Contrôles

Hébergement dans l'UE

La production tourne sur Amazon Web Services, région de Paris (eu-west-3). AWS est certifié ISO 27001 et SOC 1/2/3.

Isolation réseau

Les services tournent dans un VPC (réseau privé virtuel) sans accès public direct.

Surveillance continue

L'infrastructure est surveillée en continu, avec des alertes automatiques en cas d'anomalie.

Sauvegardes quotidiennes chiffrées

Les données sont sauvegardées automatiquement chaque jour. Les sauvegardes sont chiffrées, testées et conservées selon une durée définie.

Test d'intrusion annuel

Un prestataire tiers indépendant réalise un test d'intrusion chaque année.

Développement sécurisé

Le code est systématiquement relu via des pull requests, et les dépendances sont analysées automatiquement pour détecter les vulnérabilités (Dependabot).

Protection contre les robots

Le formulaire d'exercice des droits et l'outil gratuit de recherche et de vérification d'e-mails sont protégés par Cloudflare Turnstile. L'outil gratuit est aussi soumis à des limites quotidiennes, par adresse IP et globales.

Connecteur MCP sans état

Le connecteur MCP hébergé (mcp.enrow.io) relaie les requêtes authentifiées vers l'API Enrow sur AWS. Il ne conserve ni les clés API ni les données de requête, en dehors des journaux de sécurité.

Chiffrement au repos

Les données stockées sont chiffrées en AES-256 (chiffrement natif AWS).

Chiffrement en transit

Tout le trafic passe en TLS 1.2 ou supérieur (HTTPS). Les connexions non chiffrées sont refusées.

Durée de conservation limitée

Les données clients sont conservées 90 jours maximum, les caches techniques 48 heures, puis supprimés automatiquement et définitivement.

Export et suppression en fin de contrat

À la fin du contrat, les clients disposent de 30 jours pour exporter leurs données en CSV ou JSON. Toutes les données client, copies et sauvegardes comprises, sont ensuite supprimées définitivement sous 30 jours supplémentaires, avec une attestation écrite sur demande.

Suppression anticipée sur demande

Les clients peuvent demander à support@enrow.io de supprimer leurs données avant la limite de 90 jours. La suppression intervient sous 5 jours ouvrés.

Minimisation des données

Seules les données strictement nécessaires au service sont collectées et traitées. Aucune donnée sensible (article 9 du RGPD) n'est traitée.

Données clients réservées à l'enrichissement

Les données transmises pour enrichissement servent uniquement à fournir le service, jamais à des fins commerciales propres d'Enrow, à la revente ou à la constitution de fichiers de prospection.

Paiements par carte via Stripe

Les données de carte sont traitées uniquement par Stripe (certifié PCI-DSS). Enrow ne stocke aucune donnée de carte et n'a pas accès aux numéros de carte.

Moindre privilège

Les accès suivent un modèle strict par rôles (RBAC) : chaque droit est limité au strict nécessaire.

Authentification multifacteur

Les utilisateurs se connectent par e-mail et mot de passe ; l'authentification multifacteur est disponible et recommandée.

Hachage des mots de passe

Les mots de passe sont hachés avec bcrypt et un sel individuel. Ils ne sont jamais stockés en clair.

Journalisation des accès

Les actions des utilisateurs sont journalisées (identifiant, action, horodatage, adresse IP). Les journaux sont chiffrés au repos, et les journaux de sécurité sont conservés 12 mois.

Accès à la production restreint

L'accès à la production est limité aux deux co-gérants, et tous les accès critiques sont protégés par authentification multifacteur.

Sessions sécurisées

Les sessions reposent sur des jetons JWT signés qui expirent automatiquement, et un jeton CSRF protège contre la falsification de requêtes intersites.

Comptes individuels

Les identifiants sont personnels et ne peuvent pas être partagés : chaque utilisateur a son propre compte. Les administrateurs de l'espace de travail ajoutent et retirent les utilisateurs et leur attribuent des rôles.

Détection des abus

L'utilisation du service est surveillée activement pour détecter les abus et les anomalies, avec une réponse progressive : avertissement, limitation temporaire, puis résiliation.

Engagements de confidentialité

Chaque membre de l'équipe ayant accès à des données personnelles signe un engagement de confidentialité.

Formation à la sécurité

Toute l'équipe suit une formation de sensibilisation à la protection des données.

Politique de mots de passe interne

Une politique de mots de passe robuste s'applique à tous les accès internes.

Délégué à la protection des données

Un DPO désigné supervise les traitements de données personnelles.

PSSI et plan de continuité

Une politique de sécurité des systèmes d'information (PSSI) et un plan de continuité d'activité sont tenus à jour. Tous deux sont disponibles sur demande, sous accord de confidentialité (NDA).

Notification de violation sous 72 heures

Les clients sont notifiés d'une violation de données personnelles sous 72 heures. Un registre des violations est tenu à jour.

Notification à la CNIL et aux personnes

Enrow notifie la CNIL dans les 72 heures après avoir pris connaissance d'une violation, et informe directement les personnes concernées lorsqu'elle est susceptible d'engendrer un risque élevé pour leurs droits et libertés.

Contrats avec les sous-traitants

Chaque sous-traitant est soumis à des obligations de protection des données équivalentes à notre DPA.

Responsabilité des sous-traitants

Enrow reste pleinement responsable envers ses clients du respect, par ses sous-traitants, de leurs obligations de protection des données.

Préavis en cas de changement

Les clients sont prévenus de tout changement de sous-traitant au moins 15 jours à l'avance et peuvent s'y opposer par écrit sous 15 jours.

Garanties sur les fournisseurs d'enrichissement

Les fournisseurs tiers d'enrichissement sont liés par des obligations équivalentes au DPA et sont situés dans l'EEE ou couverts par un mécanisme de transfert conforme au RGPD. Leur liste nominative est communiquée sur demande au DPO, sous accord de confidentialité (NDA).

Transferts encadrés

Les transferts hors EEE reposent sur les clauses contractuelles types de l'UE (décision 2021/914) ou sur une décision d'adéquation.

Évaluation de l'intérêt légitime

La base d'enrichissement d'Enrow repose sur l'intérêt légitime (article 6.1(f) du RGPD). L'évaluation correspondante (LIA) est révisée au moins une fois par an et à chaque changement significatif, et elle est disponible auprès du DPO.

Demandes traitées sous 24 heures ouvrées

Les demandes d'accès, de rectification, d'effacement, d'opposition ou autres se font via le formulaire en ligne ou à dpo@enrow.io. Elles sont traitées sous 24 heures ouvrées à compter de la demande complète et confirmées par e-mail.

Liste d'exclusion permanente

Les personnes qui s'opposent ou demandent l'effacement voient leurs données supprimées, cache compris, et sont inscrites sur une liste d'exclusion permanente : leurs données ne sont plus collectées ni traitées, même si elles réapparaissent dans des sources publiques.

Sources de données licites

Les données d'enrichissement proviennent de sources publiques, de registres officiels, de réseaux professionnels, de moteurs de recherche, de fournisseurs spécialisés et des algorithmes d'Enrow. Elles ne proviennent jamais de fuites de données, de bases volées ni d'autres sources illicites.

Aucune décision automatisée

Enrow ne prend aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant de manière significative les personnes. Les données d'enrichissement ne servent ni à la notation (scoring), ni à l'évaluation de crédit, ni aux décisions d'embauche.

Aucune revente des données clients

Les données personnelles des clients et utilisateurs ne sont jamais vendues, louées ni mises à disposition de tiers. Enrow ne vend ni ne partage d'informations personnelles au sens du CCPA/CPRA.

Réservé aux professionnels majeurs

Le service est réservé aux personnes d'au moins 18 ans agissant à des fins professionnelles. La base d'enrichissement ne contient que des données professionnelles B2B et ne cible pas les mineurs.

Consentement aux cookies

En dehors des cookies strictement nécessaires, les cookies ne sont déposés qu'après consentement dans le bandeau, modifiable à tout moment et renouvelé tous les 12 mois. Seule exception : les cookies des programmes d'affiliation et de parrainage.

DPA inclus dans chaque contrat

Le DPA s'applique dès l'acceptation des CGV et prévaut sur celles-ci pour toute question relative aux données personnelles.

Usage B2B uniquement

Les clients ne peuvent utiliser les données enrichies que pour la prospection B2B, doivent disposer d'une base légale valide et informer les personnes contactées. La prospection B2C, le ciblage publicitaire, la revente non autorisée et le spam sont interdits.

Objectif de disponibilité de 99 %

Enrow déploie ses meilleurs efforts pour assurer une disponibilité d'au moins 99 % des heures ouvrées chaque mois (du lundi au vendredi, de 8h à 20h, heure de Paris, hors jours fériés français). Les maintenances programmées sont annoncées au moins 24 heures à l'avance.

Accusé de réception sous 4 heures ouvrées

Les incidents de disponibilité signalés à support@enrow.io reçoivent un accusé de réception sous 4 heures ouvrées, et le client est tenu informé jusqu'à leur résolution.

Plafond de responsabilité

La responsabilité d'Enrow pour les dommages directs est plafonnée aux sommes versées au cours des 12 mois précédant le fait générateur. Ce plafond ne s'applique pas en cas de dol, de faute lourde ou de manquement à la protection des données ayant directement causé le préjudice.

Confidentialité réciproque

Chaque partie garde confidentielles les informations de l'autre pendant toute la durée du contrat et 3 ans après sa fin.

Droit d'audit

Les clients peuvent auditer la conformité d'Enrow au RGPD et au DPA une fois par an, avec un préavis écrit de 30 jours. Enrow peut à la place fournir un rapport de test d'intrusion indépendant ou un questionnaire CSA CAIQ de moins de 12 mois.

Préavis de 30 jours avant modification

Les modifications des CGV et des tarifs, ainsi que les modifications substantielles du DPA, de la politique de confidentialité ou du service, sont notifiées au moins 30 jours avant leur entrée en vigueur.

Droit français, tribunaux de Paris

Les CGV et le DPA sont régis par le droit français. Les litiges passent d'abord par une résolution amiable et une médiation, puis relèvent de la compétence exclusive des tribunaux de Paris.

Engagements anticorruption

Les deux parties s'engagent à respecter la loi Sapin II et les règles anticorruption applicables. Tout manquement permet à l'autre partie de résilier immédiatement.