Comptes et identifiants
-
01
Chiffrés au repos
Les jetons OAuth et les clés d’API de vos intégrations sont chiffrés ligne par ligne en AES-256-GCM, et déchiffrés uniquement au moment de l’appel. La rotation des clés se fait sans interruption de service, et les anciennes données chiffrées sont rechiffrées avec la nouvelle clé.
-
02
Hachés, jamais stockés en clair
Les jetons de session, les jetons d’API personnels, les liens d’invitation ainsi que les jetons de vérification d’e-mail et de réinitialisation de mot de passe sont stockés sous forme d’empreintes SHA-256. Les liens de réinitialisation sont à usage unique et expirent au bout d’une heure.
-
03
Rôles et jetons à droits limités
Une organisation regroupe des espaces de travail, et chaque membre y reçoit un rôle. Les jetons d’API personnels portent des droits précis, peuvent être en lecture seule, expirent et sont soumis à une limite de requêtes. Les sessions peuvent être révoquées depuis la page du compte.
-
04
Uniquement les API officielles
Demander se connecte aux plateformes par OAuth, via les API qu’elles publient. Il ne demande jamais vos mots de passe et ne pilote jamais une session de navigateur à votre place.
Cloisonnement entre clients
-
01
Chaque ligne appartient à un espace de travail
Toutes les données clients portent l’identifiant d’un espace de travail, et chaque requête est restreinte à l’espace de travail du membre authentifié. Une demande portant sur les enregistrements d’un autre client reçoit la même réponse que si ces enregistrements n’existaient pas.
-
02
Testé au niveau HTTP
La suite de tests envoie à l’API des identifiants appartenant à d’autres clients et vérifie que chacun est refusé, aussi bien avec une session qu’avec un jeton d’API.
-
03
Requêtes sortantes filtrées
Le crawl des sites, les webhooks et le transfert des leads passent par un client HTTP qui refuse les adresses privées et internes. Une URL saisie dans Demander ne peut donc pas atteindre le réseau interne de Demander.
Données personnelles protégées dès la conception
| Données | Traitement par Demander |
|---|---|
| Visiteurs du site | Le script de suivi propose trois modes : strict, équilibré et désactivé. En mode strict, rien n’identifie un visiteur avant son consentement. Global Privacy Control et Do Not Track valent absence de consentement marketing, et le retrait du consentement supprime les identifiants stockés. |
| Adresses IP | Jamais stockées en clair : un hachage salé renouvelé chaque jour, et des préfixes tronqués pour retrouver l’entreprise. |
| Identification des entreprises | Au niveau de l’entreprise uniquement, et seulement avec une évaluation documentée de l’intérêt légitime ou un consentement marketing. Les fournisseurs d’accès à Internet, les opérateurs mobiles et les centres de données sont exclus. |
| Personnes | Identifiées uniquement lorsqu’elles se font connaître : un formulaire, une réponse ou un opt-in confirmé. Jamais par déduction à partir de leur comportement. |
| E-mails de prospection | Vérifiés selon les règles du pays du destinataire lors de l’inscription dans la séquence, puis de nouveau à l’envoi. Une désinscription, un rebond définitif ou une plainte place aussitôt l’adresse sur la liste d’exclusion. |
| Audiences publicitaires | Les adresses e-mail hachées ne sont transmises aux plateformes publicitaires que pour les contacts qui ont donné un consentement marketing explicite et ne se sont pas désinscrits. Les personnes issues de la prospection ne sont jamais importées. |
Le détail figure dans la politique de confidentialité, la politique cookies et le DPA.
Hébergement, sauvegardes et supervision
-
01
Hébergement dans l’UE
L’application et sa base de données sont hébergées dans l’UE. La liste à jour des sous-traitants ultérieurs, avec le lieu où chacun traite les données, figure dans le DPA.
-
02
Des sauvegardes testées par restauration
Chaque jour, un export de la base de données avec sommes de contrôle part vers un stockage objet chiffré sur un second site, avec gestion des versions. Un exercice de restauration a lieu chaque mois sur une instance temporaire.
-
03
Rapports d’erreur expurgés
Avant de quitter le serveur, les rapports d’erreur sont débarrassés du corps des requêtes, et les adresses e-mail, identifiants, jetons et adresses IP y sont masqués.
-
04
Limites de requêtes et anti-abus
Les endpoints publics sont soumis à une limite de requêtes, le point de collecte du script de suivi ne peut pas enregistrer de consentement, et les formulaires hébergés utilisent un champ piège (honeypot) et le double opt-in.
Une automatisation auditable
Chaque modification que Demander apporte à un compte publicitaire, une boîte mail ou un profil social est une action proposée, avec sa justification et les données à l’appui. Elle passe par un point de contrôle déterministe avant d’être exécutée, elle est enregistrée dans le journal d’audit et elle peut être annulée. Les agents IA connectés via l’API ou le MCP passent par le même point de contrôle et alimentent le même journal.
Les questions qu’on nous pose
Avez-vous un DPA ?
Oui. L’accord de traitement des données prévu à l’article 28 du RGPD, avec la liste des sous-traitants ultérieurs et les mesures de sécurité, se trouve à l’adresse /legal/dpa.
Que deviennent nos données si nous quittons Demander ?
Vous pouvez supprimer un espace de travail, toute l’organisation ou votre compte. La suppression résilie d’abord l’abonnement, puis efface vos données, fichiers de marque compris. Les campagnes et les audiences restent dans vos propres comptes publicitaires.
Demander peut-il dépenser de l’argent sans notre accord ?
Uniquement dans le cadre du niveau d’autonomie et des plafonds que vous avez fixés, et jamais au-delà des limites strictes : arrêt d’urgence, plafonds journalier et mensuel, limite de variation quotidienne et contrôle du suivi. Chaque modification automatisée est journalisée et peut être annulée.
Les médias générés par IA sont-ils signalés ?
Oui. Les médias générés par IA sont marqués pour respecter les règles de transparence du règlement européen sur l’IA (AI Act) et les mentions propres à chaque plateforme.