Vos e-mails restent à vous

Hébergement

Un serveur par client, jamais partagé : Hetzner en Allemagne ou en Finlande, ou Azure aux Pays-Bas. Les disques sont chiffrés, les serveurs ne peuvent pas communiquer entre eux, et deux pare-feu ne laissent entrer que notre plan de contrôle.

Connexion

Le tableau de bord exige une connexion Google ou Microsoft plus un code d’authentification ou une clé d’accès. Notre passerelle de connexion communique avec votre serveur via TLS, vérifié par rapport à notre propre autorité de certification.

Accès aux e-mails

Les jetons OAuth pour Google, Microsoft et Zoom ne se trouvent que sur votre serveur, chiffrés. Le plan de contrôle transmet un rafraîchissement et ne conserve rien. Gmail et Agenda sont en lecture seule ; l’envoi est une autorisation distincte. Outlook demande la lecture et l’écriture des e-mails (pour mettre les fils en attente) et l’envoi. Zoom est en lecture seule : résumés et transcriptions de réunions.

Chiffrement des messages

Le texte des messages, les pièces jointes qui en sont enregistrées et les identifiants enregistrés pour la prochaine fois sont scellés au repos. La clé reste en mémoire, jamais sur disque ni dans les sauvegardes, et est supprimée avec votre compte. Activé par défaut, en hébergé comme en auto-hébergé. Si vous la faites tourner vous-même, un réglage permet de le désactiver.

Clés

Les clés de serveur que nous détenons sont chiffrées en AES-256-GCM. Les clés de modèle que vous saisissez sont supprimées de notre côté dès que votre serveur les a. Vos requêtes au modèle vont directement de votre serveur au fournisseur.

Connexion d’entreprise

Une Fleet Travail peut se proposer aux personnes qui se connectent avec un compte Google Workspace ou Microsoft 365 de son domaine. Les comptes personnels ne comptent jamais, et un administrateur approuve chaque personne. Retirer quelqu’un le déconnecte partout.

Le Network

Les Machines chiffrent de bout en bout ce qu’elles se disent. Le relais refuse tout ce qui n’est pas scellé et ne le conserve que jusqu’à la livraison.

Ce que le personnel peut voir

L’état du serveur, les versions et l’espace disque, les journaux d’erreurs expurgés des textes, adresses et numéros, et les diagnostics que vous choisissez d’envoyer. Pas le contenu des messages, les mots de passe, les codes de connexion ni les messages du Network.

Départ d’un membre

Retirez quelqu’un d’une Fleet Travail et sa Machine supprime les données et les connexions de l’entreprise. Elle n’affiche « Retiré, confirmé » qu’une fois que sa Machine et Google l’ont confirmé. Le journal d’activité de la Fleet s’exporte en CSV.

Injection de prompt

Un e-mail ou une page web peut cacher des instructions destinées à l’IA. Les revues ne peuvent que lire, et elle traite ce qu’elle lit comme des éléments, pas comme des ordres. Aucune défense d’IA n’est parfaite.

Faire

Pour une tâche que vous approuvez, elle agit en votre nom avec vos comptes et son navigateur connecté. Cela peut inclure payer, supprimer ou signer si la tâche le demande. Elle ne peut pas lire vos mots de passe enregistrés.

Plus de détails dans notre politique de sécurité.