La confiance, écrite noir sur blanc.
Elido est hébergé dans l’UE par défaut, respectueux du RGPD et conçu avec des pistes d’audit intégrées. Ci-dessous, nous distinguons ce qui est en place aujourd’hui de ce qui est prévu ou en cours, et nous l’indiquons pour chaque point.
- Région UEEUEU-residency · par défaut
Là où se trouvent aujourd’hui la base de données principale, le stockage analytique et les sauvegardes, pour tous les espaces de travail.
- US EstUSPrévu
Prévu. Non implémenté : les espaces de travail ne peuvent pas être affectés ici aujourd’hui.
- Asie-PacifiqueAPACPrévu
Prévu. Non implémenté : les espaces de travail ne peuvent pas être affectés ici aujourd’hui.
Ce que « confiance » signifie côté produit
Ce que nous entendons par confiance
Chaque pilier correspond à un élément concret du produit, du DPA ou du journal d’audit.
EU-residency, par défaut
La base de données, l’analytique et les sauvegardes sont hébergées dans l’UE. Les nœuds de redirection aux États-Unis (Ashburn) et à Singapour traitent les requêtes des visiteurs. L’affectation d’un espace de travail à US East ou à l’Asie-Pacifique n’est pas encore disponible.
Piste d'audit sur tout
Paramètres d'espace de travail, changements de rôles, rotations de clés, créations de liens, suppressions, exports. Chaque événement a un qui, quand et quoi - exportable.
Lecture seule par défaut pour l'AI
Les intégrations AI reçoivent des clés limitées et rotatives. L'accès en écriture/suppression est un paramètre d'espace de travail explicite et audité - pas un défaut.
Clés gérées par le client (prévu)
Le chiffrement avec vos propres clés n’est pas encore disponible. Les sauvegardes de la base de données sont chiffrées avant de quitter nos serveurs.
Pipeline anti-abus
Chaque lien passe par un scanner composite (URLhaus + Google Safe Browsing + heuristique) à la création et lors d'un scan récurrent.
Transparence des sous-traitants
Liste complète, localisation et finalité. Nous nous engageons à un préavis de 30 jours pour tout ajout.
Journal d’audit en append-only
Chaque changement d’état est enregistré.
L’application ne fait qu’ajouter des entrées à la table d’audit (il n’existe aucun chemin de modification) et chaque entrée est chaînée par hachage à la précédente, de sorte que toute altération est détectable grâce à un point de terminaison de vérification réservé aux administrateurs. Cela relève de l’application, et non d’une restriction de droits de la base de données. Les entrées plus anciennes que la fenêtre de conservation sont purgées quotidiennement : 730 jours par défaut, configurable par espace de travail à partir de 30 jours (par exemple 6 ans pour les espaces de travail HIPAA).
- Identité de l’acteurID utilisateur ou service principal, plus l’IP source et le request ID
- Diff avant/aprèsDiff JSON structuré de la ligne modifiée - pas une simple ligne de log textuelle
- Firehose SIEMWebhook signé HMAC vers Splunk / Datadog / ELK en temps réel
- InviolableEntrées chaînées par hachage avec un point de terminaison de vérification de la chaîne
{ "domain": "go.acme.eu",- "status": "pending_dns",+ "status": "verified",- "tls_mode": "none",+ "tls_mode": "on_demand",+ "verified_at": "2026-05-08T11:42:18Z", "workspace_id": "ws_8a2f" }Demandes des personnes concernées
Droits des personnes concernées via API.
Envoyez les demandes d’accès et d’effacement à [email protected] ; notre équipe consigne chacune d’elles et suit le délai de 30 jours. Il n’existe pas encore de service en libre-service ni d’API publique pour les demandes des personnes concernées. Un dossier d’accès est une archive zip de fichiers CSV : enregistrement du compte, appartenances aux espaces de travail, espaces de travail possédés, liens, entrées du journal d’audit dont la personne est l’acteur, et sessions. L’effacement anonymise actuellement l’e-mail et le nom du compte et met fin aux sessions ; les événements de clic (qui incluent les adresses IP des visiteurs) ne sont pas encore exportés ni effacés automatiquement. Il n’existe pas de traitement accéléré.
- Étape 1
Demande de la personne
Utilisateur final → responsable (vous)La personne vous contacte. Vous l’authentifiez dans votre propre produit, pas dans Elido.
- Étape 2
Demande consignée
Envoyez la demande par e-mail avec l’adresse du compte et le type de demande (export / effacement) ; notre équipe la consigne et vérifie l’identité.
- Étape 3
Bundle de l’espace
zip · CSVCompte, appartenances, espaces de travail possédés, liens, entrées du journal d’audit dont la personne est l’acteur, sessions. Les événements de clic ne sont pas encore inclus.
- Étape 4
SLA
30 joursDélai d’un mois du RGPD, suivi pour chaque demande et sur chaque offre.
Treize sous-traitants, listés publiquement
Treize prestataires. Listés publiquement.
La liste complète, avec la localisation du fournisseur, la finalité du traitement, les catégories de données et l’URL de référence du DPA, est sur /legal/subprocessors. Ajouter ou remplacer un sous-traitant déclenche un préavis de 30 jours pour chaque admin d’espace via bandeau in-app et email, avant le début du traitement, pour que les clients puissent s’y opposer.
- Compute & hébergementISO 27001Infrastructure app + edge principaleEU · Allemagne + Finlande
- Compute edgeISO 27001 · SOC 2Nœuds de redirection (reçoivent les adresses IP des visiteurs)États-Unis (Ashburn) + Singapour
- Livraison d'e-mailEmail transactionnelUE + États-Unis
- PaiementsPaiements par carte (Paddle hors d’Ukraine, monobank en Ukraine)Royaume-Uni / UE / UA
- CDN + WAFISO 27001 · SOC 2DNS, proxy et CAPTCHA ; les prestataires de chat en direct, d’IA, de SSO et de réputation d’URL figurent dans la liste complèteGlobal · routage EU
Posture de conformité
Où nous en sommes sur les référentiels demandés par les clients.
Chaque ligne indique ce qui est en place aujourd’hui et ce qui est encore en cours.
ISO 27001
Non certifié. Nous travaillons à la certification ISO 27001 ; aucun certificat n’a été délivré et aucune date d’audit n’est publique.
SOC 2 Type II
Préparation de l’audit en cours ; la période d’observation est prévue de fin 2026 à 2027. Aucun rapport SOC 2 n’a encore été émis.
GDPR
DPA avec clauses contractuelles types standard disponible sur demande, liste publique des sous-traitants. Tous les flux de données ne restent pas dans l’UE : voir la politique de confidentialité.
HIPAA-ready
BAA disponible à partir de l’offre Business ; journalisation d’audit et contrôles d’accès en place. Les conditions juridiques sont fixées dans le BAA lui-même.
EU residency
La base de données principale, l’analytique et les sauvegardes sont dans l’UE. Les nœuds de redirection aux États-Unis et à Singapour traitent les requêtes des visiteurs : des transferts hors de l’UE ont donc bien lieu.
Encryption
TLS en transit ; sauvegardes externes chiffrées. Le BYOK n’est pas encore disponible.
FAQ conformité
Les questions que les achats nous renvoient sans cesse.
Signez-vous un DPA ?
Oui. Notre DPA standard inclut les clauses contractuelles types de l’UE. Il n’est pas encore téléchargeable ni accepté lors du paiement : demandez un exemplaire signé à [email protected]. Des modifications personnalisées sont possibles avec Business et Enterprise.
Combien de sous-traitants utilisez-vous ?
Treize, tous ne sont pas basés dans l’UE : hébergement (UE et États-Unis), edge de redirection (États-Unis, Singapour), sauvegardes, e-mail transactionnel, paiements (Paddle, monobank, Coinbase en option), chat en direct, IA, SSO, CAPTCHA/DNS, réputation d’URL et un jeu de données de géolocalisation hors ligne. La liste nominative complète avec localisation et finalité se trouve sur /legal/subprocessors.
Le pinning de région est-il disponible sur tous les plans ?
Pas encore. Tous les espaces de travail sont servis par la même infrastructure (principale dans l’UE, nœuds de redirection également aux États-Unis et à Singapour). L’affectation d’un espace de travail à US East ou à l’Asie-Pacifique est prévue, non implémentée, et n’est proposée sur aucune offre aujourd’hui.
Quel est le délai DSAR ?
30 jours sur toutes les offres (un mois selon le RGPD). Les demandes sont envoyées à [email protected] et traitées par notre équipe ; il n’existe pas de traitement accéléré ni d’API publique pour les demandes. Les dossiers d’accès sont des archives zip de fichiers CSV ; les événements de clic ne sont pas encore inclus.
Comment fonctionnent les BAA pour HIPAA ?
BAA uniquement à partir de l’offre Business. La journalisation d’audit et les contrôles d’accès sont identiques à ceux de l’offre par défaut. Écrivez à [email protected] pour démarrer.
Y a-t-il une option self-host ?
Un chart Helm pour Kubernetes existe dans le dépôt. Les conditions de licence et le modèle d’auto-hébergement pris en charge sont fixés par contrat ; contactez [email protected] avant de vous appuyer sur l’auto-hébergement.
Comment notifiez-vous les changements de sous-traitants ?
L’ajout ou le remplacement d’un sous-traitant déclenche un préavis de 30 jours par bannière dans l’application et par e-mail à chaque administrateur d’espace de travail. Les clients peuvent s’y opposer avant le début du traitement. Les changements sont reflétés sur /legal/subprocessors.
Où publiez-vous les incidents et l’uptime ?
État en direct, incidents récents et post-mortems complets sur /status. Les violations de données personnelles sont notifiées aux clients concernés conformément au RGPD et au DPA.
Où regarder ensuite
Commencez ici si vous nous évaluez dans le cadre d’une décision d’achat.
Avec qui nous partageons des données, leur localisation et pourquoi.
Signez avant de traiter des données personnelles EU.
Ce que nous collectons (y compris les adresses IP des visiteurs), où cela est stocké, durée de conservation.
Architecture et pratiques de sécurité.
Uptime en direct, incidents récents, post-mortems.
Contact
Une question de sécurité ?
[email protected] pour les signalements de vulnérabilités (PGP disponible). [email protected] pour SOC 2 / ISO / DPA. Nous nous efforçons de répondre sous un jour ouvré.
Sécurité
Signalements de vulnérabilités, security.txt, clé PGP sur demande. Nous nous efforçons de répondre sous un jour ouvré.
[email protected]Conformité
Demandes SOC 2 / ISO, contre-signature de DPA, notifications de sous-traitants, processus BAA pour HIPAA.
[email protected]Sales
Achats enterprise, questionnaires de sécurité et demandes de conditions sur mesure.
[email protected]Prêts quand les achats le sont.
DPA sur demande, liste publique des sous-traitants, journal d’audit sur chaque offre. Démarrez gratuitement ou contactez l’équipe commerciale pour un questionnaire de sécurité.