isolées par organisation. Cette page décrit nos pratiques telles qu'elles sont en place aujourd'hui, pour que vos équipes sécurité et juridique disposent des éléments avant de signer.

Hébergement & localisation des données

Les données de vos espaces (production et sauvegardes) sont stockées en Allemagne (Francfort) ; l'application est servie depuis Paris. Certains traitements (rédaction par l'IA, synthèse vocale, SMS) passent par des sous-traitants situés hors UE : ils sont listés ci-dessous et encadrés par les clauses contractuelles types de la Commission européenne.

• Application : Vercel, région cdg1 (Paris).
• Base de données et authentification : Supabase, région eu-central-1 (Francfort, AWS).
• Sauvegardes : sauvegardes quotidiennes de la base, dans la même région UE.

Chiffrement

• En transit : HTTPS obligatoire (TLS 1.2 minimum) sur toutes les communications.
• Au repos : stockage chiffré en AES-256 (Supabase sur AWS).
• Jetons d'intégration : jetons OAuth de vos outils stockés en base, accès restreint par organisation, jamais écrits dans les journaux.
• Secrets applicatifs : variables d'environnement chiffrées, accessibles uniquement à l'exécution.

Authentification & contrôle d'accès

• Connexion : Supabase Auth (code à usage unique, Google), mots de passe jamais stockés en clair.
• SSO SAML 2.0 : Microsoft Entra ID, Okta et autres fournisseurs d'identité, sur demande.
• Rôles : administrateur, manager, commercial ; accès par page et par équipe, permissions par ligne (offre Scale).
• Écritures dans vos outils : toute action dans votre CRM ou votre facturation est proposée puis validée par un humain, sauf les familles d'actions que vous passez vous-même en automatique.
• Revue des accès : revue trimestrielle guidée pour les administrateurs (membres, rôles, comptes inactifs), tracée dans le journal d'audit.

Isolation entre organisations

Chaque organisation cliente dispose de données strictement isolées au niveau de la base, par Row Level Security (RLS) PostgreSQL. Toutes les tables de données client portent une colonne organization_id contrôlée par des règles qui s'exécutent dans la base elle-même : un utilisateur connecté ne peut pas lire les données d'une autre organisation.

Sous-traitants

Sous-traitants qui interviennent dans le traitement de vos données, avec leur localisation et les certifications qu'ils déclarent. Liste revue chaque année et mise à jour avant tout ajout, avec préavis de 30 jours pour les clients sous DPA.

Continuité d'activité & sauvegardes

• Sauvegardes : sauvegardes quotidiennes automatiques de la base, procédure de restauration documentée dans notre plan de continuité.
• RPO (perte de données maximale) : 24 h.
• RTO (délai de retour du service) : 8 h.
• Redondance : base hébergée sur plusieurs zones de disponibilité AWS à Francfort.

Surveillance & journalisation

• Tâches planifiées : chaque synchronisation et calcul est journalisé ; une surveillance horaire alerte l'équipe dès qu'une tâche échoue ou prend du retard.
• Synchronisations : contrôle de parité entre vos outils et Revold, journal consultable dans Paramètres → Intégrations.
• Journal d'audit : invitations, changements de rôle, clés d'API, exports et revues d'accès tracés avec horodatage et auteur, consultables par vos administrateurs, conservés 13 mois.
• Journaux techniques : journaux d'hébergement et de base de données, accès réservé à l'équipe Revold.

Réponse aux incidents

• Confinement et investigation immédiate, selon une procédure écrite de gestion des incidents.
• Notification aux clients concernés dans les meilleurs délais, et à la CNIL sous 72 h lorsque l'article 33 du RGPD s'applique.
• Compte rendu écrit aux clients concernés : chronologie, cause et mesures correctives.

Tests de sécurité & divulgation responsable

• Dépendances : audit automatique chaque semaine et mises à jour de sécurité proposées automatiquement.
• Tests automatisés : plusieurs centaines de tests, dont une bibliothèque de cas limites de rapprochement, rejoués avant chaque mise en production.
• Test d'intrusion externe : cahier des charges prêt, première campagne par un cabinet indépendant à planifier.
• Divulgation responsable : envoyez vos rapports à security@revold.ai. Nous accusons réception sous 48 h ouvrées et ne poursuivons pas les chercheurs agissant de bonne foi.

Conformité & engagements contractuels

• ISO/IEC 27001 : système de management de la sécurité de l'information aligné sur la norme (93 contrôles évalués), démarche de certification engagée. Revold n'est pas encore certifié.
• RGPD : Revold agit comme sous-traitant pour les données de vos outils (voir la page RGPD).
• DPA (accord de traitement des données) : disponible pour tout client B2B (voir notre DPA).
• SOC 2 : pas d'audit prévu à ce jour ; il sera engagé si vos exigences le demandent.
• HDS (santé) : non applicable, Revold ne traite pas de données de santé.

Contact sécurité

Équipe sécurité : security@revold.ai.
Demandes RGPD (accès, rectification, suppression) : dpo@revold.ai.