Sécurité et confidentialité

L’application est exécutée en région Paris (Vercel, cdg1). La base de données, l’authentification et les fichiers sont hébergés en région Paris (Supabase, eu-west-3). Les données au repos restent dans l’Union européenne (UE) ; le réseau de diffusion de l’hébergeur est mondial.

Fuzain ne se connecte jamais aux données de vos clients : les maquettes n’utilisent que des données fictives générées. Pour chaque tâche, les modèles d’IA reçoivent les textes de travail nécessaires : besoin, cahier des charges importé, spécification de la maquette, commentaires des relecteurs (pour les classer). Les appels passent par OpenRouter, limités aux fournisseurs sans conservation ni entraînement sur vos contenus ; Fuzain ne journalise que des métadonnées (tâche, modèle, coût).

Vercel (hébergement de l’application, Paris), Supabase (base de données et authentification, Paris), Resend (e-mails, région UE), Stripe (paiement), OpenRouter et les fournisseurs de modèles d’IA. Prévus mais non activés à ce jour : Sentry (suivi des erreurs, UE, données personnelles filtrées) et PostHog (mesure d’usage du service, UE) ; leur activation sera annoncée ici et dans la politique de confidentialité. Des transferts hors UE sont possibles vers des sociétés établies hors de l’Union et vers les fournisseurs de modèles : ils sont encadrés par les clauses contractuelles types de la Commission européenne.

Isolation stricte entre organisations par des politiques de sécurité au niveau des lignes (RLS, pour Row Level Security) dans la base, vérifiées par des tests automatisés. Connexion sans mot de passe : lien à usage unique et code à 6 chiffres envoyés par e-mail, ou connexion unique (SSO) Google ou Microsoft. Liens de partage à jeton aléatoire dont seule l’empreinte est stockée, révocables à tout moment. Politique de sécurité du contenu (CSP) stricte, avec une valeur unique à chaque chargement de page (nonce), connexion chiffrée imposée au navigateur (HSTS) et protection contre l’intégration dans un cadre.

Pour les contenus de vos projets, Fuzain agit en sous-traitant (article 28 du règlement général sur la protection des données, RGPD) : un contrat de sous-traitance (DPA, pour Data Processing Agreement) est signé à votre demande. Les mesures d’usage des rapports en production sont pseudonymisées par défaut.

Pendant votre abonnement, vous pouvez exporter l’intégralité de vos contenus : projet Power BI (PBIP) de chaque version, spécifications au format JSON (format de données ouvert), retours, procès-verbaux (PV) de recette et journal d’audit. En lecture seule (fin d’essai ou d’abonnement), l’archive JSON de vos données et les PV restent téléchargeables. En cas d’arrêt du service, nous nous engageons contractuellement à un préavis de 6 mois pour vous permettre de tout récupérer, puis à une suppression certifiée de vos données.

Sauvegardes quotidiennes de la base et restauration à un instant donné (PITR, pour Point-In-Time Recovery) en cours d’activation. Objectifs visés une fois en place : perte de données d’une heure au plus (RPO ≤ 1 h) et rétablissement en 4 heures au plus (RTO ≤ 4 h).

Pour signaler une vulnérabilité, ou demander le DPA et notre questionnaire de sécurité : securite@fuzain.ai.