Une sécurité que vous pouvez vérifier, et pas seulement croire.

À l’intérieur de la plateforme, la frontière PII remplace les noms des employés, des managers et des signataires, les noms des employeurs et des entreprises, les dates, les adresses e-mail professionnelles et les identifiants d’employés par des pseudonymes cohérents avant qu’une requête n’atteigne le moteur, puis les rétablit dans la réponse. Elle s’applique aux appels au moteur de la plateforme RH, du worker de cycle de vie, de ZeugnyAI Chat (qui n’atteint le moteur que par la plateforme) et de la passerelle Word.

Une requête est refusée, et non envoyée, lorsque la clé de chiffrement ou le périmètre du document fait défaut, qu’une personne ou un employeur connu n’a pas de pseudonyme, qu’une partie de nom est ambiguë entre deux personnes, ou que l’entrée d’audit ne peut pas être écrite.

Le lieu de naissance, la nationalité, les intitulés de poste, les services, la description de l’entreprise et le texte des tâches sont envoyés tels qu’écrits ; le texte a besoin de la plupart d’entre eux. Les noms saisis dans du texte libre ne sont remplacés que s’ils correspondent à une personne ou à un employeur connu. Un mode plus strict qui retient pour relecture humaine le texte libre non reconnu est développé ; son activation dans le Cloud géré est prévue.

Pour chaque certificat, les RH peuvent ouvrir chaque passage vers et depuis le moteur : l’heure, le sens, le nombre d’éléments remplacés par catégorie, le SHA-256 de la charge utile et les pseudonymes utilisés. Les vraies valeurs n’y sont jamais affichées. La vue s’exporte en CSV.

La base de données, les sauvegardes, le stockage de fichiers, le coffre de clés, les journaux et les serveurs d’application du Cloud géré s’exécutent dans Microsoft Azure Switzerland North (Zürich). Les sauvegardes et le stockage de fichiers sont répliqués dans une seconde région suisse, Switzerland West. app.zeugny.com pointe directement vers Zürich, sans réseau de diffusion de contenu intermédiaire. L’adresse IP d’un signataire est conservée comme preuve de signature et n’est envoyée à aucun service de géolocalisation tiers ; le pays est lu dans un en-tête défini à la périphérie du réseau.

Toutes les applications n’acceptent que HTTPS, avec TLS 1.2 au minimum ; TLS 1.3 est négocié en pratique. Le serveur de base de données n’accepte que les connexions TLS, avec TLS 1.2 au minimum, et les connexions de la plateforme à la base de données demandent TLS.

Azure chiffre au repos la base de données, les sauvegardes et le stockage de fichiers. En plus, la plateforme chiffre les correspondances de pseudonymes et les clés API du moteur avec AES-256-GCM, sous des clés maîtresses conservées dans Azure Key Vault. Les autres enregistrements reposent sur le chiffrement d’Azure.

Une fois le délai de conservation écoulé (par défaut, 10 ans après la fin de la relation de travail), une tâche horaire occulte le nom, l’adresse e-mail, la date et le lieu de naissance et la nationalité d’un ancien employé, efface les brouillons et supprime les correspondances de pseudonymes. Les affectations de poste, la piste d’audit et les certificats délivrés sont conservés ; les certificats délivrés contiennent toujours le nom. Nous fixons un autre délai pour votre entreprise sur demande ; une configuration en libre-service est prévue.

Les employés déposent eux-mêmes leurs demandes d’accès et de suppression sous « Confidentialité », et les RH suivent chacune d’elles selon un délai de 30 jours. L’effacement occulte les données de l’employé, retire les entrées du coffre-fort et les partages, et délivre un reçu. Une demande d’accès produit un récapitulatif ; une copie téléchargeable des données est prévue.

Les partenaires RH peuvent placer un blocage juridique sur une relation de travail et sur tous ses certificats, ce qui suspend la suppression. Les employés peuvent contester un certificat ; une contestation acceptée produit une nouvelle version, et l’historique reste dans la piste d’audit.

La plateforme peut détruire la clé de pseudonymisation d’une entreprise, ce qui rend illisibles les correspondances stockées. La fonction est développée et testée ; sa mise à disposition comme action d’exploitant est prévue. Les copies de sauvegarde expirent selon le calendrier de sauvegarde habituel.

Les managers, ou les RH, évaluent chaque aspect de la performance et du comportement. L’IA rédige un texte qui correspond à ces notes et ne peut pas les modifier. Le niveau global est calculé à partir des notes, il n’est pas choisi par le modèle.

Chaque phrase évaluative consigne l’aspect et la note qu’elle exprime, et les RH le voient dans l’éditeur ; chaque phrase peut ainsi être rattachée à la note qui la fonde.

Avant la relecture par les RH, chaque brouillon de l’IA passe par l’analyse d’équité du moteur. Un constat bloquant retient le certificat jusqu’à ce qu’une modification le résolve ou qu’un partenaire RH passe outre ; cette dérogation est consignée dans la piste d’audit. Les attestations de travail, qui sont établies à partir d’un modèle sans IA, sautent cette étape.

Aucun certificat n’est remis à un employé sans relecture et finalisation par un partenaire RH ou un administrateur. Les automatisations peuvent lancer des demandes, mais jamais les finaliser.

Nous n’utilisons pas les données des clients pour entraîner, affiner ou évaluer des modèles, et les requêtes des clients n’entrent jamais dans notre corpus de référence.

Le texte des certificats est rédigé par des modèles sur Microsoft Azure AI Foundry, sur une ressource à Switzerland North avec un déploiement EU Data Zone Standard, de sorte que les requêtes sont traitées dans la zone de données de l’UE. Les étapes de décision, d’extraction et de recherche utilisent aussi Microsoft Decision-1 (une ressource Azure AI Foundry à Sweden Central avec un déploiement EU Data Zone Standard), OpenRouter et Voyage AI, et la plateforme utilise OpenRouter directement pour suggérer des intitulés de poste et des tâches. Les fournisseurs ne reçoivent que du texte pseudonymisé. Chaque requête que le moteur envoie à OpenRouter exige des fournisseurs qui ne collectent pas de données d’utilisateurs, sans réglage permettant de le désactiver. Le routage sans conservation de données (zero data retention) est prévu.

Les mots de passe sont hachés avec scrypt et comptent au moins 8 caractères. Les adresses e-mail sont vérifiées avant la première connexion par mot de passe, et les liens magiques sans mot de passe expirent après 5 minutes. Les tentatives de connexion sont limitées en fréquence par adresse IP.

Avec l’authentification unique, la MFA de votre fournisseur d’identité s’applique à chaque connexion. Les comptes du personnel dans notre plan de contrôle exigent un second facteur (code d’authentification ou code de secours) à chaque session, et aucune connexion d’opérateur au moteur n’est délivrée sans lui. Un second facteur intégré pour la connexion par mot de passe des clients est prévu.

Chaque route vérifie des autorisations fondées sur les relations. Les coordinateurs RH peuvent rédiger des brouillons, mais ne peuvent ni finaliser, ni passer outre un constat, ni signer, ni télécharger le document officiel. Les représentations du personnel ne voient que des chiffres agrégés ; les managers voient leurs propres collaborateurs directs.

Dans le Cloud géré, les entreprises partagent une seule base de données suisse. L’application confine chaque requête à une entreprise et vérifie les autorisations sur chaque objet. L’auto-hébergement donne à chaque client sa propre base de données. Un contrôle au niveau des lignes imposé par la base de données elle-même est prévu comme seconde couche.

Chaque étape du cycle de vie et chaque modification est inscrite dans un journal d’audit dans lequel chaque entrée porte le hachage de la précédente, de sorte qu’une entrée modifiée rompt la chaîne. La chaîne est vérifiée à l’ouverture d’un dossier ou d’une page de vérification, et le dossier de chaque certificat peut être téléchargé avec ses entrées d’audit.

Si un incident touche vos données, nous informons votre contact désigné sans retard injustifié après l’avoir confirmé, en indiquant ce qui s’est passé, quelles données sont concernées et ce que nous faisons à ce sujet. Un plan écrit de réponse aux incidents est rédigé et sera publié après examen juridique ; des exercices réguliers sont prévus.

La base de données peut être restaurée à n’importe quel moment des 35 derniers jours. En outre, une tâche planifiée réalise chaque nuit un dump de toutes les bases de données. Elle s’exécute sur un runner CI exploité par ZeugnyAI, qui se connecte via TLS, écrit chaque dump dans un fichier temporaire, le transfère vers Azure Storage à Switzerland North et supprime le fichier. Les 30 derniers dumps de chaque base sont conservés, et les dumps supprimés restent récupérables 30 jours de plus. Les sauvegardes stockées, à un instant donné et dumps, se trouvent à Switzerland North et sont répliquées vers Switzerland West, une seconde région suisse.

Chaque fournisseur qui traite des données pour le Cloud est listé sur cette page avec sa finalité, les données qu’il reçoit et son emplacement.

Un contrat de traitement des données standard au titre de la LPD et du RGPD est rédigé et sera publié après examen juridique. D’ici là, nous examinons et signons le vôtre.