Notifyer by Whatsable s'engage pour la protection des données et des pratiques alignées sur le RGPD. Notre infrastructure repose sur des fournisseurs certifiés SOC 2 Type 2 et ISO 27001.
Notifyer by Whatsable (exploité par Automazing, LLC) traite des communications professionnelles et des données clients pour le compte de ses clients. Nous prenons cette responsabilité au sérieux et maintenons des pratiques de sécurité, de confidentialité et de conformité adaptées aux acheteurs professionnels, aux équipes achats et aux auditeurs.
Cette page décrit notre posture de sécurité opérationnelle, les certifications de notre infrastructure, nos sous-traitants ultérieurs, notre gestion des incidents et la manière de demander la documentation de sécurité. La liste des Sous-traitants ultérieurs ci-dessous reste alignée sur l'Annexe 1 de notre Accord de traitement des données. Pour les droits des personnes concernées et les informations sur la base légale, consultez notre Politique de confidentialité. Pour les conditions contractuelles, consultez nos Conditions d'utilisation.
Les données applicatives essentielles et les API fonctionnent sur une infrastructure auditée de manière indépendante.
Notre backend principal, qui comprend le stockage des données, la logique métier et le traitement des API, repose sur Xano, une plateforme qui détient les certifications SOC 2 Type 2 et ISO 27001 et applique un programme documenté de conformité au RGPD. La surveillance au niveau de l'infrastructure, les contrôles d'accès et les opérations de sécurité de cette couche sont gérés par Xano conformément à son programme de sécurité.
Les frontends applicatifs sont hébergés sur Vercel : le site marketing (whatsable.app), la console Notifyer (notifyer.whatsable.app) et l'interface de chat (chat.notifyer-systems.com). Vercel n'est pas utilisé pour traiter, stocker ou délivrer des messages WhatsApp. Des serveurs d'applications Node.js/Hono supplémentaires fonctionnent sur Railway Corporation à Amsterdam, Pays-Bas (UE). Les Données du Client sont traitées principalement aux États-Unis (Xano) et en partie dans l'UE (Railway). La livraison des messages WhatsApp est assurée via WhatsApp Business Platform de Meta (WhatsApp Cloud API), qui fonctionne selon les conditions de traitement des données de Meta pour les fournisseurs de technologie.
Toutes les communications client–serveur utilisent TLS. Les identifiants et jetons d'API sont transmis par des canaux chiffrés.
Le chiffrement au repos est assuré par l'infrastructure des sous-traitants ultérieurs (Xano et Railway), conformément aux normes de sécurité de ces fournisseurs.
Accès aux systèmes de production selon le principe du moindre privilège et en fonction des rôles. Identifiants uniques pour chaque membre du personnel, aucun identifiant partagé et authentification à deux facteurs (2FA) sur toutes les connexions des employés.
Nous suivons les pratiques standard du secteur pour la gestion des identifiants, la séparation des environnements et l'hygiène des dépendances dans notre couche applicative.
Des attestations indépendantes couvrant notre infrastructure principale et nos pratiques opérationnelles.
Notre fournisseur backend a réalisé un audit SOC 2 Type II complet couvrant les contrôles de sécurité, de disponibilité et de confidentialité. Une documentation de synthèse est disponible via le Xano Security Center. Les rapports SOC 2 complets sont disponibles pour les clients Enterprise sur demande auprès de notre contact sécurité.
Notre infrastructure backend est couverte par la certification ISO 27001:2022 pour le management de la sécurité de l'information. Les détails et références des certificats sont publiés dans le Xano Security Center.
Nous traitons les données personnelles conformément au droit applicable en matière de protection des données, y compris le RGPD lorsqu'il s'applique. La base légale, les droits des personnes concernées et les informations sur la collecte sont documentés dans notre Politique de confidentialité. Des accords de traitement des données sont disponibles sur demande à team@whatsable.app.
En tant que fournisseur de technologie de WhatsApp Business Platform, nous maintenons des pratiques de protection des données et de sécurité conformes aux exigences de Meta pour les partenaires qui s'intègrent à WhatsApp Cloud API.
Les fournisseurs qui traitent les Données du Client pour notre compte, conformément à l'Annexe 1 de notre Accord de traitement des données.
Le Client donne une autorisation écrite générale pour les Sous-traitants ultérieurs ci-dessous, soit la même liste que l'Annexe 1 de notre Accord de traitement des données. Le mécanisme de transfert de chaque fournisseur est celui indiqué dans cette annexe. Des copies des SCC correspondantes des Sous-traitants ultérieurs sont disponibles sur demande.
| Sous-traitant ultérieur | Finalité | Emplacement | Mécanisme de transfert |
|---|---|---|---|
| Xano, Inc. | Base de données applicative principale et logique backend (api.insightssystem.com). Security Center | États-Unis (Woodland Hills, CA) | Clauses contractuelles types (DPA) ; certifié SOC 2 Type II, ISO 27001 |
| Railway Corporation | Hébergement des serveurs d'applications (services Node.js/Hono) | Amsterdam, Pays-Bas (UE) | Hébergé principalement dans l'UE. Railway Corporation est une entité américaine : un accès administratif ou de support limité peut donc impliquer un transfert restreint, couvert par les SCC du DPA de Railway. |
| OpenAI, L.L.C. / OpenAI Ireland Ltd | Réponses de chatbot générées par l'IA, utilisées uniquement si le Client active les fonctionnalités d'IA | États-Unis / Irlande | Clauses contractuelles types et certification EU-U.S. Data Privacy Framework |
| Meta Platforms, Inc. | Transport des messages WhatsApp Cloud API (requis pour le Service principal) | États-Unis | Conditions RGPD propres à Meta pour WhatsApp Business Platform ; certifié Data Privacy Framework |
| Stripe, Inc. | Facturation et traitement des paiements | États-Unis | Clauses contractuelles types ; DPA propre à Stripe |
| Functional Software, Inc. (Sentry) | Surveillance des erreurs techniques et journaux applicatifs. Confirmé : par conception, le contenu des messages, les numéros de téléphone et les données de contact n'atteignent jamais Sentry. | États-Unis | Clauses contractuelles types et certification EU-U.S. Data Privacy Framework ; DPA en libre-service disponible |
Les fournisseurs suivants servent également à exploiter la console Notifyer, le site marketing et les analyses produit. Ils sont mentionnés ici pour que les questionnaires de sécurité puissent voir qui héberge le frontend et qui traite les données d'utilisation pseudonymes. Ils ne figurent pas aujourd'hui à l'Annexe 1 du DPA signé ; ils devraient y être ajoutés pour que les deux documents restent alignés.
| Fournisseur | Finalité | Emplacement | Mécanisme de transfert |
|---|---|---|---|
| Vercel, Inc. | Hébergement du frontend pour whatsable.app (site marketing), notifyer.whatsable.app (console Notifyer) et chat.notifyer-systems.com (interface de chat). Vercel ne traite, ne stocke ni ne délivre de contenu de messages WhatsApp, de numéros de téléphone ou de Données du Client issues d'un CRM. | États-Unis (réseau edge mondial) | Clauses contractuelles types ; DPA de Vercel |
| PostHog, Inc. | Analyses produit et insights de session sur le site marketing et la console Notifyer. Traite des données d'utilisation pseudonymes (pages vues, utilisation des fonctionnalités et événements similaires). Le contenu des messages WhatsApp, les numéros de téléphone et les fiches de contact ne sont pas envoyés à PostHog en tant que Données du Client. | Union européenne (PostHog EU Cloud) | Hébergé principalement dans l'UE. PostHog, Inc. est une entité américaine ; les transferts sont couverts par les clauses contractuelles types du DPA de PostHog. |
Comment nous détectons les événements de sécurité, y répondons et communiquons à leur sujet.
Les Données du Client sont traitées principalement aux États-Unis (Xano, Woodland Hills, CA) et en partie dans l'Union européenne (Railway, hébergé à Amsterdam). Le contenu des messages transite par WhatsApp Cloud API de Meta pour être délivré. Nous pouvons fournir plus de détails dans les questionnaires de sécurité sur demande.
Le contenu des messages et l'historique des conversations sont conservés pendant la durée de l'abonnement, puis supprimés ou restitués dans les 30 jours suivant sa résiliation, sauf si la loi exige une durée plus longue. Les sauvegardes de la base de données principale ont une durée de conservation glissante de 30 jours. Les journaux d'erreurs techniques dans Sentry sont conservés 90 jours et ne contiennent, par conception, ni contenu de message ni numéro de téléphone.
Pour supprimer un compte ou des données, utilisez notre formulaire de demande de suppression des données ou écrivez à team@whatsable.app.
Pour les synthèses SOC 2, les listes de sous-traitants ultérieurs, les accords de traitement des données ou les réponses aux évaluations de sécurité des fournisseurs, notre équipe vous répondra dans les meilleurs délais.
Whatsable
