Confiance et sécurité
Autonome par conception. Sécurisé par défaut.
Proofpoints transforme les propres mots de vos clients en histoires publiées. Nous l'avons conçu pour gagner la confiance des organisations les plus exigeantes au monde en matière de sécurité, ce qui commence par un choix d'architecture simple : nous ne nous connectons jamais à vos systèmes.
Il n'existe aucune intégration avec votre CRM, votre pipeline commercial, vos systèmes financiers, votre fournisseur d'identité ou votre réseau interne. Il n'y a rien à connecter. Les seules informations qui nous parviennent sont le contenu des histoires que vos ambassadeurs choisissent de partager et les contacts précis que vous choisissez d'inviter à une campagne, et non une connexion aux systèmes qui hébergent vos données sensibles.
Le périmètre de confiance
Ce qui franchit la limite, et ce qui ne la franchit jamais
Tout ce qui figure à gauche est ce dont une histoire a besoin. Tout ce qui figure à droite reste chez vous, toujours. Nous sommes un service cloisonné, dédié à un seul usage, avec une surface d'exposition volontairement restreinte.
Entrant
· Transcription de l'interview
· Contenu de l'histoire et modifications
· Nom et fonction de l'ambassadeur
· Contacts de campagne que vous importez (nom, fonction, e-mail professionnel)
· Nom de l'entreprise et informations publiques
Le périmètre Proofpoints
Chiffré. Hébergé dans l'UE. Isolé pour chaque organisation. Traité uniquement pour produire votre histoire.
› Base de données et journal d'audit (UE)
› Stockage de fichiers chiffré
› Modèles d'IA (jamais entraînés sur vos données)
› Transcription
Ne franchit jamais le périmètre
✕ Votre CRM
✕ Données commerciales et pipeline
✕ Systèmes financiers
✕ Fournisseur d'identité / annuaire SSO
✕ Réseaux internes
✕ Vos bases de données clients ou collaborateurs
Nous n'accédons à aucun de vos systèmes et n'ingérons aucune de vos données opérationnelles en masse. Nous conservons uniquement le contenu des histoires et les contacts de campagne précis que vous nous transmettez : une empreinte volontairement réduite et clairement définie.
Périmètre des données
Uniquement ce dont une histoire a besoin
Ce que nous conservons
La transcription de l'entretien et l'histoire telle qu'elle est rédigée puis révisée ; le nom et la fonction de l'ambassadeur ; les informations publiques de l'entreprise cliente ; et, dans le cadre d'une campagne, les contacts que vous choisissez d'inviter : leur nom, leur fonction et leur adresse e-mail professionnelle. Rien de plus.
Notre gestion des données de contact
Il s'agit des personnes précises que vous souhaitez mettre en avant dans une histoire : un petit groupe d'ambassadeurs potentiels désignés, et non une liste de diffusion massive. Nous agissons en tant que sous-traitant de vos données : leurs coordonnées servent uniquement à les inviter et à recueillir leur histoire. Elles ne sont jamais vendues, jamais partagées et jamais utilisées pour entraîner l'IA. Elles sont traitées conformément au RGPD, couvertes par notre accord de traitement des données (DPA) et supprimées sur simple demande.
Un consentement explicite avant toute publication
Le consentement à l'enregistrement et une étape d'approbation formelle sont intégrés au processus. L'ambassadeur relit et valide son histoire avant sa publication : vous ne publiez jamais un contenu sans accord préalable.
Où résident vos données
Hébergement, résidence des données et sous-traitants
Proofpoints repose sur une infrastructure conforme SOC 2. Chacun des fournisseurs d'infrastructure cités ci-dessous (base de données, hébergement, stockage de fichiers, e-mail et paiements) dispose d'un rapport SOC 2 Type II en cours de validité, audité chaque année de manière indépendante. Les trois qui stockent vos données (base de données, hébergement et stockage de fichiers) sont également certifiés ISO 27001, et vos données sont hébergées dans l'UE. Nos fournisseurs d'infrastructure sont nommés ci-dessous ; les services spécialisés sont présentés selon leur fonction et les données auxquelles ils ont accès. La liste nominative complète est communiquée aux clients, ainsi qu'aux prospects sous NDA, et toute modification fait l'objet d'une notification.
Pour les clients américains et hors UE : l'hébergement dans l'UE répond aux normes de protection des données les plus strictes, vos données bénéficient donc du plus haut niveau de protection. Une protection renforcée est un atout, pas une contrainte, et les mécanismes standard encadrent tout transfert transfrontalier. Si votre organisation exige une région d'hébergement spécifique, contactez-nous.
L'IA et vos données
Vos mots ne sont jamais utilisés comme données d’entraînement.
Nous n'entraînons jamais de modèle sur vos contenus
Proofpoints n'utilise jamais vos histoires, transcriptions ou données pour entraîner un quelconque modèle.
Nos fournisseurs de modèles non plus
Nous utilisons exclusivement des modèles de pointe, les modèles phares actuels des principaux laboratoires d'IA, dans le cadre de conditions d'API qui interdisent l'entraînement sur les données transmises et permettent une conservation courte, voire nulle. Chaque appel à un modèle est traité dans la région du fournisseur, le temps de l'appel uniquement ; vos histoires et fichiers stockés ne quittent jamais l'UE. Pour les contrats entreprise, nous faisons appel uniquement à ces fournisseurs.
L'humain garde toujours la main
L'IA rédige, l'humain décide. Chaque histoire est relue et validée par une personne avant sa publication. Rien n'est publié automatiquement par un modèle.
Où l'IA intervient, précisément
Une transparence totale sur chaque tâche impliquant un modèle : ce qu'il fait et les données auxquelles il accède. Dans tous les cas, il s'agit des propres données du client concerné, et une personne vérifie le résultat.
L'équipe Proofpoints sélectionne les modèles proposés et les tient à jour : uniquement des modèles de pointe, jamais de petits modèles, non vérifiés ou auto-hébergés. Les administrateurs choisissent parmi cette sélection et peuvent adapter les instructions associées à chaque tâche. Chaque résultat reste modifiable, et une personne relit et approuve chaque histoire avant sa publication.
Comment les contenus générés par l'IA sont signalés
L'article 50 du règlement européen sur l'IA (AI Act) exige que les contenus générés par l'IA puissent être identifiés comme tels, et que les personnes sachent lorsqu'elles échangent avec une IA. Voici ce que nous appliquons aujourd'hui, support par support. Le cœur du dispositif est antérieur à toute réglementation : la personne citée lit l'histoire finalisée et l'approuve en son nom.
Pas encore : les attestations de contenu signées cryptographiquement (C2PA) sur les fichiers exportés. Nous y reviendrons lorsqu'un client ou un processus d'achat le demandera. Nous ne soumettons pas les histoires à des « détecteurs d'IA » ; nous expliquons pourquoi dans nos standards.
Contrôles
Comment nous protégeons vos données, au quotidien
Cloisonnement des organisations
Les données de chaque organisation sont strictement cloisonnées. Toute requête visant une autre organisation renvoie « introuvable » – jamais les données d'un autre client, ni le moindre indice de leur existence.
Accès basé sur les rôles
Les rôles membre, administrateur et propriétaire encadrent chaque action. Lecture, écriture et suppression exigent chacune le rôle approprié, contrôlé côté serveur à chaque requête.
Chiffrement systématique
Toutes les données sont chiffrées par défaut, en transit (TLS) comme au repos, dans notre base de données, notre stockage de fichiers et nos sauvegardes.
Journalisation d'audit
Chaque création, modification et suppression est enregistrée avec l'utilisateur, l'action, la ressource, l'adresse IP et l'horodatage, puis conservée pendant au moins deux ans.
Moindre privilège
Les clés d'administration restent exclusivement côté serveur et ne sont jamais exposées au navigateur. La signature des webhooks est vérifiée avant tout traitement.
Sécurisé par défaut
En-têtes de sécurité sur les réponses, validation stricte des entrées à chaque requête, et aucune erreur interne de base de données n'est jamais exposée aux clients.
Conformité
Où nous en sommes
Proofpoints détient la certification Cyber Essentials, le socle de référence du National Cyber Security Centre britannique, délivrée par l'IASME le 16 October 2026 et valable jusqu'au October 2027. Elle est renouvelée chaque année, et le certificat peut être vérifié dans le registre public.
La plateforme est conçue selon les contrôles SOC 2 : cloisonnement des organisations, moindre privilège, chiffrement, journalisation d'audit et gestion des changements sont intégrés dès la conception, et non ajoutés après coup. Un audit SOC 2 formel et un test d'intrusion indépendant figurent sur notre feuille de route ; nous partageons volontiers l'état d'avancement, les justificatifs et le calendrier sous NDA. Nous vous accompagnons dans vos obligations RGPD, assurons la résidence des données dans l'UE ainsi qu'un accord de traitement des données (DPA) comportant une clause explicite d'interdiction d'entraînement de l'IA. Nous sommes enregistrés auprès de l'Information Commissioner's Office (ICO) britannique, sous le numéro ZC197482.
Pour le reste, nous préférons vous dire précisément où nous en sommes plutôt que de laisser entendre que nous détenons une certification que nous n'avons pas obtenue. Si une certification est un prérequis pour vous, parlons-en – nous vous présenterons notre plan.
Les questions posées lors d'une revue de sécurité
Une ligne par question, pour une lecture rapide.
Due diligence
Le dossier de sécurité
Public – cette page
Notre posture d'architecture, le périmètre des données, la liste des sous-traitants, notre position sur l'IA et nos contrôles. Tout ce qu'il faut pour une première évaluation, sans NDA.
Privé – sous NDA
Le dossier de preuves : l'avancement et les rapports des audits de sécurité, les résultats des tests d'intrusion, un questionnaire de sécurité complété (CAIQ / SIG), notre DPA et nos accords de sous-traitance, ainsi qu'une cartographie détaillée des flux de données pour votre examen. Faites-en la demande, nous vous le transmettrons dans les meilleurs délais.
Des questions sur la sécurité ou la due diligence ? Écrivez-nous à security@proofpoints.com. État du service en temps réel : proofpoints.betteruptime.com. Pour signaler une vulnérabilité, utilisez la même adresse – nous répondons rapidement et n'engagerons aucune poursuite contre les chercheurs agissant de bonne foi.