Confiance
La sécurité chez NOLGIA
Dernière mise à jour : October 4, 2026
Comment nous protégeons vos données, qui les traite, où nous en sommes sur la conformité et comment signaler un problème de sécurité.
1. Hébergement et chiffrement
In short: NOLGIA fonctionne sur Google Cloud aux États-Unis. Les données sont chiffrées en transit et au repos.
- Nos serveurs, notre base de données, le stockage de fichiers, les sauvegardes et les journaux fonctionnent sur Google Cloud, et nous stockons vos données aux États-Unis.
- Les données sont chiffrées en transit et au repos.
- Vos fichiers sont conservés dans un stockage privé. L’app y accède par des liens qui expirent rapidement.
- L’accès aux systèmes de production est limité au personnel autorisé.
2. Connexion et accès
In short: Les mots de passe sont hachés avec argon2id. Les clés et les jetons ne sont stockés que sous forme de hash.
- Vous pouvez vous connecter avec Google, un e-mail et un mot de passe, ou l’authentification unique de votre organisation.
- Les mots de passe ne sont stockés que sous forme de hash argon2id, jamais sous une forme lisible par nous.
- Les clés API, jetons d’accès, liens de partage et liens d’invitation ne sont stockés que sous forme de hash. Nous n’affichons une clé qu’une fois, à sa création.
- Vous pouvez révoquer les liens de partage et les jetons à tout moment.
3. Connexion en deux étapes
In short: Les comptes avec mot de passe peuvent ajouter une app d’authentification ou des passkeys, et les organisations peuvent l’imposer.
- Si vous vous connectez avec un e-mail et un mot de passe, vous pouvez activer la connexion en deux étapes avec une app d’authentification ou une passkey dans les Paramètres.
- L’activer vous donne des codes de récupération à usage unique. Nous ne les stockons que sous forme de hash, et les secrets d’authentification uniquement sous forme chiffrée.
- Une passkey qui vous vérifie avec Face ID, une empreinte digitale ou le code PIN de l’appareil peut aussi vous connecter sans mot de passe.
- Les organisations peuvent imposer la connexion en deux étapes aux membres qui se connectent avec un mot de passe. Les membres qui se connectent avec Google, Apple ou l’authentification unique suivent les réglages de deux étapes de ce fournisseur, et les organisations avec SSO l’imposent au niveau de leur fournisseur d’identité.
- Modifier votre mode de connexion redemande votre mot de passe et votre deuxième étape, et chaque changement est consigné dans l’historique de sécurité de votre compte.
5. Organisations, rôles et SSO
In short: Cinq rôles définissent qui peut faire quoi. Enterprise ajoute l’authentification unique SAML et OIDC et un journal d’audit.
- Les organisations ont cinq rôles : Propriétaire, Admin, Facturation, Membre et Lecteur.
- Les organisations Enterprise peuvent imposer l’authentification unique avec n’importe quel fournisseur d’identité SAML 2.0 ou OIDC pour leur domaine vérifié. Les autres modes de connexion sont alors refusés pour ce domaine.
- Les organisations Enterprise disposent d’un journal d’audit des actions de l’organisation, exportable.
Voir Enterprise pour plus de détails.
6. Séparation des clients
In short: Les données de chaque compte et de chaque organisation sont séparées de celles de tous les autres.
Chaque donnée appartient à un compte ou à une organisation, et chaque requête est vérifiée auprès de ce propriétaire avant que quoi que ce soit ne soit renvoyé.
Chaque NOLGIA Agent tourne dans son propre espace, séparé des agents des autres clients.
7. Vos contenus et les modèles d’IA
In short: Nous n’entraînons pas de modèles d’IA sur vos contenus.
Nous n’entraînons pas de modèles d’IA sur vos contenus. Certains fournisseurs se réservent le droit, selon leurs propres conditions, d’utiliser les données qu’ils reçoivent pour améliorer leurs modèles. Nous refusons cette utilisation lorsqu’un fournisseur le permet, et notre page Sous-traitants signale ces fournisseurs.
Les fournisseurs de modèles ne reçoivent que ce qui est nécessaire pour les modèles que vous utilisez, et seulement quand vous les utilisez.
8. Suppression de vos données
In short: Supprimez votre compte dans les Paramètres. Vos données sont effacées sous 30 jours, y compris des sauvegardes et des journaux.
Vous pouvez supprimer vous-même des éléments, des chats et votre compte entier. Quand vous supprimez votre compte, il reste verrouillé pendant 7 jours au cas où vous changeriez d’avis, puis nous supprimons définitivement votre Bibliothèque, vos personnages, vos projets, vos chats et votre espace NOLGIA Agent, vos identifiants de connexion, vos jetons et vos clés. Les données supprimées disparaissent de nos sauvegardes et de nos journaux sous 30 jours après votre demande. Nous ne conservons que les enregistrements anonymisés nécessaires à la fiscalité et à la comptabilité. La Politique de confidentialité détaille le calendrier complet.
9. Sous-traitants et DPA
In short: Nous publions la liste de toutes les entreprises qui traitent des données clients, ainsi qu’un avenant standard relatif au traitement des données.
Notre page Sous-traitants liste chaque entreprise qui traite des données clients pour nous, ce que chacune reçoit et où. Nous y annonçons tout nouveau sous-traitant principal au moins 15 jours avant qu’il commence.
Notre avenant relatif au traitement des données couvre les données personnelles que nous traitons pour nos clients professionnels, y compris la notification des violations et les clauses contractuelles types pour les transferts internationaux.
10. Conformité
In short: Nous préparons les certifications SOC 2 Type II et ISO 27001.
Nous préparons les certifications SOC 2 Type II et ISO 27001. Demandez-nous nos réponses aux questionnaires de sécurité à contact@nolgia.ai.
11. Signaler une vulnérabilité
In short: Vous avez trouvé un problème de sécurité ? Écrivez à security@nolgia.ai.
Écrivez à security@nolgia.ai en décrivant le problème, les étapes pour le reproduire et ce qu’un attaquant pourrait en faire. Nous confirmerons la réception de votre signalement et vous tiendrons informé pendant la correction.
- Testez uniquement avec des comptes qui vous appartiennent, et n’accédez jamais aux données d’autrui, ne les modifiez pas et ne les supprimez pas.
- N’effectuez pas de tests qui ralentissent ou interrompent le service, et n’utilisez ni hameçonnage ni autre technique d’ingénierie sociale.
- Laissez-nous un délai raisonnable pour corriger le problème avant de le rendre public.
Notre fichier security.txt indique le même contact. Si une violation touche vos données personnelles, nous vous en informons, ainsi que les autorités, comme la loi l’exige.