StackeoSécurité et données
Nos règles pour les données de vos clients
Les règles que Stackeo applique aux données des cabinets, l’endroit où elles sont hébergées, et ce que nous n’affirmons pas.
Les règles. Écrites d’abord, elles engagent tous ceux qui construisent Stackeo.
Chaque cabinet est isolé
Aucune organisation ne peut atteindre les données d’une autre : isolation en base et contrôles serveur, et chaque frontière est vérifiée par des contrôles automatiques qui essaient de la franchir.
Règle et contrôlesVision agit avec les droits de la personne
Chaque agent et chaque outil agit avec les droits effectifs de la personne et du cabinet ; les consignes du modèle ne sont jamais la limite. Les actions sensibles attendent l’accord d’une personne.
RègleAucun accès de notre équipe par défaut
Aucun accès de notre équipe à vos contenus. Il n’existe aujourd’hui aucun accès support ; s’il existe un jour, il sera explicite, limité et enregistré.
RègleLes actions sensibles sont enregistrées
Un journal d’audit garde les actions sensibles.
RègleUne IA sous conditions professionnelles
Les modèles qui servent les cabinets passent par les API ou des accords professionnels qui le permettent, jamais par des abonnements personnels mis en commun.
RègleHébergement à Paris
Supabase sur Amazon Web Services, région Paris (eu-west-3), deux sociétés américaines.
Retenu
Ce qui protège votre cabinet. En place.
- En place
Chaque cabinet cloisonné, et testé
Chaque donnée appartient à un cabinet : sécurité par ligne dans la base et contrôle des droits côté serveur. Des contrôles automatiques de la base et du serveur essaient de franchir chaque frontière.
- En place
Double authentification
Un code d’application d’authentification (TOTP) à la connexion ; les clés d’accès viennent ensuite.
- En place
Chiffré en transit
HTTPS seulement sur stackeo.ai, TLS 1.3 activé, TLS 1.0 et 1.1 refusés.
- Avec la production
Chiffré au repos
L’hébergeur de la base chiffre toutes les données au repos en AES-256, comme l’indique Supabase.
- En place
Vos données n’entraînent aucun modèle
Notre règle : aucun modèle n’est entraîné sur les données d’un cabinet, et rien de ce qui est appris dans un cabinet ne sert à un autre. Sur Amazon Bedrock, les fournisseurs de modèles n’ont accès ni aux requêtes ni aux réponses, comme l’indique AWS.
- En place
Actions sensibles enregistrées
Les actions sensibles vont dans un journal d’audit, chaîné pour qu’une ligne retirée se voie. Les actions groupées sur les e-mails ne gardent qu’un journal technique.
- Avec la production
Sauvegardes, et restaurations répétées
Les sauvegardes quotidiennes de l’hébergeur gardées 7 jours, plus notre propre copie chiffrée chaque nuit dans l’UE, gardée 30 jours, et une restauration répétée chaque mois.
- En place
Sous-traitants, nommés
Nos fournisseurs, ce que fait chacun et où : le tableau ci-dessous.
Sources lues le 12 novembre 2026 : supabase.com/security (chiffrement au repos), docs.aws.amazon.com/bedrock (protection des données).
Hébergé en Europe. Pays par pays, et ce que nous utilisons.
Les données des cabinets sont hébergées à Paris, les notifications partent de France, et Vision tourne aux États-Unis ou en France selon l’offre. Chaque statut dit le rôle du fournisseur.
En placeRetenu
France et Union européenne
Supabase, région Paris (eu-west-3)La base de données et les fichiers des cabinets, sur AWS à ParisRetenu pour la production
Scaleway Transactional EmailLes e-mails de notification de l’application, traités en FranceEn place- OVHcloudLe domaine stackeo.ai et nos boîtes e-mailUtilisé
- Mistral AIL’IA de Vision en France, point d’accès UE, conservation zéro demandéeRetenu
États-Unis
- CloudflareCe site, son DNS et sa mesure d’audience sans cookie, sur un réseau mondialUtilisé pour ce site
- Anthropic, OpenAI, GoogleL’IA de Vision aux États-Unis, selon ce que prévoient les offresRetenu
- StripeLe paiement des abonnements dans l’applicationRetenu pour les paiements
Les marques et logos cités appartiennent à leurs propriétaires respectifs ; leur présence n’implique aucun partenariat.
Noms cités pour information : aucun partenariat avec ces sociétés, aucun soutien de leur part, et aucun contrat ni accord de traitement n’est affirmé. Stackeo ne se dit pas souverain : certains fournisseurs sont des sociétés américaines, nommées comme telles. Le tableau complet est sur la page sécurité.
Où tourne l’IA, selon l’offre
Pro
- IA de Vision
- États-UnisVision tourne aux États-Unis.
- Données du cabinet
- Paris, FranceHébergées à Paris, en France.
Max
- IA de Vision
- États-UnisouFranceÀ vous de choisir : Vision aux États-Unis ou en France.
- Données du cabinet
- Paris, FranceHébergées à Paris, en France.
Ultra
- IA de Vision
- États-UnisouFranceLe même choix que Max, États-Unis ou France, avec le plus d’usage.
- Données du cabinet
- Paris, FranceHébergées à Paris, en France.
Prix hors taxes, par siège et par mois ; combinez les offres dans un même cabinet. Rien ne s’achète sur ce site : les abonnements se prennent avec les fondateurs.
Nos fournisseurs. Ce que fait chacun, où, et où nous en sommes.
Les fournisseurs qui servent Stackeo : l’application, Vision, les appels et les sauvegardes. Aucun contrat n’est affirmé.
| Fournisseur | Ce qu’il fait pour Stackeo | Où | Statut |
|---|---|---|---|
| Cloudflare, Inc. | Sert et protège ce site ; DNS de stackeo.ai | États-Unis | Utilisé pour ce site |
| OVHcloud (OVH SAS) | Le domaine stackeo.ai et les boîtes e-mail | France | Utilisé |
| Supabase, sur Amazon Web Services | Hébergement des données des cabinets (base et fichiers) | Région Paris, France (eu‑west‑3) | Retenu pour la production |
| Scaleway | Les e-mails de notification de l’application (Transactional Email) | France | En place |
| Anthropic | Modèles d’IA de Vision aux États-Unis (Max ou Ultra quand le cabinet choisit les États-Unis) | États-Unis | Retenu pour Vision |
| OpenAI | Modèles d’IA de Vision aux États-Unis, même usage que la ligne précédente | États-Unis | Retenu pour Vision |
| Modèles d’IA de Vision aux États-Unis, même usage que les lignes précédentes | États-Unis | Retenu pour Vision | |
| Mistral AI | Modèles d’IA de Vision en France (Max et Ultra, quand le cabinet choisit la France) | France | Retenu pour Vision |
| Stripe | Paiement des abonnements dans l’application | À confirmer | Retenu pour les paiements |
| Groq | Réponses instantanées de Vision (appels en direct, titres), en développement seulement ; jamais pour un cabinet qui a choisi l’UE ou la France | Hors UE | Développement seulement, pas retenu pour la production |
| Cloudflare Realtime | Les appels audio dans Messages (relais des médias) | Réseau de Cloudflare | Proposé : compte et résidence à décider par les deux fondateurs |
| Fournisseur SMS | Le SMS en secours encadré de la double authentification | France (OVHcloud proposé) | Proposé, à décider par les deux fondateurs |
| Notre serveur de sauvegarde | Une copie chiffrée chaque nuit de la base et des fichiers, gardée 30 jours | Union européenne | Décidé, serveur à choisir (les deux fondateurs) |
Noms cités pour information : aucun partenariat avec ces sociétés, ni soutien de leur part, n’est affirmé.
Ce que nous n’affirmons pas
- Une certification (ISO 27001, SOC 2, HDS, SecNumCloud) : nous n’en avons aucune.
- « Chiffré de bout en bout », « zero knowledge », « anonymisé » : nous ne l’écrivons pas.
- « Conforme au secret professionnel » : c’est à chaque cabinet et à son conseil d’en juger.
- Le soutien d’un partenaire : les outils que nous citons ne sont pas des partenaires sauf décision écrite.
- Des accords de traitement signés, un niveau de service ou un engagement de conservation des données : nous n’en publions aucun aujourd’hui. Nos fournisseurs sont listés avec leur statut, pas comme des sous-traitants sous contrat.
Questions de sécurité.
ContactOù sont hébergées nos données ?
Supabase sur AWS, région Paris (eu-west-3). les fournisseurs sont listés sur cette page avec leur statut.
Quelle IA Vision utilise-t-il ?
Vision est multi-modèles par conception : il choisit le meilleur modèle pour chaque tâche parmi les fournisseurs de la région de votre offre, les États-Unis sur Pro, les États-Unis ou la France sur Max et Ultra ; toujours par les API ou des accords professionnels des fournisseurs, jamais par des abonnements personnels. Les fournisseurs sont listés sur cette page.
Votre équipe peut-elle lire nos dossiers ?
Non. Aucun accès de notre équipe à vos contenus. Il n’existe aujourd’hui aucun accès support ; s’il existe un jour, il sera explicite, limité et enregistré.
Qui héberge ce site ?
Cloudflare, uniquement en HTTPS. Voir les mentions légales et la page confidentialité.
Une question de votre service informatique ?
Écrivez-nous : nous répondons avec ce qui est décidé, et disons ce qui ne l’est pas.