Questions de sécurité

Oui, en AES-256 (chiffrement natif AWS).

Oui, en TLS 1.2 ou supérieur. Les connexions non chiffrées sont refusées.

Oui, chez AWS à Paris (eu-west-3).

Sauvegardes automatiques quotidiennes, chiffrées, testées et validées.

Données clients : 90 jours maximum. Cache technique : 48 heures. À la fin du contrat, les clients disposent de 30 jours pour exporter leurs données ; toutes les données client, copies et sauvegardes sont ensuite supprimées sous 30 jours supplémentaires.

Oui. Écrivez à support@enrow.io : les données sont supprimées sous 5 jours ouvrés.

Oui. Vous disposez de 30 jours pour exporter vos données en CSV ou JSON, depuis l'application, via l'API ou sur demande à support@enrow.io. Une attestation écrite de suppression est ensuite disponible sur demande.

Les données d'inscription sont supprimées 30 jours après une demande de suppression du compte. Les factures et pièces comptables sont conservées 10 ans (obligation comptable légale), les échanges avec le support 3 ans après le dernier échange, et les journaux de sécurité 12 mois.

Uniquement sous forme anonymisée. Les données transmises pour enrichissement ne servent jamais à des fins commerciales propres d'Enrow, à la revente ou à la constitution de fichiers de prospection. Des données anonymisées et agrégées, qui ne permettent plus d'identifier personne, peuvent servir à améliorer les algorithmes et à des statistiques.

Non. Enrow ne collecte aucune donnée sensible, et les clients ne doivent pas en transmettre.

Non. Les paiements par carte sont traités uniquement par Stripe (certifié PCI-DSS). Enrow n'a pas accès aux numéros de carte.

Non. Notre contrat avec notre fournisseur d'IA (Anthropic) contient une clause de non-entraînement.

Oui, via un modèle strict d'accès par rôles (RBAC).

La MFA est disponible et recommandée pour tous les utilisateurs, mais pas imposée. En interne, tous les accès critiques sont protégés par MFA.

Hachés avec bcrypt et un sel individuel.

Les actions des utilisateurs sont journalisées avec identifiant, action, horodatage et adresse IP. Les journaux sont chiffrés au repos, et les journaux de sécurité sont conservés 12 mois.

Oui, aux deux co-gérants. Tous les accès critiques sont protégés par MFA.

Non. Les identifiants sont personnels et chaque utilisateur doit avoir son propre compte. Dans les espaces d'équipe, un administrateur gère les utilisateurs et leurs rôles.

Oui. Les sessions reposent sur des jetons JWT signés à expiration automatique, et un jeton CSRF protège contre la falsification de requêtes intersites.

Oui, une fois par an, par un prestataire tiers indépendant.

Le code est systématiquement relu via des pull requests, et les dépendances sont analysées automatiquement pour détecter les vulnérabilités (Dependabot).

Oui. Le formulaire d'exercice des droits et l'outil gratuit de recherche et de vérification d'e-mails utilisent Cloudflare Turnstile, et l'outil gratuit est soumis à des limites quotidiennes par adresse IP et globales.

Oui, dans les 72 heures après en avoir pris connaissance, avec la nature de la violation, ses conséquences probables, les mesures prises et les coordonnées du DPO.

Oui, la CNIL dans les 72 heures. Les personnes concernées sont aussi informées directement lorsqu'une violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés.

Oui, avec les faits, leurs effets et les mesures prises pour y remédier et éviter qu'ils se reproduisent.

En continu, avec des alertes automatiques en cas d'anomalie.

Les incidents de disponibilité signalés à support@enrow.io reçoivent un accusé de réception sous 4 heures ouvrées. Enrow déploie ensuite ses meilleurs efforts pour les résoudre rapidement et vous tient informé.

Oui. Il est tenu à jour et disponible sur demande, sous accord de confidentialité (NDA).

Oui. Notre accord de traitement des données (article 28 du RGPD) fait partie de chaque contrat client et s'applique dès l'acceptation des CGV.

Oui, Louis Congard. Il est joignable à dpo@enrow.io.

Avec les clauses contractuelles types de l'UE (décision 2021/914), complétées si besoin par des mesures supplémentaires, ou une décision d'adéquation.

Oui. Le DPA et les CGV couvrent le UK GDPR et le Data Protection Act 2018, la nLPD suisse et le CCPA/CPRA, au titre duquel Enrow agit comme prestataire de services (« service provider ») pour les traitements réalisés pour le compte des clients.

Les données des clients et utilisateurs ne sont jamais vendues, louées ni mises à disposition de tiers, et Enrow ne vend ni ne partage d'informations personnelles au sens du CCPA/CPRA. Les données de contact de la base d'enrichissement d'Enrow ne sont fournies qu'aux utilisateurs du service, qui doivent les utiliser pour la prospection B2B.

Oui, par écrit dans les 15 jours suivant la notification, envoyée au moins 15 jours avant le changement. À défaut d'accord, l'opposition vaut résiliation du contrat.

Les sous-traitants techniques sont listés publiquement. La liste nominative des fournisseurs d'enrichissement est un secret d'affaires : elle est communiquée sur demande écrite à dpo@enrow.io, après signature d'un accord de confidentialité (NDA).

Uniquement avec votre consentement. Les pixels Google Ads, Meta, LinkedIn et X servent au suivi des conversions et au reciblage publicitaire une fois acceptés dans le bandeau cookies. Les refuser n'affecte pas l'accès au site ni au service.

Les cookies d'analyse, de marketing et de préférences attendent votre consentement, modifiable à tout moment via le lien « Gérer mes cookies » et renouvelé tous les 12 mois. Les cookies des programmes d'affiliation et de parrainage font exception : ils sont déposés sans consentement et ne servent ni à la publicité ni au profilage.

Une fois par an, avec un préavis écrit de 30 jours, sur la conformité au RGPD et au DPA. Les coûts sont à la charge du client, sauf manquement substantiel d'Enrow. Enrow peut à la place fournir un rapport de test d'intrusion indépendant ou un questionnaire CSA CAIQ de moins de 12 mois.

Oui. Elle repose sur l'intérêt légitime (article 6.1(f) du RGPD), documenté dans une évaluation d'intérêt légitime (LIA) révisée au moins une fois par an et à chaque changement significatif. La LIA est disponible auprès de dpo@enrow.io.

Oui, sous 24 heures ouvrées à compter de la demande complète, soit moins que le délai d'un mois prévu par le RGPD. Les demandes passent par le formulaire d'exercice des droits ou par dpo@enrow.io. Pour les données traitées pour le compte d'un client, Enrow informe ce client et agit selon ses instructions.

Oui, à tout moment. Leurs données sont supprimées, cache compris, et elles sont inscrites sur une liste d'exclusion permanente : leurs données ne sont plus collectées ni traitées, même si elles réapparaissent dans des sources publiques.

Pas individuellement : Enrow s'appuie sur la dispense de l'article 14(5)(b) du RGPD, car informer un à un plusieurs millions de contacts professionnels exigerait des efforts disproportionnés. En contrepartie, Enrow publie sa politique de confidentialité, propose un formulaire d'exercice des droits avec une réponse sous 24 heures ouvrées, et exige de ses clients qu'ils informent les personnes qu'ils contactent.

Oui : sites et annuaires publics, réseaux professionnels, registres officiels, moteurs de recherche, fournisseurs spécialisés liés par des obligations RGPD, et algorithmes propres à Enrow. Jamais de fuites de données, de bases volées ni d'autres sources illicites.

Aucune décision fondée exclusivement sur un traitement automatisé ne produit d'effets juridiques ou significatifs sur les personnes, et les données d'enrichissement ne servent ni à la notation (scoring), ni à l'évaluation de crédit, ni aux décisions d'embauche. Les récompenses de parrainage sont attribuées automatiquement ; vous pouvez demander un réexamen par une personne à support@enrow.io.

Non. Enrow ne collecte pas sciemment de données de mineurs : le service est réservé aux adultes agissant à des fins professionnelles, et la base d'enrichissement ne contient que des données professionnelles B2B. Toute donnée de mineur découverte est supprimée immédiatement.

Chaque membre de l'équipe ayant accès à des données personnelles en signe un.

Toute l'équipe suit une formation de sensibilisation à la protection des données.

Oui. La politique de sécurité des systèmes d'information (PSSI) est tenue à jour et disponible sur demande, sous accord de confidentialité (NDA).

Enrow déploie ses meilleurs efforts pour atteindre 99 % de disponibilité mensuelle sur les heures ouvrées (du lundi au vendredi, de 8h à 20h, heure de Paris, hors jours fériés français). La maintenance programmée, la force majeure et les défaillances de tiers sont exclues. Le seul recours contractuel est un avoir au prorata si le service est totalement indisponible du seul fait d'Enrow pendant plus de 5 jours ouvrés consécutifs.

Les dommages directs sont plafonnés aux sommes versées au cours des 12 mois précédant le fait générateur, et les dommages indirects sont exclus. Ce plafond ne s'applique pas en cas de dol, de faute lourde ou de manquement aux obligations de protection des données ayant directement causé le préjudice.

Oui, pour les CGV comme pour le DPA. Les litiges passent d'abord par une résolution amiable (30 jours) et une médiation (60 jours au plus), puis relèvent de la compétence exclusive des tribunaux de Paris.

Oui. Chaque partie garde confidentielles les informations de l'autre pendant toute la durée du contrat et 3 ans après sa fin.

Oui, au moins 30 jours avant l'entrée en vigueur d'une modification des CGV ou des tarifs, ou d'une modification substantielle du DPA, de la politique de confidentialité ou du service. Les nouveaux tarifs ne s'appliquent qu'aux nouvelles souscriptions, et vous pouvez résilier en cas de désaccord avec de nouvelles CGV ou une modification substantielle du service.

Oui. Les abonnements sont sans engagement de durée ; la résiliation prend effet à la fin de la période de facturation en cours, depuis votre compte ou par e-mail à support@enrow.io. Les sommes déjà versées ne sont pas remboursées. Les contrats sur mesure ont leurs propres conditions.