Sécurité & garanties opérationnelles

1. Contrôle des accès et protection des données

FACBOX utilise des connexions HTTPS, des mots de passe stockés sous forme d'empreintes sécurisées et des sessions d'authentification protégées. Les opérations sensibles sont soumises à des contrôles d'accès et à des vérifications côté serveur.

Les droits applicatifs déterminent les documents et fonctions accessibles. Selon la configuration de l'organisation, les données peuvent être personnelles ou partagées avec les utilisateurs autorisés d'une entreprise. Les profils commerciaux disposent de restrictions supplémentaires sur leur périmètre métier.

Authentification multifacteur (MFA)

L'authentification FACBOX repose actuellement sur les comptes et sessions sécurisées. Aucune fonction MFA/TOTP ou WebAuthn n'a été identifiée dans le code applicatif vérifié ; elle ne doit donc pas être présentée comme disponible. Son éventuelle mise en place n'est pas assortie d'une date de livraison annoncée.

Ces mécanismes constituent des mesures de protection ; ils ne signifient pas qu'un logiciel puisse être déclaré exempt de toute vulnérabilité. La politique de confidentialité décrit les données traitées et les rôles des parties.

2. Hébergement et infrastructure

FACBOX est exploité sur une infrastructure hébergée chez IONOS. L'organisation technique vise à limiter les accès non autorisés et à séparer l'application et ses données des espaces non concernés.

Localisation des sauvegardes : les serveurs de sauvegarde sont distincts de ceux de production. Leur région ou centre de données IONOS exact n'est pas publiquement confirmé à ce stade ; aucune garantie de localisation régionale précise n'est revendiquée.

Chiffrement : HTTPS protège les échanges avec l'application. Le chiffrement au repos des bases de données et celui des archives de sauvegarde sont deux contrôles distincts : leur activation effective, leurs algorithmes et la gestion des clés restent à vérifier. Aucun chiffrement au repos global n'est présenté comme confirmé.

Certaines fonctionnalités, notamment les emails, la cartographie, les notifications et les échanges avec des services externes, peuvent solliciter des prestataires ou serveurs tiers. L'hébergement en France ne constitue pas à lui seul une garantie d'absence de transfert de données hors de France.

3. Sauvegardes et récupération des données

Les données FACBOX font l'objet de sauvegardes quotidiennes sur des serveurs distincts de ceux utilisés pour le service. Cette organisation vise à réduire les conséquences d'une perte de données sur le serveur principal.

Rétention : la durée exacte de conservation, la rotation et l'éventuelle immutabilité des sauvegardes ne sont pas documentées publiquement ; aucune durée contractuelle n'est garantie pour l'instant.

Tests de restauration : aucun procès-verbal ou résultat de test de restauration complet et daté n'a été vérifié pour cette publication. Il serait incorrect d'affirmer qu'une restauration a déjà été testée avec succès.

Continuité et reprise (PCA/PRA) : une sauvegarde n'équivaut pas à une continuité de service instantanée. Le délai maximal de rétablissement (RTO) et la perte maximale de données admissible (RPO) ne sont pas définis contractuellement pour l'offre standard. La fréquence de sauvegarde quotidienne ne suffit pas à établir un RPO garanti de 24 heures.

Les conditions de restitution et les délais applicables sont précisés à l'article 7 des CGV. Le client doit conserver, lorsque son activité l'exige, les copies et exports nécessaires à ses propres obligations.

4. Gestion des violations de données personnelles

Un signalement peut être adressé à help@swat.fr. Lorsqu'une violation est portée à la connaissance de SWAT, son traitement doit comporter une analyse du périmètre et des risques, des mesures de confinement et de remédiation, ainsi qu'une documentation des faits et décisions.

Lorsque SWAT est sous-traitant pour les données métier d'un client, le RGPD impose de notifier au responsable de traitement la violation dans les meilleurs délais après en avoir pris connaissance. Aucun délai contractuel chiffré plus court, tel que « 24 heures », n'est actuellement annoncé pour l'offre standard.

Lorsque SWAT est responsable de traitement, elle doit, si la violation est susceptible d'entraîner un risque pour les droits et libertés, la notifier à la CNIL dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance. Si le risque est élevé, les personnes concernées doivent également être informées dans les meilleurs délais, sauf exception légale.

Les violations doivent être documentées en interne, y compris lorsqu'une notification à la CNIL n'est pas nécessaire. Le présent document décrit les obligations et principes applicables : il ne constitue pas la preuve d'une procédure interne formalisée, testée ou auditée. Référence : CNIL — violations de données personnelles.

5. Gouvernance des agents IA et accès MCP

FACBOX peut être relié à des assistants externes utilisant le Model Context Protocol (MCP). Un agent connecté n'est pas nécessairement limité à de simples consultations : selon les outils exposés et les autorisations de sa connexion, il peut aussi demander des opérations d'écriture.

Périmètre des outils

Attention : le périmètre exact dépend du serveur MCP et des permissions qui lui sont accordées. Les droits des utilisateurs de l'interface web FACBOX ne constituent pas à eux seuls une preuve que tous les outils MCP appliquent les mêmes restrictions métier par utilisateur, rôle ou entreprise.

Droits, révocation et arrêt de l'IA

Les connexions MCP utilisent des autorisations techniques qui peuvent être révoquées depuis l'interface d'administration. En revanche, un réglage général « Désactiver l'IA pour cette entreprise », un choix lecture seule/écriture par rôle et une matrice publique détaillée de permissions MCP ne sont pas encore disponibles comme garanties contractuelles sur FACBOX.

Journal des actions et confirmations

Traçabilité actuellement disponible : l'administration MCP permet de consulter les connexions OAuth, certaines métadonnées d'activité et des compteurs cumulés d'appels par outil. Ces éléments ne constituent pas un journal d'audit individuel des écritures IA.

FACBOX ne propose pas actuellement de registre métier consultable par le client retraçant systématiquement, pour chaque écriture déclenchée par un agent, son identité, le document ciblé, les valeurs avant/après et l'horodatage. La création ou la modification de l'application à l'aide d'outils IA ne constitue pas une traçabilité des actions des agents en production.

Certaines actions sensibles sont protégées par des contrôles spécifiques, mais FACBOX ne promet pas encore une confirmation humaine obligatoire et uniforme pour toutes les suppressions, modifications ou communications déclenchées via MCP. Les accès à des agents doivent donc être accordés avec prudence et révoqués lorsqu'ils ne sont plus nécessaires.

6. Données transmises aux fournisseurs d'IA

Lorsqu'un utilisateur demande à un assistant de consulter une donnée FACBOX via MCP, la réponse de l'outil peut être incorporée au contexte transmis ou traité par l'assistant. Suivant la demande et l'outil, il peut s'agir de noms, coordonnées professionnelles, contenus et montants de documents, informations de gestion ou métadonnées techniques. Les données envoyées dépendent de la conversation, des outils utilisés et de la configuration du service d'IA.

Fournisseurs potentiels : OpenAI (ChatGPT), Anthropic (Claude), Mistral AI ou tout autre client compatible MCP choisi par l'utilisateur. Leur présence dans cette liste ne signifie pas que FACBOX leur transmet systématiquement des données, ni qu'ils sont tous intégrés à un traitement automatique centralisé.

Lieu de traitement : l'hébergement FACBOX chez IONOS ne garantit pas que les données consultées via un assistant soient traitées uniquement dans l'Union européenne. La localisation, la conservation et les sous-traitants sont fonction du fournisseur, de son produit, du contrat et des options réellement activées. Aucun engagement général d'hébergement ou de traitement exclusivement européen n'est revendiqué pour tous les usages MCP.

Entraînement des modèles : les fournisseurs peuvent prévoir des garanties particulières pour leurs offres professionnelles ou API. SWAT ne peut pas promettre indistinctement « aucun entraînement sur les données clients » pour n'importe quel compte personnel et n'importe quel assistant connecté. Avant de connecter des données sensibles, il faut vérifier les conditions et paramètres de l'offre IA choisie.

Pour connaître les engagements respectifs des principaux fournisseurs, consultez leurs documents officiels : OpenAI (API), Anthropic (offres commerciales) et Mistral (API). Ces politiques sont celles de leurs auteurs, peuvent évoluer et ne remplacent pas l'examen de la configuration de chaque compte.

7. Maintenance, surveillance et traitement des incidents

SWAT assure la maintenance corrective et les évolutions de FACBOX. Des journaux techniques permettent le diagnostic d'anomalies et de certaines tentatives d'accès abusives. Des interruptions peuvent survenir lors d'une maintenance, d'une mise à jour, d'un incident réseau ou d'une défaillance externe.

En cas de difficulté, le signalement est examiné en fonction de sa gravité, de son incidence et des moyens disponibles. Aucun délai précis de prise en charge ou de résolution n'est garanti dans l'offre standard.

8. Disponibilité, SLA et certifications

Disponibilité du service

SWAT s'engage sur un taux de disponibilité mensuel de 99,0 % du service FACBOX, mesuré par mois civil sur l'accès à l'application, hors maintenances planifiées et exclusions ci-dessous.

Maintenances planifiées : annoncées au moins 48 heures à l'avance par email ou notification, réalisées autant que possible en dehors des heures ouvrées (21 h – 7 h, heure de Paris) et limitées à 4 heures cumulées par mois. Elles ne sont pas décomptées de la disponibilité.

Exclusions : interruptions dues à un cas de force majeure, à la défaillance d'un prestataire tiers (hébergeur, réseau, fournisseurs d'IA), à une mauvaise utilisation ou à une action du client, ainsi que les maintenances planifiées annoncées.

Constat : une indisponibilité correspond à l'inaccessibilité du service constatée côté serveur, signalable à help@swat.fr. En l'absence d'accord particulier écrit, aucun crédit de service automatique n'est prévu ; SWAT met en œuvre les moyens nécessaires au rétablissement dans les meilleurs délais.

Ces engagements n'établissent pas de délai maximum de rétablissement (RTO), de perte maximale de données (RPO) ni de délai d'intervention chiffré. Des conditions particulières peuvent être convenues par écrit. Les CGV précisent les conditions applicables à l'offre standard.

Certifications : FACBOX ne revendique pas de certification ISO/IEC 27001, HDS ou SOC 2 propre au service. À ce jour, aucun audit de certification en cours n'a été établi ou vérifié pour publication. Les éventuelles certifications de l'hébergeur ne constituent pas des certifications de FACBOX ou de SWAT.

9. Support et signalement de sécurité

Pour signaler un incident, une suspicion d'accès non autorisé, un problème de disponibilité ou une vulnérabilité potentielle, contactez directement help@swat.fr.

Merci de préciser l'URL ou la fonction concernée, la date, les symptômes et les étapes de reproduction, sans envoyer de mot de passe, de jeton de connexion ni de données confidentielles inutiles. Les vérifications de sécurité doivent respecter les autorisations et les droits des utilisateurs et des tiers.