La sécurité chez Exayard
Comment nous protégeons vos plans, vos tarifs et vos données de projet — et comment les agents et les intégrations sont autorisés à y accéder.
Chiffrement
Les données en transit sont chiffrées avec TLS 1.3. Les données au repos sont chiffrées avec AES-256. Les PDF de plans, les mesures de relevé et les tarifs des produits sont chiffrés au niveau de la couche de stockage.
Authentification
L'identité est gérée par Clerk. Nous prenons en charge la connexion par courriel/mot de passe, Google, Microsoft et l'authentification unique (SSO) SAML pour les entreprises. L'authentification multifacteur est disponible pour tous les forfaits payants.
Rôles et contrôle d'accès
Chaque espace de travail comporte deux rôles d'organisation. Les administrateurs gèrent l'équipe, les invitations, la facturation et les paramètres de l'organisation, tandis que les membres effectuent le travail quotidien de métré et d'estimation. Pour partager du travail à l'extérieur de votre espace de travail, vous accordez à une personne un accès en consultation (consulter et commenter) ou un accès en édition (apporter des modifications) à un seul projet, jamais à l'ensemble de votre compte. Toutes ces vérifications s'exécutent sur nos serveurs, de sorte que l'interface ne peut être contournée pour obtenir un accès qu'un rôle n'autorise pas.
Clés API et OAuth
Les clés API comportent une liste de portées explicite (lecture/écriture par ressource). OAuth suit la norme RFC 7591 (Dynamic Client Registration) afin que les clients MCP enregistrés (Claude, Cursor, etc.) obtiennent des jetons via le point de terminaison de découverte des ressources protégées. Le moindre privilège est appliqué par défaut.
Journaux d'audit
Chaque requête comporte un en-tête X-Request-Id. L'identité de l'agent est préservée grâce aux identifiants de client OAuth, de sorte que les journaux d'audit distinguent "Claude Desktop agissant pour alice" de "alice directement".
Webhooks
Les webhooks sortants sont signés avec HMAC-SHA256. Les signatures incluent un horodatage et rejettent les envois datant de plus de 5 minutes. Les secrets des points de terminaison ne sont renvoyés qu'au moment de leur création.
Résidence des données
Les données de production sont hébergées aux États-Unis chez des fournisseurs d'infrastructure qui détiennent des certifications SOC 2 Type II. Les clients Entreprise peuvent demander des options précises de résidence des données.
Divulgation de vulnérabilités
Signalez les failles de sécurité à security@exayard.com. Nous accusons réception des signalements dans un délai de 1 jour ouvrable et visons une résolution sous 30 jours pour les vulnérabilités de gravité élevée. Nous n'engagerons pas de poursuites contre les chercheurs agissant de bonne foi.
Conformité
Traitement des données conforme au RGPD, avec un addendum de traitement des données (DPA) offert aux clients d'affaires. Nos fournisseurs d'infrastructure détiennent des certifications SOC 2 Type II. La norme HIPAA n'est pas prise en charge pour le moment.
Suppression de compte
Vous pouvez supprimer vos projets et l'ensemble de votre compte à tout moment depuis les paramètres. Les sauvegardes sont conservées pendant 30 jours après la suppression afin de permettre la récupération après sinistre, après quoi toutes les données sont définitivement effacées.
Sous-traitants
Ces fournisseurs traitent les données des clients en notre nom. Nous informons les clients avant d'ajouter de nouveaux sous-traitants qui traitent les données des clients.
| Fournisseur | Fonction | Emplacement |
|---|---|---|
| Vercel | Hébergement et passerelle IA | États-Unis |
| Convex | Base de données et infrastructure dorsale | États-Unis |
| Cloudflare | Stockage et diffusion de fichiers | États-Unis (réseau mondial) |
| Anthropic | Modèles d'IA | États-Unis |
| OpenAI | Modèles d'IA | États-Unis |
| Clerk | Authentification | États-Unis |
| Stripe | Paiements | États-Unis |
| Intercom | Soutien à la clientèle | États-Unis |
| Sentry | Suivi des erreurs | États-Unis |
| PostHog | Analytique de produit | États-Unis |
| Analytique et publicité | États-Unis |
Dernière révision : juillet 2026
Des questions sur la sécurité?
Pour les évaluations de fournisseurs ou les addendums de traitement des données (DPA), communiquez avec notre équipe.
Contactez-nousPrêt à remporter plus de soumissions ?
Utilisez Exayard pour estimer plus rapidement et remporter plus de contrats. Commencez dès aujourd'hui.