Centre de confiance
Présentation publique de la sécurité, des accès, des prestataires et de la disponibilité de NexaFile. Cette page ne constitue pas un SLA contractuel.
Contrôles d’accès
- Les espaces de travail sont séparés par organisation ; les rôles Owner, Admin et Member limitent les fonctions selon les responsabilités.
- Les documents restent privés pour leur créateur, sauf s’ils sont explicitement attribués ou partagés dans l’espace de travail.
- L’authentification multifacteur et les codes de récupération sont pris en charge ; les codes sont hachés et les secrets MFA sont chiffrés dans la base de données.
Chiffrement et transfert des données
Les connexions navigateur en production utilisent HTTPS. Les mots de passe sont hachés avec scrypt. Les identifiants OAuth et les secrets MFA stockés en base sont chiffrés avec la clé de l’application. Selon la configuration de production actuelle, les documents sont chiffrés par l’application avant leur envoi vers le stockage objet.
Vérification des résultats IA
Lorsque cela est possible, NexaFile rattache les constats importants aux pages sources, affiche la couverture des sources et le niveau de confiance, et signale les constats insuffisamment étayés pour examen humain. Cela ne garantit pas que l’IA soit toujours exacte.
Prestataires de services
NexaFile fait appel à des prestataires de confiance pour exploiter la plateforme, traiter les paiements, fournir l’IA et connecter les services cloud. Les prestataires concernés dépendent des fonctionnalités choisies par le client.
- DigitalOcean: infrastructure applicative et stockage des données.
- OpenAI API: traitement par IA du contenu envoyé explicitement par les utilisateurs pour analyse.
- Polar: paiement hébergé pour traiter paiements, taxes et reçus des transactions concernées ; Polar agit comme commerçant officiel.
- Resend: e-mails de vérification du compte, de sécurité et de notification du service.
- Google: connexion, Google Drive et services Google explicitement connectés par l’utilisateur.
- Microsoft: connexion et accès OneDrive/SharePoint selon les autorisations accordées par l’utilisateur ou l’organisation.
- Cloudflare: DNS, protection périphérique et protection contre le trafic automatisé ou robotisé.
NexaFile fournit aussi des API et des outils de développement pour l’intégration de systèmes. Les clients peuvent utiliser des outils comme Postman pour appeler l’API, mais ils ne sont pas des sous-traitants par défaut de NexaFile.
Voir les détails du traitement, de la sécurité et de la confidentialité →
Consulter les détails du traitement.
Exploitation et incidents
L’état de santé et la disponibilité sont surveillés régulièrement ; les incidents publics sont consignés sur la page État. NexaFile utilise journaux, limitation de débit, pistes d’audit et procédures de gestion des incidents. Aucun système ne peut garantir une sécurité absolue.
Disponibilité et SLA
NexaFile ne publie pas de SLA général de disponibilité ni de crédit de service pour tous les forfaits. Les SLA des fournisseurs d’infrastructure ne sont pas ceux de NexaFile. Si une commande d’entreprise contient un SLA distinct, seul ce SLA signé s’applique.
Périmètre public des contrôles
| Domaine | Contrôle publié | Limite de la déclaration |
|---|---|---|
| Identité et accès | MFA · Passkeys · RBAC · audit records | N’implique pas une certification tierce. |
| Données | HTTPS · encrypted application secrets · workspace isolation | Le lieu et la durée de conservation dépendent de la configuration, des prestataires et du contrat. |
| Exploitation | health/readiness monitoring · rate limiting · incident records | Les mesures observées ne constituent pas un SLA contractuel. |
Sous-traitants et flux de données
La liste ci-dessus indique les prestataires actuellement publiés et leurs finalités principales. Le périmètre réel dépend des fonctions utilisées ; chaque document n’est pas envoyé à chaque prestataire.
NexaFile ne revendique aucune certification SOC 2, ISO 27001 ou similaire sans rapport ou certificat indépendant en cours de validité.
Gouvernance, preuves et mises à jour
- Les déclarations publiques décrivent les contrôles en service et ne constituent pas une certification, un SLA ou une garantie non signée.
- Les changements importants de prestataire, de portée OAuth, de conservation ou de traitement doivent figurer dans le Centre de confiance ou l’avis juridique applicable.
- Les clients professionnels peuvent demander un DPA, un questionnaire de sécurité ou les preuves disponibles ; toute divulgation reste soumise à la confidentialité et à l’accord applicable.
Modèle de responsabilité partagée
NexaFile protège la plateforme et les contrôles qu’il exploite. Les clients gèrent le cycle de vie des utilisateurs, les autorisations, la sécurité des appareils et comptes cloud, le choix légal des données, la vérification des résultats IA et la révocation des accès inutiles.
Signaler un problème de sécurité
Envoyez une description, l’heure, l’URL affectée et les étapes de reproduction ; n’envoyez pas de mots de passe, clés API ou documents sensibles par e-mail. [email protected]
