Comment Reachio protège les comptes et les données de vos clients.

Hébergement dans l’UE

• Les serveurs de Reachio sont dans l’UE (France). Talivio Technology OÜ, la société qui édite Reachio, est immatriculée en Estonie.
• Certains fournisseurs de modèles d’IA utilisés via la passerelle IA de Talivio sont situés hors de l’UE ; ils figurent parmi les sous-traitants ci-dessous.
• Les transferts hors de l’UE/EEE reposent sur des décisions d’adéquation ou des clauses contractuelles types.

Chiffrement et secrets

• Tout le trafic passe par TLS.
• Les jetons et secrets des plateformes sont chiffrés au repos et jamais envoyés au navigateur.
• Les clés API ne sont affichées qu’une fois ; Reachio ne conserve qu’un hachage SHA-256 et un préfixe de 12 caractères pour les reconnaître.
• Les invitations d’équipe et les liens de connexion client sont eux aussi stockés sous forme de hachages SHA-256 ; les connexions d’assistants IA ne conservent que des identifiants de jeton.
• Les messages d’erreur sont expurgés de tout secret, et les réponses des plateformes ne sont jamais écrites dans le journal d’audit.

Connexions aux plateformes

• Vous ou votre client vous connectez sur la page propre à la plateforme ; Reachio ne voit jamais de mot de passe.
• Chaque connexion est liée au navigateur qui l’a lancée et ne peut servir qu’une fois ; PKCE est utilisé quand la plateforme le permet.
• Les connexions sont vérifiées toutes les heures : les jetons sont actualisés, et les propriétaires sont prévenus avant qu’un jeton n’expire.
• La déconnexion supprime immédiatement le jeton et le révoque auprès de la plateforme quand celle-ci le permet (Google, X).

Accès, rôles et validations

• Les données de chaque agence sont cloisonnées par trois contrôles distincts : chaque écran, chaque requête et chaque enregistrement sauvegardé sont limités à cette agence.
• Six rôles : les propriétaires et les admins gèrent l’équipe ; les responsables gèrent les marques, les connexions et les validations ; les éditeurs produisent les contenus ; les clients validateurs et les clients lecteurs ne voient que les marques de leur propre client.
• Les publications, les lancements de campagnes et toute modification publicitaire qui augmente les dépenses attendent une validation ; toute modification après validation l’annule.
• Les clés API et les connexions d’assistants IA agissent au nom du membre qui les a créées, avec son rôle, et peuvent être limitées à une marque, dotées d’une date d’expiration et révoquées.

Journal d’audit

• Chaque changement d’état est inscrit dans le journal d’audit : qui, quoi et quand.
• Les modifications publicitaires sont des lots de modifications avec leur raison, les valeurs avant et après, qui les a validées et une annulation possible pendant 7 jours.
• Les actions effectuées via l’API ou un assistant IA sont enregistrées comme telles.

L’IA et vos données

• Les fonctions d’IA passent par la passerelle IA de Talivio ; Reachio ne détient aucune clé propre de fournisseur d’IA.
• Seul le contenu nécessaire au résultat demandé est envoyé, sans les noms ni les adresses e-mail de vos utilisateurs.
• Les contenus des clients et les données des comptes connectés ne servent pas à entraîner des modèles d’IA partagés, et il est contractuellement interdit à nos fournisseurs d’IA de s’en servir pour l’entraînement.

Les visiteurs de votre site

• Le chargeur de balises ne charge aucun service tiers avant le choix du visiteur.
• Les événements des visiteurs sont stockés sans adresse IP ; e-mail et téléphone uniquement sous forme de hachages SHA-256, et seulement avec le consentement marketing.

Pas encore disponible

• La connexion à deux facteurs.
• La fermeture d’un espace de travail par vous-même dans l’application (écrivez-nous à la place).
• Une certification de sécurité indépendante comme SOC 2 ou ISO 27001.

Signaler un problème de sécurité

Vous avez trouvé une vulnérabilité ? Écrivez à l’adresse indiquée dans talivio.com/.well-known/security.txt. Merci de ne pas accéder aux données d’autres clients, de ne pas dégrader le service et de ne publier aucun détail avant que nous ayons corrigé le problème ; nous vous répondons, vous tenons informé et vous citons si vous le souhaitez.

security.txt [email protected]

Questions sur la confidentialité : [email protected].