Sécurité et confiance

Sur le même sujet : Politique de confidentialité · Conditions d'utilisation

Sommaire#

1. Présentation
2. En un coup d'œil
3. Infrastructure
4. Protection des données
5. Fournisseurs d'IA
6. Recherche IA sur site web et identifiants
7. Sécurité du compte
8. Sécurité des applications
9. Accès interne
10. Journalisation et surveillance
11. Gestion des incidents
12. Sauvegardes et continuité
13. Conservation et suppression des données
14. Conformité
15. Sous-traitants
16. Divulgation de vulnérabilités
17. Contact

---

1. Présentation#

Clevera gère des enregistrements d'écran, des vidéos de produits et parfois des connexions à vos propres applications ; nous considérons donc la sécurité comme une partie intégrante du produit. Nous concevons nos systèmes pour garantir :

• un accès au moindre privilège
• des flux de données chiffrés
• un accès éphémère aux médias
• une isolation claire de tout ce qui interagit avec le web public

2. En un coup d'œil#

3. Infrastructure#

• Application et base de données. Nos serveurs sont gérés avec Laravel Forge sur Hetzner UE (Allemagne). La base de données Postgres et la file d'attente Redis n'acceptent les connexions que depuis le serveur d'application, et non depuis Internet.
• Fichiers. Les enregistrements, téléchargements et médias générés sont stockés sur Amazon S3 aux États-Unis, avec les ressources de marque publiques dans l'UE (Suède). Les médias sont diffusés via Amazon CloudFront.
• Rendu. Les vidéos sont rendues dans votre propre navigateur par défaut, l'encodage final se fait donc sur votre appareil. Les rendus serveur s'exécutent sur AWS Lambda aux États-Unis.
• Visites de sites web. Les composants qui visitent des sites web pour vous s'exécutent à deux endroits :
  • Notre propre scanner de site. Il s'exécute en tant qu'utilisateur système distinct et restreint, sans accès à nos clés API. Un pare-feu sortant l'empêche d'atteindre les réseaux internes et les points de terminaison de métadonnées cloud, ce qui protège contre la falsification de requête côté serveur.
  • Browser Use. La navigation pilotée par IA s'exécute dans des navigateurs cloud isolés chez Browser Use, en dehors de notre infrastructure.
• Localisation des données. Les données sont traitées principalement aux États-Unis et dans l'UE. Nous ne proposons pas actuellement de résidence des données au choix du client.

4. Protection des données#

• En transit : tout le trafic vers Clevera utilise TLS.
• Au repos :
  • Nous chiffrons les éléments suivants au niveau de l'application :
    • jetons OAuth d'intégration
    • secrets SSO
    • vos propres clés API de fournisseur
    • identifiants temporaires de site web
    • liens de téléchargement de fournisseur
  • Les mots de passe sont stockés uniquement sous forme de hachages à sens unique.
  • Les fichiers stockés reposent sur le chiffrement au repos du fournisseur cloud (AWS SSE-S3).
• Accès aux médias : les médias privés ne sont servis que via des liens signés qui expirent, généralement sous 24 heures. Les téléchargements vont directement vers le stockage via des URL pré-signées à usage unique.
• Paiements : gérés entièrement par Lemon Squeezy. Les données de carte n'atteignent jamais nos systèmes.
• Minimisation des données : nous n'envoyons à chaque fournisseur d'IA que ce dont la tâche a besoin. Par exemple, les analyses de visionnage sur les vidéos partagées ne conservent que la catégorie d'appareil et le pays. La prévention des abus utilise des hachages avec clé plutôt que des adresses IP brutes.

5. Fournisseurs d'IA#

Clevera utilise des modèles d'IA de Google (Gemini), Anthropic (Claude) et OpenAI. Il utilise également HeyGen pour les avatars IA.

• Nous utilisons ces fournisseurs selon des conditions d'API commerciales qui n'autorisent pas l'entraînement sur votre contenu.
• Certains fournisseurs conservent les données d'API pendant une période limitée, généralement jusqu'à 30 jours, pour la surveillance des abus.
• Les fichiers vidéo que nous téléchargeons pour analyse sont supprimés du fournisseur quelques heures après la tâche.
• Nous n'utilisons pas votre contenu pour entraîner des modèles d'IA.

6. Recherche IA sur site web et identifiants#

« Enregistrer avec l'IA » et la recherche sur site web exécutent un agent IA dans un navigateur cloud chez Browser Use.

• Les identifiants restent hors du modèle. Les identifiants que vous fournissez pour une exécution sont transmis au navigateur en tant que secrets. Ils ne sont jamais placés dans l'invite du modèle d'IA et sont expurgés des journaux.
• Stockage éphémère. De notre côté, les identifiants sont conservés chiffrés uniquement pendant l'exécution de la tâche, puis supprimés.
• Recherche contrainte. Les recherches ont pour instruction de ne pas se connecter, de ne pas soumettre de formulaires et de ne pas effectuer d'achats.
• Les connexions enregistrées sont facultatives. Elles sont désactivées par défaut et activées par site. Vous pouvez les supprimer à tout moment, et elles expirent après 30 jours d'inactivité. Elles sont supprimées avec votre compte.
• Consentement. Avant que l'agent n'utilise un compte, la personne qui configure l'exécution doit confirmer qu'elle est autorisée à donner à Clevera l'accès à celui-ci.
• Utilisez un compte de test. Nous recommandons un compte de démonstration ou de test dédié pour le tournage.

7. Sécurité du compte#

• Authentification à deux facteurs : codes d'application d'authentification (TOTP), avec codes de récupération.
• Vérification des nouveaux appareils : lorsque vous vous connectez depuis un nouvel appareil ou emplacement, nous envoyons un code à usage unique par e-mail. Les appareils de confiance sont périodiquement re-vérifiés.
• Authentification unique (SSO) :
  • SAML 2.0 et OpenID Connect sur les forfaits personnalisés
  • prend en charge Okta, Microsoft Entra ID, Google Workspace, OneLogin et d'autres fournisseurs d'identité standard
  • les secrets SSO sont chiffrés
• La connexion Google est disponible pour tous les utilisateurs.
• La limitation de débit protège les points de terminaison de connexion, de double authentification, de vérification et d'API contre la force brute et les abus.
• Rôles d'équipe : Propriétaire, Administrateur, Éditeur et Créateur de contenu. Chaque rôle contrôle ce que les membres peuvent voir et modifier.
• Les jetons API pour l'enregistreur de bureau sont limités à l'enregistrement et peuvent être révoqués depuis votre profil.

8. Sécurité des applications#

• Revue de code et tests automatisés à chaque changement.
• Protections du framework contre les risques web courants, notamment les jetons CSRF, l'échappement de sortie, les requêtes de base de données paramétrées et les cookies signés.
• Désinfection des fichiers SVG téléchargés.
• Restrictions de politique de sécurité du contenu (CSP) sur les sites pouvant être intégrés dans l'application.
• Vérification de signature sur chaque webhook entrant (Lemon Squeezy, HeyGen, Amazon SES).
• Secrets conservés en dehors du contrôle de source, avec des identifiants de service au moindre privilège.

9. Accès interne#

• L'accès à la production est limité au personnel autorisé qui en a besoin.
• Les outils administratifs dans l'application nécessitent un rôle d'administrateur distinct.
• Le personnel ne consulte le contenu des clients que pour fournir l'assistance que vous demandez, pour enquêter sur des abus ou des incidents, ou lorsque la loi l'exige.

10. Journalisation et surveillance#

• Les journaux d'application et de sécurité sont conservés pendant environ 14 à 30 jours pour le dépannage et l'examen de sécurité.
• Nous alertons en cas de taux d'erreur élevés, de tâches échouées et d'utilisation inhabituelle. Une protection quotidienne contre les coûts limite l'utilisation incontrôlée sur les comptes gratuits.
• Le suivi de l'utilisation et des crédits est intégré à Clevera ; aucun service de mesure tiers n'est utilisé.

11. Réponse aux incidents#

Nous suivons un processus défini pour trier, contenir et corriger les incidents de sécurité.

En cas de violation de données personnelles vous concernant, nous informerons les clients concernés sans délai injustifié, comme l'exige la loi. En vertu du RGPD, nous notifions les autorités de contrôle dans les 72 heures lorsque cela est requis.

12. Sauvegardes et continuité#

• La base de données Postgres est sauvegardée quotidiennement par Laravel Forge. Chaque sauvegarde est un dump compressé stocké dans un stockage objet cloud, chiffré au repos par le fournisseur de stockage, et conservé pendant 7 jours. Les anciennes sauvegardes sont supprimées automatiquement.
• Nos services peuvent être redéployés à partir du contrôle de source.
• Les tâches de longue durée, telles que le rendu, la recherche et la génération, sont mises en file d'attente et relancées en cas d'échec.

13. Conservation et suppression des données#

• Votre contenu : conservé tant que votre compte est actif.
• Corbeille : les éléments dans la corbeille sont définitivement supprimés après 7 jours.
• Enregistrements inutilisés : les enregistrements non utilisés dans une vidéo sont supprimés après 15 jours.
• La suppression du compte commence immédiatement. Elle :
  • annule les abonnements
  • révoque les jetons et les connexions enregistrées
  • supprime définitivement les enregistrements, vidéos et fichiers des équipes possédées peu de temps après
• Les sauvegardes expirent selon leur calendrier de rétention.

Tous les détails figurent dans notre Politique de confidentialité.

14. Conformité#

• RGPD, RGPD britannique et KVKK. Nous sommes le responsable du traitement pour les données de compte, de facturation et du site web. Pour votre contenu, nous agissons en tant que sous-traitant conformément à notre Addendum sur le traitement des données. Les transferts internationaux utilisent les Clauses Contractuelles Types, l'Addendum britannique ou les contrats standards KVKK selon les besoins.
• CPRA. Nous ne vendons ni ne partageons d'informations personnelles, et nous ne nous engageons pas dans la publicité comportementale inter-contexte.
• SOC 2 / ISO 27001. Nous prévoyons d'obtenir la certification SOC 2 et ISO 27001 en 2027.
• DPA : disponible sur demande à team@clevera.ai.

15. Sous-traitants#

La liste complète, avec les catégories de données et les emplacements, se trouve dans notre Politique de confidentialité. Nous informons les clients des changements importants comme le décrit notre DPA.

16. Divulgation de vulnérabilité#

Si vous pensez avoir trouvé un problème de sécurité, envoyez un e-mail à team@clevera.ai avec les détails et les étapes pour le reproduire.

Veuillez :

• tester uniquement sur votre propre compte
• éviter d'accéder ou de modifier les données d'autres personnes
• éviter de dégrader le service
• éviter les analyses automatisées à haut volume
• nous laisser un délai raisonnable pour corriger le problème avant de le divulguer publiquement

Nous accuserons réception de votre rapport, vous tiendrons informé et vous créditerons si vous le souhaitez. Nous n'engagerons aucune action en justice contre la recherche de bonne foi qui suit ces directives.

17. Contact#

Sécurité et confiance : team@clevera.ai
Odise Studio (Clevera), Yenişehir Mah. Kardeşler Cad. 7/2, Sivas, Türkiye