Sécurité et traitement des données
Vous nous donnez accès à des apps créées par vos équipes. Voici, sans détour, ce à quoi BWorlds accède, ce qu’il en fait et ce qu’il ne fait pas. Si votre question n’a pas sa réponse ici, posez-la directement à l’équipe.
Nos principes
- Vos apps restent les vôtres. Le code, les données et la propriété intellectuelle vous appartiennent. BWorlds ne revendique aucun droit dessus.
- Moindre privilège. Nous ne demandons que les accès nécessaires à l’audit, rien de plus.
- Lecture seule par défaut, aucune action sans accord explicite. BWorlds analyse en lecture seule. Aucune correction n’est appliquée et aucun code n’est poussé dans vos dépôts sans votre consentement explicite.
- Transparence. Vous savez toujours ce qui est analysé, et pourquoi.
Ce à quoi BWorlds accède
- Le code des apps que vous nous autorisez à analyser, en général celles que vos salariés ont créées avec l’IA. Rien d’autre.
- Les commits de votre dépôt GitHub, pour suivre l’évolution du code.
Par défaut, BWorlds n’analyse que le code et les commits, qui ne contiennent pas les données personnelles de vos clients.
Rien d’autre n’est collecté, sauf si un salarié installe le SDK et active explicitement le suivi des erreurs ou l’enregistrement des sessions. Ces fonctions traitent alors des données d’usage de l’app. Leur activation est toujours explicite et reste entre vos mains.
Comment vos données sont traitées
Pour produire l’audit, le code de vos apps est analysé par les modèles d’OpenAI, dans le cadre de son offre entreprise. Vos données ne servent donc pas à entraîner ces modèles.
Les corrections : vous gardez la main
Par défaut, BWorlds identifie les problèmes et montre au créateur de l’app comment les corriger avec son outil d’IA : il applique la correction, publie, et BWorlds vérifie qu’elle est bien en place. L’application des modifications par un agent est une option, désactivée par défaut. Quand elle est activée pour un compte, chaque modification reste soumise à votre accord explicite, au cas par cas, avant que quoi que ce soit ne soit poussé dans vos dépôts, et vous pouvez révoquer l’accès à tout moment.
Hébergement et localisation
- Hébergement : aux États-Unis (Oregon), pour l’instant.
- Chiffrement : vos données sont chiffrées en transit et au repos.
Conservation et suppression
- Durée : vos données sont conservées pendant toute la durée du contrat, puis 30 jours pendant lesquels vous gardez l’accès.
- Suppression : vous pouvez demander la suppression de vos données à tout moment ; elles sont supprimées à la fin de cette période.
- Révocation : vous coupez l’accès quand vous voulez, et l’analyse s’arrête.
Sous-traitants ultérieurs
Pour fonctionner, BWorlds s’appuie sur un nombre limité de prestataires :
- Railway infrastructure et hébergement de l’application (États-Unis, Oregon)
- Vercel hébergement et mise en ligne de l’interface web
- OpenAI analyse du code par l’IA (offre entreprise)
- Stripe traitement des paiements
- Supabase authentification et base de données
- Sentry suivi des erreurs du service BWorlds
- Langfuse traçage des fonctionnalités d’IA
- Knock notifications aux utilisateurs
- Google Tag Manager mesure d’audience du site
RGPD
Nos traitements suivent les principes du RGPD : minimisation des données, accès restreint, droit à l’effacement. Vos données étant hébergées aux États-Unis, leur transfert repose sur les clauses contractuelles types (CCT) de la Commission européenne. Un DPA (accord de sous-traitance des données) est disponible sur demande.
Nos limites actuelles
- Nous n’avons aujourd’hui ni certification SOC 2 ni certification ISO 27001. SOC 2 Type II est en cours.
- Nous ne proposons ni hébergement souverain ni installation sur site (on-premise), et l’hébergement est aux États-Unis. La localisation des données dans l’UE figure sur notre feuille de route.
- L’authentification unique (SSO / SAML) et les intégrations avec Jira, Linear ou ServiceNow se mettent en place compte par compte, avec l’offre Entreprise, sur demande.
Nous équipons nos premières entreprises clientes, et notre niveau de sécurité se renforce en continu. Nous préférons vous dire où nous en sommes plutôt que d’enjoliver.
