Sécurité

Ce que nous faisons pour garder les informations de votre organisation en sécurité, en termes simples, et ce sur quoi nous travaillons encore. Nous ne listons que ce qui est en place aujourd'hui.

Réponses au questionnaire de sécurité État et disponibilité Signaler une faille

Vos informations n'appartiennent qu'à vous

• Les informations de chaque organisation sont séparées de celles de toutes les autres. Chaque écran et chaque téléchargement est limité à l'organisation de la personne connectée, et nous le testons automatiquement avant chaque mise en production.
• Les personnes ne voient que ce que leur rôle permet. Les administrateurs décident qui peut faire quoi.
• Le personnel de Kaam360 ne parcourt pas vos projets ni vos fichiers. Le panneau de la plateforme n'affiche que des informations au niveau de l'organisation, comme la formule et le nombre de personnes.

Connexion

• Les mots de passe sont stockés sous forme brouillée, jamais lisible, et nous ne pouvons pas les consulter.
• Trop de mots de passe erronés verrouillent le compte pendant un moment, et les tentatives de connexion, de réinitialisation du mot de passe et d'inscription sont limitées par adresse.
• La connexion en deux étapes (un code issu d'une application d'authentification sur un téléphone) est disponible pour tous. Les administrateurs peuvent la rendre obligatoire pour toute l'organisation et aider une personne qui a perdu son téléphone. Notre propre panneau de plateforme la prend aussi en charge.
• Authentification unique (SAML) avec Okta, Microsoft Entra ID, Google Workspace ou tout fournisseur d'identité SAML 2.0. Chaque réponse doit être signée par votre fournisseur et est vérifiée quant à son audience, son adresse, son ancienneté et son usage unique. Les organisations peuvent vérifier leurs domaines e-mail, faire de l'authentification unique le seul moyen d'accès (avec des administrateurs de secours) et attribuer des rôles à partir des groupes.
• Réseaux autorisés : une organisation peut limiter Kaam360 aux réseaux de son bureau ou de son entreprise. Toute personne située ailleurs voit une explication à la place de la page.
• Désactiver une personne la déconnecte en moins d'une minute.
• Les sessions expirent si elles restent longtemps inutilisées, et chacun peut se déconnecter à tout moment.

Chiffrement

• En transit : chaque connexion à Kaam360 est chiffrée (HTTPS), et les navigateurs sont invités à n'utiliser que HTTPS pour ce site pendant un an. Les cookies de connexion ne sont jamais envoyés que par HTTPS. Les connexions au serveur de messagerie sont aussi chiffrées.
• Sauvegardes : chaque copie de sauvegarde est verrouillée par un chiffrement fort (AES-256) sur notre serveur avant de le quitter. Nous seuls détenons la clé, la société de stockage ne peut donc pas la lire.
• Les mots de passe, les clés d'API et les jetons d'accès des applications connectées ne sont stockés que sous forme brouillée (hachée). Les réglages secrets, comme les clés de paiement et de messagerie, sont scellés sur le serveur.
• Ce que Kaam360 ne chiffre pas lui-même : la base de données en service et les fichiers importés sur notre serveur. Ils sont protégés par les contrôles d'accès du serveur et ne sont remis qu'aux personnes autorisées à les voir, les fichiers de chaque organisation se trouvant dans son propre dossier.
• Les paiements sont gérés par Paddle. Les données de carte ne parviennent jamais à Kaam360.

Sauvegardes et tests de restauration

• Chaque nuit, toute la base de données et chaque fichier importé sont copiés, chiffrés et envoyés à une société de stockage distincte (Backblaze), loin de notre serveur. Les 30 copies nocturnes les plus récentes sont conservées, et une ancienne copie n'est supprimée qu'une fois la nouvelle arrivée en sécurité.
• La base de données est aussi copiée sur le serveur juste avant chaque mise à jour de Kaam360, pour qu'une mise à jour puisse être annulée.
• Si une copie nocturne échoue, nous recevons un e-mail et une nouvelle tentative a lieu quelques heures plus tard.
• Nous testons que les sauvegardes peuvent réellement être ouvertes : un test de restauration sur le serveur place une copie dans une base de données séparée et compare chaque table. Une sauvegarde qui ne peut pas être ouverte, ou une mauvaise clé, est refusée par l'outil de restauration.

Voir ce qui s'est passé

• Un journal d'activité montre aux administrateurs qui s'est connecté (et qui a échoué), qui a changé un mot de passe, ajouté ou désactivé une personne, modifié des droits ou des paramètres, téléchargé les données ou demandé une suppression. Il est conservé environ un an. Les mots de passe et les codes n'y sont jamais inscrits.
• Notre propre panneau de plateforme tient son propre journal de tout ce que font ses administrateurs.

Où sont conservées vos informations

• Sur un serveur que nous louons à Velia (velia.net), qui fait tourner Kaam360 et sa base de données. Les copies de sauvegarde chiffrées sont conservées chez Backblaze.
• Pays du centre de données : France.
• Les sociétés qui nous aident à faire fonctionner Kaam360, et ce que chacune traite, sont listées sur notre page Traitement des données : Velia (hébergement), Cloudflare (le réseau situé devant le site web), Backblaze (sauvegardes chiffrées), Hostinger (e-mail), Paddle (paiements) et, uniquement si votre organisation active l'assistant IA, Anthropic.

Votre maîtrise de vos données

• Un administrateur peut télécharger tout ce que l'organisation a saisi, sous forme de feuilles de calcul et de fichiers.
• Un administrateur peut supprimer toute l'organisation. Elle est effacée après un délai de 14 jours qui peut être annulé. Voir Traitement des données pour plus de détails.
• Quand un essai ou un abonnement prend fin, l'espace de travail passe d'abord en lecture seule ; vos informations ne sont pas supprimées.

Kaam360 est-il en ligne ?

Notre page d'état montre si Kaam360 fonctionne, la disponibilité des 90 derniers jours, les incidents en cours et les maintenances planifiées. Elle est vérifiée toutes les 5 minutes depuis l'extérieur de notre réseau et hébergée séparément, pour fonctionner même quand Kaam360 ne fonctionne pas. Vous pouvez demander un e-mail en cas de problème.

Notre façon de travailler, et les tests

• Chaque modification de Kaam360 est relue et doit réussir plusieurs centaines de tests automatiques (y compris les vérifications qui séparent les organisations) avant de pouvoir être mise en production. Les mises à jour sont lancées manuellement et sauvegardent d'abord la base de données.
• Nous disposons de politiques de sécurité écrites pour les accès, les changements, les incidents, les sauvegardes, les sociétés auxquelles nous faisons appel, la conservation et la suppression des données, et la continuité d'activité, y compris une revue trimestrielle de qui a accès à quoi.
• En octobre 2026, nous avons examiné notre propre code et nos réglages à la recherche de problèmes de sécurité (connexion, droits, protections du navigateur, limites, imports de fichiers, adresses externes, accès à la base de données et secrets) et corrigé ce que nous avons trouvé.
• Tests et certification indépendants. Kaam360 n'a pas encore été testé par une société de sécurité externe, ni fait l'objet d'un audit externe tel que SOC 2 ou ISO 27001. Nous l'indiquerons ici le moment venu.
• Documents juridiques. Nos pages Conditions, Confidentialité et Traitement des données sont des brouillons encore en cours de relecture.

Vous réalisez un audit de sécurité de Kaam360 ? Nos réponses au questionnaire de sécurité couvrent environ 70 questions habituelles, et peuvent être téléchargées en Word ou en PDF.

Vous avez trouvé un problème ?

Si vous pensez avoir trouvé une faille de sécurité, signalez-la-nous via Aide & support dans l'application, ou contactez-nous si vous n'êtes pas encore client. Laissez-nous un délai raisonnable pour la corriger avant d'en parler à d'autres. Nous n'engagerons aucune action contre quiconque signale un problème de bonne foi.

Les chercheurs en sécurité peuvent aussi trouver cela dans notre fichier security.txt.