Security & Trust Center
Transparence totale sur la sécurité et la conformité · Mis à jour le 4 octobre 2026
Statut des certifications
Mis à jour le 4 octobre 2026
RGPD / GDPR
Droits d'accès, de rectification, d'effacement et de portabilité intégrés au produit, hébergement dans l'UE, sous-traitants et durées de conservation publiés.
Hébergement EU · DPA disponible sur demande · Art. 15-22 implémentés · privacy@metrikia.io
CASA Tier 2
Cloud Application Security Assessment exigé par Google pour l'accès au scope OAuth restreint auth/adwords.
OWASP ASVS 4.0 · 50+ contrôles vérifiés · Feb 2026
DPA Infrastructure
Contrat de Traitement des Données avec Railway (hébergeur EU), conforme à l'article 28 du RGPD.
DocuSign · EU SCCs · Signé 2026-02-24
SOC 2 Type II
Certification des Trust Service Criteria (Sécurité, Disponibilité, Confidentialité) selon l'AICPA.
~87% des contrôles en place · Roadmap Q4 2026
Architecture de sécurité
Contrôles techniques en place sur chaque couche de l'application.
Chiffrement
Identifiants de connexion, coordonnées des leads (nom, email, téléphone), messages des leads et données des comptes utilisateurs chiffrés au repos par l'application (chiffrement authentifié, clé de 256 bits). HTTPS uniquement, TLS 1.2 minimum, TLS 1.3 dès que le client le prend en charge, HSTS.
Authentification renforcée
MFA disponible pour chaque utilisateur, obligatoire pour les administrateurs et le support Metrikia. Sessions courtes, cookies de rafraîchissement HttpOnly et SameSite=Strict, révoqués à la déconnexion. Nombre de tentatives de connexion limité.
Isolation multi-tenant
Isolation stricte par compte, appliquée au niveau de la couche d'accès aux données et testée en continu. Zéro fuite inter-comptes.
Déconnexion des intégrations
La déconnexion d'une intégration supprime ses identifiants de Metrikia ; sa désactivation arrête le traitement mais les conserve. Pour retirer l'accès chez Google ou Meta, utilisez les paramètres de sécurité de votre compte (TikTok et Pinterest : Metrikia demande aussi au fournisseur de révoquer le token à la déconnexion).
Security Headers
HSTS, CSP strict, X-Frame-Options, CORS, X-Content-Type-Options sur tous les endpoints API et frontend.
Sécurité CI/CD
Chaque modification proposée est vérifiée automatiquement : vulnérabilités connues des dépendances et analyse statique du code. La suite de tests complète et un scan de vulnérabilités de l'image de conteneur s'exécutent à la demande dans le même pipeline.
Sauvegardes et résilience
Base de données principale en cluster haute disponibilité avec bascule automatique, dans notre région d'hébergement UE. Sauvegardes de la base de données chez notre hébergeur UE ; les objectifs de reprise sont documentés en interne.
Monitoring & Alertes
Supervision des erreurs et des traitements planifiés (Sentry), alertes en continu.
Sous-traitants
Les tiers qui traitent pour notre compte les données que vous gérez dans Metrikia, tels que listés à l'annexe III de notre DPA.
| Sous-traitant | Finalité | Région | Garanties |
|---|---|---|---|
| Railway | Hébergement cloud : application, bases de données et traitements en arrière-plan | UE Ouest, Amsterdam (NL) | DPA signé · EU SCCs |
| Buldee | Développement et maintenance de l'application | UE, France | EEE · Contrat de sous-traitance et confidentialité |
| Sentry (Functional Software, Inc.) | Supervision des erreurs et des performances | UE, Francfort (DE) ; métadonnées de compte aux États-Unis | |
| Resend (Plus Five Five, Inc.) | Envoi des emails transactionnels | États-Unis | |
| Anthropic | Assistant IA Diana, explications du score des leads, mapping des imports et analyse des créations publicitaires | États-Unis | EU SCCs · Aucun entraînement sur vos données |
| OpenAI | Embeddings pour la recherche de l'assistant d'aide | États-Unis |
Les plateformes publicitaires (Meta, Google, TikTok, Pinterest, Snapchat) ne reçoivent des événements de conversion que si vous activez l'API de conversions sur une source de données. Elles les reçoivent en tant que destinataires sur votre instruction, et non comme nos sous-traitants.
Toute modification de la liste des sous-traitants est notifiée aux clients avec un préavis de 30 jours.
Divulgation responsable
Si vous identifiez une vulnérabilité de sécurité dans Metrikia, nous vous invitons à nous la signaler de façon responsable. Nous nous engageons à répondre sous 48h ouvrées et à corriger les vulnérabilités critiques sous 7 jours.
Ressources & Documents
En savoir plus
Consultez nos pages juridiques pour plus de détails.