Chiffrement en transit et au repos, authentification forte, isolation stricte entre entreprises et hébergement en France : les mesures décrites ici sont celles réellement en production, alignées sur les guides de référence de la CNIL et de l'ANSSI.
Chaque mesure suit le Guide de la sécurité des données personnelles de la CNIL (édition 2024) et le Guide d'hygiène informatique de l'ANSSI.
Toutes les communications passent en TLS 1.2/1.3 avec HSTS. En base, les données sensibles sont chiffrées en AES-256-GCM : registres, DPIA, LIA, violations, demandes de droits, audits partenaires, documents importés et conversations avec le Copilot. L'intégrité de la clé de chiffrement est vérifiée à chaque démarrage de l'application.
Mots de passe de 12 caractères minimum, hachés avec bcrypt. Double authentification TOTP avec codes de secours, verrouillage progressif des comptes après échecs répétés. Les sessions vivent côté serveur : expiration après 2 heures d'inactivité et 24 heures au maximum, cookies httpOnly et secure.
Trois niveaux de rôles (propriétaire, administrateur, collaborateur) et des permissions granulaires par module. Un middleware d'isolation valide chaque requête : les tentatives d'accès aux données d'une autre entreprise sont bloquées, journalisées et alertées en temps réel.
Protection CSRF avec comparaison en temps constant, sanitisation serveur des entrées avec liste blanche, Content Security Policy et en-têtes de sécurité complets en production. Les requêtes en base passent par un ORM paramétré, les fichiers importés sont vérifiés sur leur contenu réel (magic bytes) et les endpoints sensibles sont soumis à une limitation de débit.
Échecs d'authentification, tentatives d'accès inter-entreprises et refus de permission sont surveillés en continu ; les alertes critiques partent immédiatement par email. Les opérations sensibles (registres, DPIA, violations, incidents IA) sont journalisées avec auteur et horodatage. Les événements de sécurité sont conservés 12 mois et exportables en CSV ou JSON.
Application et base de données chez Scalingo (Paris), sur l'infrastructure française 3DS Outscale ; fichiers importés sur Scaleway Object Storage (Paris). Scalingo est certifié ISO 27001 et HDS ; 3DS Outscale est qualifié SecNumCloud au niveau infrastructure. Sauvegardes automatisées et analyse quotidienne des vulnérabilités des dépendances.
Les analyses s'appuient sur Google Gemini ou Mistral AI, au choix de votre entreprise, via leurs API commerciales dont les conditions contractuelles excluent tout entraînement des modèles sur vos données. La base de connaissance (RAG) reste dans notre PostgreSQL en France, isolée par entreprise ; le cache ne transporte que des métadonnées techniques.
Chaque module propose ses exports (XLSX, PDF, DOCX) et un export global restitue l'intégralité de vos données en une archive structurée : JSON par module, documents originaux et fichier de description. Les paiements sont intégralement délégués à Stripe (PCI DSS Level 1) : aucune donnée bancaire ne transite par Willaw.
Une chaîne courte de prestataires, listée conformément à l'article 28 du RGPD.
| Prestataire | Fonction | Localisation |
|---|---|---|
| Scalingo / 3DS Outscale | Hébergement de l'application et de la base de données | France (Paris) |
| Scaleway | Stockage des fichiers importés | France (Paris) |
| Mistral AI | Intelligence artificielle | France |
| Google (Gemini) | Intelligence artificielle, en option | UE / États-Unis (DPF) |
| Brevo | Emails transactionnels | France |
| Stripe | Paiements (PCI DSS Level 1) | UE / États-Unis (DPF) |
| Scalingo (Redis) | Cache applicatif (métadonnées techniques uniquement) | France |
| PostHog | Analytics produit, soumis à votre consentement | Union européenne |
| Umami | Analytics web sans cookies | Union européenne |
La politique de sécurité complète (PSSI) et notre contrat de sous-traitance RGPD sont disponibles sur demande.
Notre équipe répond à vos questionnaires sécurité et fournit la politique de sécurité complète sur demande.