Sécurité et protection des données

Dernière mise à jour : 5 novembre 2026

Cette page résume les mesures de sécurité de ChatDirect. Le traitement des renseignements personnels est décrit en détail dans notre politique de confidentialité.

En bref

Données stockées au Canada : serveur OVH à Beauharnois (Québec) et base de données Supabase sur AWS, à Montréal.
Chiffrement : HTTPS en transit, AES-256 au repos, mots de passe hachés avec bcrypt.
Accès contrôlé : double authentification sur tous les portails, données cloisonnées par client, aucun accès de notre équipe sans votre autorisation.
SOC 2 et ISO 27001 : ChatDirect n'a ni rapport SOC 2 ni certificat ISO 27001. Nos réponses détaillées sont dans les questions fréquentes.

Où sont stockées vos données

Les données de votre compte sont stockées au Canada :

Application et fichiers : serveur OVH situé à Beauharnois, au Québec.
Base de données : Supabase (PostgreSQL) sur Amazon Web Services, région ca-central-1, à Montréal. On y trouve les comptes, les conversations, les contacts du CRM et les vecteurs des documents indexés.

Pour produire les réponses du chatbot, le contenu des messages est transmis au fournisseur d'IA choisi (voir Intelligence artificielle).

Chiffrement

En transit : toutes les communications passent par TLS (HTTPS), avec HSTS activé.
Au repos : la base de données est chiffrée en AES-256.
Secrets : les clés API et les identifiants d'intégration que vous enregistrez dans votre portail sont chiffrés en AES-256-CBC.
Mots de passe : hachés avec bcrypt, jamais stockés en clair.

Accès aux données

Double authentification (2FA) : par application TOTP, avec codes de secours, offerte sur tous les portails.
Cloisonnement : les données de chaque client sont isolées de celles des autres clients.
Accès de l'équipe ChatDirect : aucun accès à vos données sans votre autorisation explicite et temporaire, valable 72 heures au maximum et accordée seulement pour du support technique ou la résolution d'un incident.

Protection de l'application

Protection contre la falsification de requêtes (CSRF) sur les formulaires.
Protection contre les requêtes forgées côté serveur (SSRF) sur les webhooks.
Limitation du nombre de requêtes sur les points d'accès sensibles.
Validation stricte des données reçues.
En-têtes de sécurité HTTP : HSTS, X-Frame-Options, X-Content-Type-Options.
Audits de sécurité internes réguliers.

Intelligence artificielle : ce qui est transmis

Pour générer une réponse, le contenu des messages est transmis au fournisseur d'IA du modèle choisi : Anthropic, OpenAI ou Google, aux États-Unis, ou Mistral, en Europe. Les fonctions d'IA du CRM suivent la même règle (détail à la section 5 de la politique de confidentialité).

Quand vous indexez des documents ou des pages web, leur texte est envoyé à OpenAI pour calculer des vecteurs, qui sont ensuite enregistrés dans la base de données au Canada.

Selon leurs conditions d'utilisation de l'API, ces fournisseurs n'entraînent pas leurs modèles sur ces données.

Paiements

Les paiements sont traités par Stripe, prestataire de niveau 1 selon la norme PCI DSS. ChatDirect ne voit ni ne stocke les numéros de carte.

En cas d'incident

Si une violation de données présente un risque pour les droits et libertés des personnes concernées, nous nous engageons à :

aviser la Commission d'accès à l'information du Québec dans les 72 heures ;
informer les personnes concernées dans les meilleurs délais ;
documenter l'incident et les mesures correctives prises.

Sous-traitants

Le tableau indique le rôle de chaque fournisseur et le lieu où il traite les données qu'il reçoit.

Fournisseur	Rôle	Lieu de traitement
OVH	Hébergement de l'application et des fichiers	Canada (Beauharnois, Québec)
Supabase (sur AWS)	Base de données PostgreSQL et vecteurs (pgvector)	Canada (AWS ca-central-1, Montréal)
Anthropic	Réponses du chatbot et fonctions d'IA du CRM (modèles Claude)	États-Unis
OpenAI	Réponses du chatbot et fonctions d'IA du CRM (modèles GPT), vecteurs des documents indexés	États-Unis
Google	Réponses du chatbot et fonctions d'IA du CRM (modèles Gemini)	États-Unis
Mistral	Réponses du chatbot et fonctions d'IA du CRM (modèles Mistral)	Europe
Stripe	Paiements	États-Unis
SMTP2GO	Courriels transactionnels (fournisseur principal)	Nouvelle-Zélande, États-Unis
SendGrid, Brevo, Mailgun, Amazon SES	Courriels de notification (solution de relève)	Selon le fournisseur
Twilio	SMS et WhatsApp Business, si vous les configurez	États-Unis
Meta	Messenger et Instagram, si vous les configurez	États-Unis

Loi 25 et RGPD

ChatDirect propose des réglages pour vous aider à respecter la Loi 25 au Québec et le RGPD en Europe. La conservation des données, les transferts hors du Canada et les droits des personnes sont décrits dans notre politique de confidentialité.

Questions fréquentes

Avez-vous un rapport SOC 2 ?

Non, ChatDirect ne détient pas de rapport SOC 2 pour le moment. Ce n'est pas exclu, mais aucune date n'est fixée.

Nos principaux fournisseurs (AWS et Supabase, Stripe, Anthropic, OpenAI) détiennent leur propre rapport SOC 2 Type II, qui couvre leurs services et non ChatDirect.

Votre entreprise a un questionnaire de sécurité ? Écrivez-nous, nous le remplissons.

Avez-vous un certificat ISO 27001 ?

Non, ChatDirect ne détient pas de certificat ISO 27001 pour le moment. Ce n'est pas exclu, mais aucune date n'est fixée.

Votre entreprise a un questionnaire de sécurité ? Écrivez-nous, nous le remplissons.

Où sont stockées mes données ?

Au Canada : l'application est hébergée sur un serveur OVH à Beauharnois (Québec) et la base de données Supabase sur AWS, dans la région ca-central-1 (Montréal).

Pour générer une réponse, le contenu des messages est transmis au fournisseur d'IA du modèle choisi : Anthropic, OpenAI ou Google, aux États-Unis, ou Mistral, en Europe.

Les fournisseurs d'IA entraînent-ils leurs modèles avec nos données ?

Selon leurs conditions d'utilisation de l'API, Anthropic, OpenAI, Google et Mistral n'entraînent pas leurs modèles sur les données qu'ils reçoivent par l'API.

Nous joindre

Une question de sécurité, un questionnaire à remplir ? Écrivez-nous ou envoyez un courriel à info@chatdirect.ca.