Sécurité et conformité
Sites alpboard.com et alppy.ai, applications Alpboard pour iOS, iPadOS et watchOS. Dernière mise à jour : 13 octobre 2026.
1. Où nous en sommes
| Référentiel | État | Ce que cela recouvre |
|---|---|---|
| RGPD | Conforme, auto-évalué | Alpboard traite les données des mandats pour le compte des cabinets, en sous-traitant au sens de l’article 28. L’accord de sous-traitance est publié, le registre des traitements est tenu, les prestataires sont nommés et les durées de conservation sont appliquées automatiquement. |
| Règlement européen sur l’intelligence artificielle | Conforme, auto-évalué | Aucun usage d’Alpboard ne relève des systèmes à haut risque. Alppy se présente comme une intelligence artificielle, chaque proposition d’un modèle est relue par un collaborateur, et chaque usage est décrit sur la page Intelligence artificielle. |
| ISO/IEC 27001 | Objectif, en préparation | Pas de certification à ce jour. Les mesures décrites ci-dessous en couvrent une large part ; la certification suppose en outre un système de management de la sécurité écrit et un audit par un organisme accrédité. |
| SOC 2 Type II | Envisagé ensuite | Pas de rapport à ce jour. C’est l’attestation d’un auditeur indépendant sur une période d’observation de plusieurs mois, surtout demandée hors d’Europe. |
Nous n’affichons aucune certification que nous n’avons pas. « Conforme, auto-évalué » signifie que l’éditeur a vérifié lui-même chaque obligation, sans attestation d’un tiers.
2. Où sont vos données
- La base de données, les fichiers déposés et l’authentification sont hébergés à Paris, dans l’Union européenne ; les pages sont produites par des serveurs situés à Paris.
- Les modèles d’intelligence artificielle qui lisent les pièces et répondent dans Alppy sont servis dans l’Union européenne, sans conservation ni entraînement : Mistral par défaut, et OVHcloud en France pour le modèle proposé à l’essai.
- La dictée vocale est transcrite par Mistral, dans l’Union européenne elle aussi : la voix ne quitte plus l’Europe.
Plusieurs prestataires sont des sociétés établies hors de l’Union européenne ; les transferts sont alors encadrés par le cadre de protection des données UE-États-Unis ou par les clauses contractuelles types de la Commission européenne. Ils sont tous nommés dans la politique de confidentialité.
3. Mesures de sécurité
Chiffrement. Les échanges sont chiffrés en transit (TLS). Les messages, les conversations avec Alppy et les secrets de connexion sont en outre chiffrés en AES-256-GCM sous une clé propre à Alpboard ; la base et les fichiers déposés sont chiffrés au repos par l’hébergeur.
Accès. Aucun compte ne se crée en libre-service : chaque cabinet ouvre les accès de ses collaborateurs. Les droits se règlent domaine par domaine, à partir d’un modèle par grade, et les gestes sensibles peuvent être soumis à la validation d’un supérieur. Clés d’accès sur le site, double authentification proposée aux administrateurs, verrouillage par Face ID ou Touch ID dans l’application. Chaque page et chaque appel de l’interface de programmation vérifient la session ; les essais de connexion répétés sont freinés.
Cloisonnement. Un cabinet ne voit que ses propres mandats. Alppy ne lit que ce que son interlocuteur a le droit de lire, et toute écriture qu’il fait s’affiche sous sa réponse ; ce qui supprime ou touche aux accès attend une confirmation.
Traçabilité. Chaque création, modification et dépôt sur un mandat est horodaté, avec son auteur, et conservé avec le mandat. Les connexions, les codes de double authentification et les changements d’accès sont journalisés.
Développement. Chaque bibliothèque installée en production est figée à une version et vérifiée par son empreinte ; ces versions sont confrontées régulièrement à la base publique des vulnérabilités connues. Le code est relu deux fois par jour par une revue de sécurité automatisée, dont les constats sont tranchés par l’éditeur. Les pages ne chargent aucun script depuis un site tiers, et une politique de sécurité du contenu le fait respecter par le navigateur.
Incidents. Une violation de données touchant un cabinet lui est notifiée dans les conditions de l’accord de sous-traitance. Pour nous signaler une faille, écrivez à contact@alpboard.com ; l’adresse figure aussi dans security.txt.
4. Les prochaines étapes
Vers la certification ISO/IEC 27001, dans cet ordre : l’écriture des politiques de sécurité et de l’analyse de risques, la revue de chaque modification par une seconde personne avant sa mise en production, un exercice de reprise après sinistre, un test d’intrusion par un prestataire qualifié, puis l’audit de certification. Cette page avancera à chaque étape franchie.
5. Documents
- Accord de sous-traitance (article 28 du RGPD), avec la liste des sous-traitants ultérieurs.
- Intelligence artificielle : chaque usage, le modèle qui le sert et ce qui reste au collaborateur.
- Politique de confidentialité.
- Mentions légales.
Pour toute question, ou pour recevoir un questionnaire de sécurité rempli, écrivez à contact@alpboard.com.