Confiance et sécurité chez LicensePulse

LicensePulse aide les équipes informatiques et d'ingénierie à comprendre leur usage de licences logicielles. Cela signifie que nous recevons des données opérationnelles sensibles : journaux de licences, nombre de sièges, détails contractuels. Cette page résume comment nous protégeons vos données.

Dernière mise à jour : 28 octobre 2026

1. Quelles données nous recevons

Nous ne recevons pas votre code source, vos modèles d'ingénierie, vos fichiers projet, ni rien au-delà de ce que votre démon de licences émet.

2. Où vivent les données

• L'application s'exécute sur Render.com (centre de données aux États-Unis, région Oregon). Aucun hébergement hors des États-Unis, ni version auto-hébergée, n'est proposé aujourd'hui.
• La base de données est PostgreSQL, hébergée par Render dans une seule région (sans réplica de haute disponibilité), chiffrée au repos par Render.
• Les documents contractuels téléversés sont stockés en blobs binaires dans la même instance Postgres.
• Fonctions IA (uniquement si elles sont utilisées) : Smart Upload envoie les noms de colonnes et les 30 premières lignes d'un fichier importé, et l'assistant envoie les chiffres de synthèse de votre portefeuille, à Anthropic (modèle Claude). Selon les conditions commerciales d'Anthropic, ces données ne servent pas à l'entraînement ; Anthropic peut les conserver pour une durée limitée selon ses propres règles. Il n'existe pas encore d'interrupteur par organisation ; si vous voulez ces fonctions désactivées, nous en convenons par écrit.
• Emails : les emails de connexion, d'invitation, d'alerte et de formulaire de contact passent par Resend (États-Unis).
• Pas d'analytics tiers ni de réseau publicitaire. Nos pages web chargent des polices depuis Google Fonts.

3. Chiffrement

• En transit : HTTPS uniquement sur chaque point d'accès (https://app.licensepulse.app, https://licensepulse.app, entre l'agent et l'API), HTTP redirigé et HSTS activé ; TLS 1.2 et 1.3 sont proposés.
• Au repos : chiffrement du volume Postgres par Render, avec des clés gérées par le fournisseur (déclaration de Render). Les jetons OAuth sont en plus chiffrés au niveau applicatif. Les secrets MFA et les contrats importés ne sont pas chiffrés en plus au niveau applicatif.
• Les clés API de l'agent on-premise sont stockées sous forme de hash SHA-256 : même nous ne pouvons pas retrouver la valeur en clair.
• Les mots de passe sont hashés avec bcrypt.

4. Contrôles d'accès

• Authentification : email et mot de passe (12 caractères minimum), jetons de session JWT, MFA TOTP facultative par utilisateur. Pas de SSO (SAML/OIDC). Un Propriétaire peut imposer la MFA à toute l'organisation via l'API ; l'application n'a pas encore de réglage pour cela.
• Autorisation : contrôle par rôles (Propriétaire, Admin, Lecteur). Les clients partagent une base de données ; chaque route d'API rattachée à une organisation vérifie l'appartenance et que les objets demandés appartiennent à cette organisation, avec des tests automatisés de l'accès inter-clients.
• Accès interne : l'accès à la production est réservé aux fondateurs. Les administrateurs de la plateforme peuvent consulter les organisations clientes pour le support ; cet accès n'est pas encore entièrement journalisé.
• Journal d'audit : connexions, changements MFA, création et révocation des clés API, suppression de produits et changements d'administration ; exportable. Toutes les modifications de données ne sont pas encore journalisées.
• Les clés API sont limitées à une seule organisation, peuvent être révoquées instantanément, et ne sont jamais affichées deux fois (uniquement à la création).

5. Sous-traitants

Nous utilisons un nombre limité de fournisseurs. La liste complète, avec localisations et finalités, est disponible à https://licensepulse.app/legal/subprocessors.html. Résumé :

• Render (USA) : hébergement et Postgres
• Anthropic (USA) : classification Smart Upload et assistant IA, uniquement s'ils sont utilisés
• Resend (USA) : emails transactionnels
• Cloudflare : DNS, routage des emails, réseau de bordure
• Stripe (USA) : paiements par carte, le cas échéant (nous ne voyons jamais les numéros de carte)
• Slack / Microsoft / Google / Atlassian / Salesforce / GitHub : uniquement quand vous les connectez via OAuth (désactivé par défaut)

6. Réponse aux incidents

• Les incidents sont traités directement par les fondateurs. Une procédure écrite de réponse aux incidents, avec rôles et niveaux de gravité, existe à l'état de projet et attend l'approbation des fondateurs.
• Les clients affectés sont notifiés dans les 72 heures suivant la confirmation de la découverte (aligné RGPD, plus rapide que CCPA).
• Canal : email au contact principal.
• Une analyse post-mortem avec cause racine et plan de remédiation est partagée sous 14 jours.

Pour signaler une vulnérabilité : security@licensepulse.app. Nous n'avons pas de programme de bug bounty rémunéré ; nous visons une réponse sous 5 jours ouvrés.

7. Sauvegardes et reprise après sinistre

• Chaque nuit, nous sauvegardons la base de production vers un stockage objet externe, chez un fournisseur distinct qui chiffre les copies au repos. Chaque exécution vérifie la sauvegarde avant l'envoi et contrôle sa taille une fois stockée.
• Notre hébergeur (Render) propose aussi la restauration de la base à un instant donné.
• Le 18 octobre 2026, nous avons restauré une sauvegarde externe et une restauration à un instant donné dans des bases isolées, et chaque table correspondait à la production.
• Nous ne chiffrons pas encore nous-mêmes les sauvegardes avant leur envoi. Cette étape est développée et testée, mais pas encore activée en production.
• Nous ne publions ni RTO ni RPO.
• Nous ne considérons une sauvegarde comme fiable qu'après en avoir restauré les données, et nous ne revendiquons pas un historique de tests que nous n'avons pas.

8. Posture de conformité

9. Vos droits et comment nous joindre

• Demandes des personnes concernées (Articles 15 à 22 RGPD, équivalent CCPA) : privacy@licensepulse.app
• Divulgations de sécurité : security@licensepulse.app
• Notifications légales : legal@licensepulse.app
• Demandes générales : support@licensepulse.app

10. Modifications de cette page

Lorsque la pratique sous-jacente change, nous mettons à jour cette page et la date de « Dernière mise à jour ». Les changements matériels sont également annoncés par email.

Meridian Vertex LLC, doing business as LicensePulse 817 S MacArthur Blvd, Ste 115 #1040, Coppell, TX 75019, USA https://licensepulse.app