Une sécurité que vous pouvez vérifier, pas seulement croire.
État de la conformité
Mis à jour en octobre 2026- SOC 2 Type IISécurité, disponibilité et confidentialité. Période d'observation commencée le 1er octobre 2026.Audit en cours
- HIPAABusiness Associate Agreements pour les clients Enterprise, après un examen de la manière dont vous utiliserez eesel avec des données de santé.Disponible
- Politiques de sécurité18 politiques écrites, version 1.4, approuvées par la direction et revues chaque année.Adoptées
- Accord de traitement des donnéesUn DPA couvrant le RGPD, avec des clauses contractuelles types pour les transferts internationaux.Disponible
- Vérifications quotidiennes des contrôles50 contrôles, vérifiés par du code chaque matin et enregistrés comme preuves d'audit.En fonctionnement
En route vers SOC 2 Type II
- Septembre 2026
Programme construit
50 contrôles associés à chaque critère SOC 2 inclus dans le périmètre, chacun avec un responsable et une preuve définie.
- Octobre 2026
Politiques adoptées
18 politiques de sécurité approuvées par la direction, du contrôle d'accès à la gouvernance de l'IA.
- Du 1er oct. au 31 déc. 2026Nous en sommes ici
Période d'observation
Chaque contrôle fonctionne et est documenté par des preuves chaque jour. C'est la période que l'auditeur teste.
- Début 2027
Audit indépendant
Un auditeur indépendant teste nos contrôles à partir des preuves de la période d'observation.
- 2027
Rapport disponible
Les clients et prospects peuvent consulter le rapport SOC 2 Type II complet sous NDA.
Un programme de conformité écrit sous forme de code
Nous n'avons pas acheté de tableau de bord de conformité. Nos contrôles, politiques et collecteurs de preuves vivent dans notre propre base de code, ne changent qu'au travers de pull requests revues et s'exécutent chaque matin. Quand une vérification échoue, un ingénieur en est informé le jour même, pas au moment de l'audit.
- contrôles de sécurité
- 50
- politiques écrites
- 18
- vérifications automatisées des preuves
- Quotidien
- engagement de notification en cas de violation
- 48 h
Comment nous protégeons vos données
Chiffrement
- Nos points de terminaison publics n'acceptent que TLS 1.2 ou supérieur.
- Bases de données de production et leurs sauvegardes chiffrées au repos en AES-256.
- Stockage de fichiers et files de messages chiffrés au repos.
- Clés de chiffrement gérées dans AWS KMS et renouvelées chaque année.
Contrôle d'accès
- Accès du personnel selon le principe du moindre privilège, approuvé avant d'être accordé.
- Accès revus chaque trimestre et retirés sous 72 heures lorsqu'une personne quitte l'entreprise.
- L'accès du personnel aux données de production est en lecture seule par défaut.
- Authentification à deux facteurs obligatoire dans toute notre organisation de code source.
Développement sécurisé
- Chaque modification passe par une pull request avec des vérifications obligatoires de build, de tests et de détection de secrets.
- Les modifications de l'infrastructure, de l'authentification, de la facturation et des permissions nécessitent l'approbation d'un fondateur.
- Chaque push de code est analysé à la recherche de secrets divulgués.
- Les dépendances sont surveillées pour les vulnérabilités connues, avec des délais de correction selon la gravité.
Infrastructure
- Hébergé sur Amazon Web Services.
- Toute l'infrastructure est définie sous forme de code. Chaque modification est planifiée, revue et approuvée avant d'être appliquée.
- Les déploiements en production sont lancés par une personne nommément désignée à partir de code revu, et chaque déploiement est enregistré.
- Détection des menaces AWS (GuardDuty) et référentiels de sécurité (Security Hub) activés dans chaque région.
Surveillance et journalisation
- La production est surveillée 24 h/24, et les alertes préviennent un ingénieur d'astreinte.
- L'activité du compte cloud est journalisée dans chaque région, avec des fichiers journaux infalsifiables conservés pendant un an dans un stockage protégé en écriture.
- Journaux de service conservés pendant au moins un an.
- Page d'état publique sur status.eesel.ai.
Réponse aux incidents
- Un plan écrit de réponse aux incidents couvrant le tri, le confinement, l'analyse des causes et les correctifs.
- Si une violation touche vos données, nous vous en informons dans les 48 heures après en avoir pris connaissance.
- Les incidents de service sont publiés sur notre page d'état.
Personnel
- Toute personne ayant accès aux données clients signe des clauses de confidentialité.
- Les nouvelles recrues font l'objet de vérifications avant leur arrivée.
- Une formation à la sécurité est obligatoire à l'arrivée puis chaque année.
- Les appareils professionnels doivent avoir le chiffrement du disque, les mises à jour automatiques, un pare-feu et le verrouillage de l'écran.
Gestion des fournisseurs
- Un registre de tous les fournisseurs qui traitent des données clients, avec un responsable pour chacun.
- La sécurité de chaque fournisseur est revue chaque année.
- Une liste publiée de nos sous-traitants ultérieurs, ci-dessous.
Vos données font fonctionner vos agents. Rien d'autre.
Jamais utilisées pour l'entraînement
eesel n'entraîne ni n'affine aucun modèle sur vos données. Les fournisseurs d'IA les traitent uniquement pour générer les réponses de votre agent, selon des conditions d'API commerciales qui n'autorisent pas l'entraînement sur les données d'API.
Isolées par espace de travail
Les données de chaque espace de travail sont tenues séparées. Un agent ne peut rechercher que dans les connaissances que vous lui avez fournies, et des tests automatisés vérifient cette frontière à chaque modification du code.
Uniquement les actions que vous autorisez
Les agents ne peuvent utiliser que les outils que vous activez. Toute action peut être configurée pour attendre l'approbation d'une personne, et les requêtes sortantes sont limitées aux domaines que vous autorisez.
Les identifiants restent hors de portée de l'IA
Lorsque vous connectez une application, la clé est envoyée directement à nos serveurs via un formulaire sécurisé. Le modèle d'IA ne voit jamais vos mots de passe ni vos clés d'API.
Masquage facultatif des données personnelles
Activez le masquage pour retirer les informations personnelles telles que les adresses e-mail, les numéros de téléphone et les numéros de carte des tickets de helpdesk synchronisés avant leur stockage et leur indexation.
Chaque exécution est consignée
Chaque conversation et chaque action de vos agents est enregistrée dans la vue d'activité de votre espace de travail, pour que vous voyiez exactement ce qui s'est passé et pourquoi.
Où vivent vos données, et comment elles en sortent
Hébergement
La production fonctionne sur AWS aux États-Unis (Virginie du Nord). La résidence complète des données dans l'UE est disponible avec l'offre Enterprise.
Sauvegardes
Les bases de données sont sauvegardées automatiquement chaque jour et les sauvegardes sont conservées 35 jours, chiffrées. Le stockage de fichiers est versionné.
Reprise
Nos objectifs de reprise sont de 4 heures pour rétablir le service et de 24 heures maximum de perte de données. Les tests de restauration font partie de nos contrôles SOC 2.
Suppression
Supprimez votre espace de travail, et ses documents, son index de recherche, ses intégrations, ses identifiants, ses agents et son historique de conversations sont immédiatement effacés de nos systèmes de production. Les sauvegardes chiffrées expirent sous 35 jours, et les journaux de sécurité selon un calendrier fixe.
Qui nous aide à faire fonctionner eesel
| Sous-traitant ultérieur | Rôle |
|---|---|
| Amazon Web Services | Cloud hosting, databases and file storage |
| Anthropic | AI models |
| Baseten | Runs open AI models such as DeepSeek, with zero data retention |
| DeepInfra | Runs open AI models such as DeepSeek, with zero data retention |
| Firecrawl | Reading websites you add as knowledge |
| Fireworks AI | Runs open AI models such as DeepSeek, with zero data retention |
| AI models, including removing personal details from text | |
| Intercom | eesel's own customer support inbox |
| Microsoft Azure | Runs DeepSeek models that score finished conversations |
| OpenAI | AI models |
| Pinecone | Search index of the knowledge you connect |
| Pipedream | Connections to the apps you choose to connect |
| SendGrid (Twilio) | Sending and receiving email |
| Slack | eesel's own team workspace, for internal alerts and support |
| Together AI | Runs open AI models such as DeepSeek, with zero data retention |
| Typesafe AI | Checks an action an agent is about to take against what it was asked to do |
| Vercel | Hosts the dashboard and the sandboxes where agents run |
| Vercel (AI Gateway) | Routes requests to the AI model providers on this list |
| Auth0 (Okta) | Sign-in to the dashboard |
| Datadog | Monitoring and logs |
| Google Analytics | Website and dashboard analytics |
| PostHog | Product analytics |
| Stripe | Payments |
Les applications que vous connectez vous-même, comme Zendesk, Shopify ou Slack, ne sont pas des sous-traitants ultérieurs. Ce sont des systèmes que vous avez choisis, et eesel y lit et y écrit sur vos instructions. Voir la liste complète, avec les lieux de traitement et un flux des modifications
Tout ce dont votre revue de sécurité a besoin
Rapport SOC 2 Type II
Après l'auditDisponible sous NDA une fois l'audit terminé. En attendant, demandez-nous un point d'avancement.
Dossier des politiques de sécurité
Sous NDANos 18 politiques de sécurité réunies en un seul document.
Accord de traitement des données
Sur demandeNotre DPA, clauses contractuelles types incluses.
Questionnaires de sécurité
Sur demandeEnvoyez-nous votre questionnaire (CAIQ, SIG Lite ou le vôtre) et nous le remplirons.
NDA mutuel
Sur demandeNotre NDA mutuel standard, ou nous signons le vôtre.
security.txt
PublicNotre contact sécurité lisible par machine, publié selon la norme RFC 9116.
Vous avez trouvé une vulnérabilité ? Dites-le-nous.
Écrivez à engineering@eesel.app avec les détails et la manière de la reproduire. Nous accusons réception des signalements crédibles sous un jour ouvré et vous tenons informé jusqu'à sa correction. Merci de nous laisser une possibilité raisonnable de corriger le problème avant de le divulguer, et de ne pas accéder aux données d'autres clients ni perturber le service pendant vos tests.
engineering@eesel.appFAQ sécurité
Notre audit SOC 2 Type II est en cours. La période d'observation s'étend du 1er octobre au 31 décembre 2026 et couvre la sécurité, la disponibilité et la confidentialité. L'audit indépendant suivra début 2027, et le rapport sera disponible sous NDA une fois émis. D'ici là, nous serons ravis de vous présenter nos contrôles.
Oui. Nous signons des Business Associate Agreements avec les clients Enterprise, après un examen de la manière dont vous utiliserez eesel avec des données de santé. Contactez-nous avant de connecter des informations de santé protégées afin que nous puissions configurer correctement votre espace de travail.
Non. eesel n'entraîne ni n'affine jamais de modèles sur vos données. Les fournisseurs d'IA les traitent uniquement pour générer les réponses de votre agent, selon des conditions d'API qui excluent l'entraînement.
eesel utilise des modèles de fournisseurs de premier plan, dont Anthropic, OpenAI et Google, via leurs API commerciales.
Sur AWS aux États-Unis (Virginie du Nord).
Oui. Nos points de terminaison publics n'acceptent que TLS 1.2 ou supérieur. Nos bases de données, leurs sauvegardes, le stockage de fichiers et les files de messages sont chiffrés au repos en AES-256, avec des clés gérées dans AWS KMS.
Oui. La suppression de votre espace de travail efface immédiatement ses documents, son index de recherche, ses intégrations, ses identifiants, ses agents et son historique de conversations de nos systèmes de production. Les sauvegardes chiffrées expirent sous 35 jours, et les journaux de sécurité selon un calendrier fixe. Vous pouvez aussi nous demander de supprimer vos données et nous vous confirmerons quand ce sera fait.
Dans les 48 heures après avoir pris connaissance d'une violation qui affecte vos données. Les incidents de service sont publiés sur status.eesel.ai.
Oui. Nous proposons un DPA avec des clauses contractuelles types pour les transferts internationaux de données. Écrivez-nous et nous vous l'enverrons.
Oui. Envoyez-le à engineering@eesel.app et nous le traiterons avec vous.
Vous menez une revue de sécurité ?
Parlez aux personnes qui pilotent notre programme de sécurité. Nous vous enverrons notre dossier de sécurité, répondrons à votre questionnaire et échangerons en appel avec votre équipe sécurité.