Où sont stockées tes données ?
Hébergement 100% européen
L'infrastructure Pulse (application et base de données) tourne sur OVHcloud, en France (Gravelines / Roubaix), au sein de l'Union européenne. Tes données applicatives ne quittent jamais l'UE. Le déploiement est opéré via la plateforme Emergent sur cette infrastructure OVH UE.
Les emails transactionnels passent par Brevo et les suggestions IA par Mistral AI — deux sociétés françaises hébergées dans l'UE. Aucune donnée applicative ne quitte l'Union européenne.
Chiffrement de bout en bout
- TLS 1.3 en transit — toutes les communications navigateur ↔ serveur sont chiffrées (HTTPS).
- Mots de passe : bcrypt — jamais stockés en clair. Même Océan Bleu ne peut pas lire les mots de passe de ses clients.
- Base de données chiffrée au repos — AES-256 côté MongoDB / OVHcloud (UE).
- Tokens JWT signés — sessions utilisateurs sécurisées avec secret rotatif.
- Tokens d'invitation à usage unique — expiration 7 jours, invalidés après utilisation.
Conformité RGPD
Pulse est conçu pour respecter le Règlement Général sur la Protection des Données (RGPD / GDPR). En tant que sous-traitant au sens du RGPD, nous t'aidons à respecter tes obligations de responsable de traitement.
Sous-traitants et tiers utilisés
En toute transparence, voici l'ensemble des tiers qui peuvent traiter techniquement tes données pour faire fonctionner Pulse.
| Sous-traitant | Finalité | Localisation | Conformité |
|---|---|---|---|
| OVHcloud | Hébergement application + base de données | France (Gravelines / Roubaix) · Union européenne | ISO 27001, 27017, 27018 · RGPD · chiffrement AES-256 |
| Emergent | Plateforme de déploiement (PaaS) sur infra OVH UE | Déploiement sur OVHcloud (UE) | SCC, accès restreint, audit log |
| Brevo | Envoi des emails transactionnels (email + nom) | France · Union européenne | RGPD, hébergement UE, DKIM/DMARC, chiffrement TLS |
| Mistral AI | Suggestions IA sur verbatims anonymisés | France · Union européenne | RGPD, hébergement UE, pas d'entraînement sur tes données |
Cette liste est mise à jour en cas d'ajout ou de changement de sous-traitant, avec préavis aux clients sous contrat.
Qui peut voir tes données ?
- Toi et tes utilisateurs autorisés uniquement — selon la hiérarchie de rôles (collab voit sa fiche, DR voit son équipe, etc.).
- Aucun support Océan Bleu ne consulte tes données sans ton accord explicite écrit (sauf demande de support sur incident technique).
- Isolation multi-tenant stricte — chaque client a son propre espace logique, aucune fuite possible entre clients.
- Logs d'accès — toutes les actions sensibles (création user, modification éval) sont tracées.
En cas d'incident de sécurité
- Notification sous 72h — conformément au RGPD article 33, en cas de violation de données.
- Plan de réponse documenté — détection, contention, communication, retour à la normale.
- Contact : oceanbleufb@gmail.com · réponse sous 24h ouvrées.
Un audit IT / RSSI à mener ?
On répond à tous tes questionnaires sécurité (CISO, DPO, audit RGPD) en moins de 5 jours ouvrés. Pas de blabla, des réponses factuelles.
Demander un échange RSSI