Sécurité et données

Trois documents à lire, imprimer ou télécharger en PDF, sans connexion.

• Dossier de sécuritéHébergement et localisation des données, chiffrement, MFA, sauvegardes, mises à jour, liste des sous-traitants et contact en cas d’incident.
• Procédure d’incidentsQui détecte un incident, qui décide, et qui prévient le client et dans quel délai.
• Modèle d’annexe de sécuritéUn modèle d’annexe au contrat, avec des champs à compléter par les parties.

• La base de données (Google Cloud Firestore) fonctionne dans la multi-région eur3 de l'Union européenne.
• Les fichiers sont stockés dans Google Cloud Storage, dans la multi-région UE.
• Les fonctions serveur s'exécutent dans la région europe-west1, en Belgique.
• La base de données est sauvegardée une fois par semaine, le dimanche. Chaque sauvegarde est conservée 60 jours, également dans eur3.

• Les connexions sont chiffrées (HTTPS). Google Cloud chiffre aussi les données au repos dans la base de données, dans les fichiers et dans les sauvegardes.
• Les autorisations sont vérifiées par les règles de sécurité de la base de données côté serveur, pas seulement par les écrans de l'application. Ces mêmes règles séparent les données des différentes organisations.
• Vous vous connectez avec un mot de passe, un compte Google ou Microsoft, ou un code à usage unique envoyé par e-mail. Une organisation peut confirmer son domaine : les personnes ayant son compte d'entreprise la rejoignent alors d'elles-mêmes, sans invitation.
• Vous pouvez chiffrer certains champs de la feuille de présence avec votre propre mot de passe. Nous ne le conservons pas et ne pouvons pas le récupérer : le perdre signifie perdre l'accès à ces champs.
• Nous ne collectons ni ne conservons les données de carte bancaire : les paiements sont gérés par Stripe.

• Google Cloud et Firebase : connexion, base de données, fichiers, fonctions serveur et hébergement.
• Google Workspace : e-mails envoyés depuis Verbalu.
• Fournisseurs de modèles d'IA : Google (Gemini), OpenAI et Anthropic. Détails dans la section suivante.
• Stripe : paiements et factures des offres payantes.
• Google Analytics, Hotjar et Google Ads : leurs cookies ne sont déposés qu'après votre consentement dans le bandeau de cookies.
• Nous ne vendons pas de données personnelles et ne les partageons avec personne pour son propre marketing.
• Certains fournisseurs appartiennent à des groupes américains et peuvent traiter des données hors de l'EEE. Ces transferts reposent sur le Data Privacy Framework UE-États-Unis ou sur les clauses contractuelles types approuvées par la Commission européenne.

Liste complète des fournisseurs dans la Politique de confidentialité

• Le contenu n'arrive à un modèle d'IA que lorsque quelqu'un utilise une fonction IA, par exemple pour générer un quiz à partir d'un fichier. Les fonctions qui s'exécutent seules, comme la correction automatique d'un devoir écrit, sont activées par l'organisateur.
• Le texte est généré par un fournisseur que nous choisissons pour l'ensemble du service : Google Gemini, OpenAI ou Anthropic.
• Quelques fonctions utilisent toujours le même fournisseur : les images et la recherche IA fonctionnent sur Google Gemini. La transcription d'un enregistrement dans « Récapitulatif de session » fonctionne sur Google Gemini, ou sur OpenAI quand c'est OpenAI qui génère le texte.
• Nous n'entraînons pas de modèles d'IA sur votre contenu, et les fournisseurs ne l'utilisent pas pour entraîner les leurs.
• Les enregistrements de « Récapitulatif de session » n'entrent jamais dans le stockage de fichiers du service : l'audio passe par une fonction serveur, puis nous ne travaillons plus qu'avec le texte.

• Ils rejoignent avec un code, un lien ou un code QR, sans créer de compte.
• Dans un quiz, un sondage ou un jeu, un nom ou un pseudo suffit. Nous le conservons avec leurs réponses et leur score.
• Une adresse e-mail n'apparaît que là où elle est nécessaire, par exemple sur une page d'inscription à une formation. Dans un cours, elle peut être donnée, mais elle est facultative.
• Seule la feuille de présence collecte une signature manuscrite et la position au moment de la signature, et seulement quand l'organisateur active ces options.
• Les données de session et les résultats des participants restent jusqu'à ce que l'organisateur les supprime.

• Verbalu est exploité par Octigo sp. z o.o., ul. Redycka 38/1, 51-169 Wrocław, Pologne (KRS 0000360836). Octigo est le responsable du traitement des données de compte des formateurs et des organisateurs.
• L'organisateur de la session est le responsable du traitement des données des participants. Verbalu les traite sur ses instructions, en tant que sous-traitant (article 28 du RGPD).
• Les propriétaires d'organisation peuvent télécharger le modèle d'accord de traitement des données (DPA) dans l'application : ouvrez « Organisation », puis l'onglet « Pack de conformité ». Toute autre personne peut l'obtenir sur demande.
• Au même endroit, on trouve un avenant FERPA, le questionnaire HECVAT Lite, un rapport d'accessibilité et une description des intégrations, en trois langues, en téléchargement PDF.
• Nous transmettons à l'organisateur les demandes des participants concernant leurs données et l'aidons à les traiter.

• Vous pouvez exporter les résultats dans chaque offre, y compris gratuite : rapports de quiz vers Excel, feuilles de présence vers Excel et PDF, et résultats de sondages et de cours vers CSV.
• Vous pouvez télécharger toute la base de connaissances sous forme de ZIP de fichiers Markdown, et un seul article en PDF, DOCX ou Markdown.
• Les créations de « Studio de design » s'enregistrent en PNG, PDF, PPTX ou DOCX (pages en images), les tableaux blancs en PDF et PNG, et les notes des tableaux blancs en CSV.
• Vous pouvez télécharger les questions d'un quiz sous forme de tableur Excel ou de fichier JSON que l'on peut recharger. Le propriétaire de l'organisation peut aussi télécharger tout le compte d'un coup : un fichier ZIP avec le contenu de chaque outil, les rapports de quiz et les fichiers importés. Les réponses détaillées des participants aux autres sessions se téléchargent depuis les écrans de résultats de ces outils.
• Si vous résiliez une offre payante, le compte repasse à l'offre gratuite et rien n'est supprimé. Les limites de l'offre gratuite ne s'appliquent qu'aux nouvelles actions, comme inviter une personne, importer un fichier ou l'arrivée d'un participant dans une session.
• Le quota mensuel de crédits IA prend fin avec l'offre ; les packs de crédits achetés restent.
• Vous pouvez nous demander à tout moment de supprimer votre compte et vos données à hello@verbalu.com. Aucun bouton de l'application ne le fait automatiquement aujourd'hui.

• Nous visons la conformité WCAG 2.1 niveau AA.
• Les propriétaires d'organisation trouvent le rapport d'accessibilité (un ACR au format VPAT 2.5) dans l'application, dans l'onglet « Pack de conformité ». C'est notre propre évaluation, pas un audit externe, et elle indique aussi les lacunes connues.

• La disponibilité de Verbalu est vérifiée de l'extérieur par UptimeRobot, un service indépendant, et non par nous.
• La page d'état publique montre l'état actuel et l'historique de disponibilité. Elle fonctionne en dehors de notre infrastructure, vous pouvez donc l'ouvrir même quand Verbalu ne répond pas.

Ouvrir la page d'état

• L'authentification unique via SAML ou votre propre fournisseur OIDC, un moyen d'imposer la connexion avec le seul compte d'entreprise, ou l'authentification à deux facteurs (2FA) obligatoire. Quand vous vous connectez avec un compte Google ou Microsoft, les protections de ce compte s'appliquent, y compris la validation en deux étapes si elle est activée.
• Un certificat ISO 27001, un rapport SOC 2 ou un test d'intrusion externe. L'infrastructure Google Cloud sur laquelle nous fonctionnons a ses propres certificats et rapports.
• Des sauvegardes plus fréquentes qu'une fois par semaine, ou un choix de la région de stockage des données.
• Une garantie contractuelle de disponibilité (SLA). La page d'état montre une mesure, pas un engagement.

Vous avez repéré une vulnérabilité, ou quelque chose vous inquiète ? Écrivez-nous :

hello@verbalu.com

La même adresse traite les questions de données personnelles. Nous n'avons pas désigné de délégué à la protection des données.