Sécurité et réversibilité
Contenu vérifié le 14 août 2026
Vos données et vos documents sont stockés dans l'Union européenne. L'application, la base de données et les pièces déposées vivent dans la région europe-west4, aux Pays-Bas. L'interface web est servie depuis la région de Paris.
Relevé du 2026-08-28. La page hébergement et sous-traitants porte cette carte en entier, avec ce que chaque prestataire voit.
Ces trois réserves sont écrites ici plutôt que laissées à trouver. Une limite qu'on n'écrit pas se fait écrire par quelqu'un d'autre, et rarement dans les mêmes termes.
| Rôle | Prestataire | Ce qu'il voit | Où |
|---|---|---|---|
| Application, base de données et documents | Railway Corporation | L'ensemble de vos données, au repos et chiffrées. | Région europe-west4, Pays-Bas |
| Diffusion de l'interface web | Vercel Inc. | Les pages servies. Aucun contenu de dossier ne transite en clair par ce service. | Fonctions servies depuis la région fra1, Paris |
| Comptes et authentification | Clerk | Votre adresse e-mail, votre nom et les éléments de session. Aucun contenu de dossier. | Non établie à ce jour |
| Moteur d'analyse automatisé | Prestataire technique du moteur d'analyse | Le contenu textuel des documents que vous déposez pour analyse, le temps de produire l'analyse. C'est le seul prestataire qui voit le contenu de vos pièces. Son identité figure au contrat de sous-traitance et au registre des traitements, et vous est communiquée sur demande. | Non établie à ce jour |
| Envoi des e-mails de service | Resend | Votre adresse e-mail et le contenu du message envoyé. | Non établie à ce jour |
| Mesure d'audience | PostHog et Umami | Des événements de navigation, après votre consentement explicite. Jamais le contenu d'un dossier. | Non établie à ce jour |
| Paiement | Stripe | Les données nécessaires à la transaction. Aucune coordonnée bancaire ne transite par nos serveurs ni n'y est stockée. | Non établie à ce jour |
La ligne surlignée est celle qui compte. Un seul prestataire voit le contenu de vos pièces, et seulement le temps de produire l'analyse. Nous écrivons ce qu'il voit, combien de temps et où, sans le fondre dans une catégorie technique : c'est ce que l'information due exige. Son identité figure au contrat de sous-traitance et au registre des traitements, et elle vous est communiquée sur demande. Ce tableau est complet ; il n'est pas nominatif, et nous préférons l'écrire que de le laisser croire.
À partir de
ouverture de la conversation
Choix produit assumé. Une conversation de travail sert à reprendre un dossier en cours ; au-delà d'un trimestre, ce qui devait être retenu vit dans le CRM, et ce qui reste ici n'est plus qu'une copie que personne ne tient.
À partir de
fin de l'analyse
Le document source est ce qui rend une citation vérifiable : sans lui, « page 51 » n'est plus qu'une affirmation, et ni l'auditeur du client ni le produit ne peuvent la rejouer. Il est donc conservé, avec son empreinte, le temps que le diagnostic soit lu et contesté. Les trente jours sont la borne de cette conservation, et ils couvrent aussi la reprise après panne du moteur, qui garde le fichier pour ne pas le redemander au client. Passé ce délai, la pièce est effacée du stockage et la clé qui la désignait est remise à vide : la colonne dit alors la vérité, la pièce n'est plus là.
À partir de
création du diagnostic
Un diagnostic public que personne n'a rattaché à un compte n'a plus de titulaire identifiable. Le conserver reviendrait à garder le contenu d'une entreprise que nous ne pouvons plus contacter.
À partir de
collecte de la mesure
Durée maximale recommandée par l'autorité de contrôle pour les traceurs de mesure d'audience, alignée sur la durée de vie du choix de l'internaute.
À partir de
enregistrement du choix
Le choix est redemandé à l'échéance, ce que la page annonce déjà.
À partir de
transmission du dossier
Motif contractuel. La convention d'apporteur protège un prospect douze mois, renouvelables une fois : au-delà, rien ne justifie de garder le nom d'une personne qui n'a rien demandé. La raison sociale reste, parce qu'elle prouve l'attribution et qu'elle ne désigne personne.
À partir de
décision du cabinet, ou dernière demande de l'entreprise si aucune décision n'est prise
Arbitrage DEC-15 du 19 septembre 2026. Le nom et l'adresse du dirigeant servent au cabinet à reconnaître son client ; une fois la décision prise, le rattachement est porté par le dossier, et trois mois couvrent une contestation. Le code, la raison sociale et le lien vers le dossier restent : aucun ne désigne une personne.
À partir de
refus de la candidature, ou son dépôt si elle reste sans suite
Arbitrage DEC-15 du 19 septembre 2026, mesures précontractuelles. Six mois après un refus suffisent à répondre à une contestation ou à réexaminer une candidature ; douze mois sans suite, la démarche est éteinte. Le nom, l'adresse, la structure et le message sont effacés ; la voie, le type d'apporteur et les dates restent, parce qu'ils ne désignent personne et qu'ils portent les agrégats du programme.
À partir de
consentement, ou son dernier renouvellement ; désinscription pour l'empreinte
Arbitrage DEC-15 du 19 septembre 2026, référentiel de la CNIL sur la prospection : une adresse qui ne s'est pas manifestée depuis trois ans est effacée. À la désinscription, l'adresse disparaît au passage quotidien suivant ; seule son empreinte reste, pour que l'opposition soit respectée sans garder l'adresse. Une adresse devenue celle d'un compte suit le compte.
À partir de
clôture du compte
C'est un espace de travail : la donnée est utile tant que la personne s'en sert. La clôture déclenche la suppression effective, table par table, et non un simple marquage.
À partir de
dépôt du justificatif
Ces pièces constituent un dossier auditable que le client doit pouvoir produire des années plus tard. Les purger automatiquement serait une régression fonctionnelle, pas une mise en conformité.
À partir de
clôture de l'exercice comptable
Obligation comptable (article L123-22 du Code de commerce) : les pièces justificatives se conservent dix ans après la fin de l'exercice. La clôture du compte efface déjà les colonnes qui désignent une personne physique (nom, adresse électronique, téléphone, adresse IP de consentement). À l'échéance, la pièce est supprimée ; si une autre ligne la désigne encore, elle est anonymisée intégralement à la place, pour ne jamais casser une référence. Un abonnement qui ouvre encore un droit sur un compte ouvert n'est pas une pièce échue.
À partir de
clôture du compte (anonymisation)
Conservation assumée, sans purge (arbitrage DEC-15 du 19 septembre 2026). Le journal prouve ce qui a été fait sur les données d'autrui : le supprimer effacerait la trace d'actions qui ne concernent pas la seule personne qui demande l'effacement, et romprait la preuve due aux clients. À la clôture, l'identifiant, l'adresse IP et le contexte libre sont vidés ; il ne reste que le verbe et l'objet.
À partir de
effacement de la pièce
Le registre garde l'empreinte et la date de l'effacement, jamais le contenu : c'est ce qui permet à nos clients de prouver que leur dossier n'a pas été altéré, sans conserver la donnée effacée.
Aucune de ces quatre opérations ne passe par nous, aucune ne suppose un préavis, aucune n'est ralentie par un délai de rétention commercial. C'est la contrepartie normale d'un produit qui vous demande de lui confier des justificatifs destinés à être défendus pendant des années.
Nous n'avons obtenu aucun référentiel de sécurité à ce jour, ni ISO 27001, ni SOC 2, ni HDS. Le silence sur cette question se lit comme une réponse évasive et coûte plus cher que l'aveu. Si votre procédure d'achat en exige un, il vaut mieux le savoir maintenant que trois semaines avant la signature.
Ces quatre points ont un avantage sur un logo : vous pouvez les vérifier vous-même, depuis votre propre espace, en quelques minutes, sans nous croire sur parole.
Faille suspectée, question de votre direction informatique, demande de précision sur un prestataire : contact@strata-esg.fr. Si vous signalez une vulnérabilité, décrivez-la sans la publier le temps que nous la corrigions ; nous vous répondrons avec la date de correction.
Pour l'accord de traitement des données, les bases légales, les finalités et l'exercice de vos droits, tout est détaillé sur la politique de confidentialité.
Non, aucune à ce jour, ni ISO 27001 ni SOC 2. Nous préférons l'écrire que laisser la question sans réponse. À la place, quatre choses sont vérifiables immédiatement depuis votre espace : le chiffrement en transit et au repos, l'export et la suppression en libre-service, le journal d'audit, et la liste de nos sous-traitants publiée sur cette page. Si votre procédure interne exige un référentiel, dites-le nous avant de signer plutôt qu'après.
L'application, la base de données et les pièces déposées vivent dans la région europe-west4, aux Pays-Bas ; l'interface web est servie depuis la région de Paris. Une seule page fait foi sur ce point, et cette page-ci la cite au lieu de la réécrire : c'est ce qui empêche qu'une correction apportée à un endroit laisse les autres surfaces en arrière. L'assistance technique d'un prestataire peut, pour une intervention identifiée, accéder à l'infrastructure depuis un autre pays ; ces accès sont encadrés par les clauses contractuelles types de la Commission européenne, annexées au contrat de sous-traitance.
Un seul prestataire voit le contenu textuel de vos pièces, et uniquement le temps de produire l'analyse. Il figure dans le tableau des sous-traitants de cette page par son rôle, pas par sa raison sociale : son identité est au contrat de sous-traitance et au registre des traitements, et elle vous est communiquée sur demande. Nous préférons l'écrire ainsi plutôt que d'annoncer une liste nominative qui ne l'est pas encore tout à fait. Aucun autre prestataire n'y a accès, aucun modèle n'est entraîné sur vos documents, et nous n'autorisons aucun de nos prestataires à le faire.
Vous repartez avec tout, et vous n'avez pas besoin de notre accord pour le faire : l'export complet est en libre-service, à tout moment, en formats ouverts lisibles sans notre logiciel. Il comprend le coffre de preuves avec son index et l'empreinte de chaque pièce, ainsi que le journal d'audit et le registre d'intégrité, qui sont la partie de votre dossier qui prouve le reste. La bonne pratique est de déclencher cet export une fois par exercice, sans attendre un événement.
Ils sont conservés trente jours après l'analyse, puis supprimés. La pièce source est gardée parce qu'une citation « page 51 » n'est une preuve que si la page 51 peut être rouverte, et la même borne couvre la reprise après une panne du moteur. Les pièces que vous versez volontairement à votre coffre de preuves suivent une autre règle : elles restent tant que vous les conservez, parce qu'elles sont faites pour être opposables plusieurs années.
Bases légales, finalités, droits des personnes concernées et accord de traitement des données.
Ce que le registre à empreintes chaînées détecte, et pourquoi la détection n'est pas l'inaltérabilité.
Les lignes commerciales retirées du site, avec leur date et leur motif. Deux concernent la sécurité.
L'éditeur du site, son immatriculation, le directeur de la publication et ses hébergeurs.
Envoyez-nous la grille de votre procédure d'achat. Nous répondons ligne par ligne, y compris quand la réponse est non, et nous vous renvoyons la grille remplie plutôt qu'une plaquette.