La sécurité commence par les habilitations

Où vivent vos données

La plateforme est hébergée en France par Planet Service, sur deux centres de données franciliens : les serveurs applicatifs chez Foliateam, certifié ISO/IEC 27001 et HDS — hébergeur de données de santé, référentiel 2022 —, et les sauvegardes chez Equinix, certifié ISO/IEC 27001, ISO 22301 — continuité d'activité — et ISO 9001. Les attestations sont communiquées sur demande.

Le site de présentation que vous lisez est hébergé séparément, chez OVH (Roubaix) : aucune donnée de projet n'y transite.

Les fonctions d'intelligence artificielle — commentaire d'encours, aide à la saisie, synthèse de revue d'affaires — s'appuient sur un modèle européen exécuté en France. Vos données restent stockées chez notre hébergeur : seuls les chiffres nécessaires à l'analyse demandée transitent, le temps du traitement, et ne sont pas conservés.

C'est la première question posée par nos clients des secteurs banque, assurance et public, et c'est la raison pour laquelle nous y répondons avant les autres.

Le module d'analyse par IA

C'est la question que pose systématiquement une direction de la sécurité : autant y répondre dans le détail plutôt qu'en une ligne rassurante.

• Le modèle — mistral-small, modèle européen développé par Mistral AI.
• Où il s'exécute — sur les Generative APIs de Scaleway, société française du groupe Iliad, dans un centre de données situé à Paris. Aucune donnée aux États-Unis, aucune exposition au CLOUD Act : le service relève du droit français et européen.
• Ce qui est transmis — uniquement les chiffres du tableau de bord nécessaires à la rédaction du rapport demandé. Aucun export de base, aucune donnée au-delà du périmètre analysé.
• Chiffrement — les échanges sont chiffrés en HTTPS/TLS.
• Conservation — ni les requêtes ni les réponses ne sont conservées après traitement. Seules des métadonnées d'usage agrégées et anonymisées — volumétrie, temps de réponse — le sont, jusqu'à six mois.
• Entraînement — vos données ne servent pas à entraîner ou améliorer les modèles, et ne sont accessibles ni à l'éditeur du modèle, ni à des tiers.

Notre fournisseur d'inférence est certifié ISO/IEC 27001:2022, HDS (hébergeur de données de santé) et CSA STAR niveau 1, conforme au RGPD, et engagé dans la démarche de qualification SecNumCloud de l'ANSSI. Ces certifications sont celles de nos fournisseurs : CESAR.TEAM ne revendique pas de certification propre.

Qui voit quoi

La sécurité d'un outil de pilotage se joue moins sur le chiffrement que sur les habilitations : dans une plateforme qui contient les coûts journaliers, les marges par affaire et le temps passé de chaque personne, tout le monde ne doit pas voir la même chose.

CESAR.TEAM repose sur sept profils, croisés avec les macro-fonctions de la chaîne :

Un coût journalier réel, une marge d'affaire ou le détail des temps d'une personne ne sont visibles que par les profils qui en ont l'usage. Le choix entre coût standard par catégorie et coût réel par personne se paramètre, et c'est une décision d'entreprise avant d'être un réglage technique.

Traçabilité et intégrité

Trois mécanismes rendent la donnée opposable — au client qu'on facture, au commissaire aux comptes, et à l'équipe qui doit expliquer un écart :

• La validation à deux niveaux — le collaborateur valide, la hiérarchie valide.
• Le gel des périodes — une période validée n'est plus modifiable ; les corrections passent en régularisation sur la période suivante, tracées comme telles.
• L'historisation des référentiels — les coûts journaliers portent des dates d'effet, ce qui interdit de réécrire rétroactivement le coût d'un exercice clos.

Intégration au système d'information

Les échanges avec votre système d'information passent par une API : ERP, CRM, référentiel RH, comptabilité. Les écritures comptables sont générées au format attendu, sans ressaisie ni fichier intermédiaire.

Ce point est aussi un point de sécurité : les fichiers d'export qui circulent par courriel entre les équipes projet et la finance sont, dans la plupart des organisations, la vraie fuite de données — pas la plateforme.

Ce que nous documentons sur demande

Les éléments suivants sont fournis en avant-vente, sur questionnaire ou au format de votre grille d'analyse :

• Chiffrement des flux et des données au repos.
• Politique d'authentification et gestion des comptes à privilèges.
• Sauvegardes : fréquence, rétention, tests de restauration.
• Continuité et reprise d'activité.
• Journalisation des accès et durée de conservation des journaux.
• Gestion des vulnérabilités, mises à jour, tests d'intrusion.
• Procédure de notification d'incident et délais.