PathlyAuditer mon site

Sécurité et RGPD

Sécurité et RGPD : ce que Pathly fait de vos données

Avant de confier les sites de vos clients à un outil, vous voulez savoir où vont les données, qui les traite et comment elles sont protégées. Voici les réponses, avec les documents qui les engagent.

Mise à jour : 30 octobre 2026

Où sont vos données

  • L’application, l’API, les sondes, la base de données et les captures d’écran sont hébergées chez Google Cloud, dans la région europe-west1 (Belgique, Union européenne).
  • Les sondes partent d’un seul point de mesure, eu-west. Il n’existe pas d’autre région opérationnelle aujourd’hui.
  • Les sauvegardes de la base restent dans la même région.
  • Le trafic public passe par Cloudflare (DNS, CDN, pare-feu). Cloudflare est une société américaine : le transfert repose sur le Data Privacy Framework UE–États-Unis, complété par les clauses contractuelles types.

Qui traite vos données

  • Pour les données de votre organisation, vous êtes responsable du traitement. Elerine, qui édite Pathly en Espagne, agit en sous-traitant, sur vos instructions.
  • Sous-traitants ultérieurs : Google Cloud (Irlande, région europe-west1) pour l’hébergement et l’explication d’échec par IA, Cloudflare (États-Unis) pour le réseau et l’anti-robot de la connexion, Mollie (Pays-Bas) pour le paiement, Brevo (France) pour les e-mails, Google Workspace (Irlande) pour les boîtes e-mail et le support, Discord (États-Unis) pour des notifications internes qui citent le nom de l’espace et son offre, Invopop (Espagne) pour les factures, dès son activation.
  • Pour un fournisseur établi hors de l’Union européenne, le transfert est encadré par une décision d’adéquation, dont le Data Privacy Framework, ou par les clauses contractuelles types de la Commission européenne.
  • Nous n’ajoutons pas de sous-traitant sans vous en informer.

Accord de sous-traitance (DPA)

  • L’accord de sous-traitance prévu par l’article 28 du RGPD est publié en ligne dans les quatre langues du site. Il complète les conditions d’utilisation.
  • Si une violation de données touche votre organisation, nous vous prévenons sans délai injustifié, et au plus tard 48 heures après l’avoir découverte.
  • Une instruction, une demande d’audit raisonnable ou une demande de suppression : privacy@pathlyhq.com.

Chiffrement

  • En transit : HTTPS partout, avec HSTS. La base de données n’a pas d’adresse publique et n’accepte que des connexions chiffrées.
  • Au repos : chiffrement par défaut de Google Cloud pour la base, le stockage des captures et les secrets.
  • En plus, dans l’application : les secrets de vos scénarios et de vos webhooks sont chiffrés en AES-256-GCM, les mots de passe hachés avec bcrypt, les jetons de session hachés.

Captures d’écran et conservation

  • Les captures et les vidéos d’échec sont rangées dans un stockage privé. Seule l’API les lit, pour les membres de votre espace. Le lien d’une alerte e-mail est signé et valable 7 jours.
  • Les exécutions, leurs captures et leurs vidéos sont effacées par une purge quotidienne, une fois passée la rétention de votre offre : 7 jours sur Solo, 30 jours sur Freelance, 90 jours sur Pro et Business.
  • Pour un Flow, nous recommandons un compte de test plutôt qu’un vrai compte client.

Sauvegardes

  • La base est sauvegardée chaque jour, et chaque sauvegarde est gardée 7 jours.
  • Elle peut aussi être restaurée à un instant précis des 7 derniers jours.
  • La base de production est protégée contre la suppression.

Comptes et accès

  • Double authentification (TOTP) avec codes de secours, disponible pour chaque compte.
  • Vos sessions ouvertes se voient et se ferment depuis la console.
  • La connexion est protégée par une limite de tentatives et une vérification anti-robot (Cloudflare Turnstile).
  • Côté Pathly, la console interne est derrière Cloudflare Access, et chaque accès d’un administrateur à un espace client est tracé.

Intelligence artificielle

  • L’explication d’un échec par IA est optionnelle. Elle ne part que sur votre demande, jamais automatiquement.
  • Elle passe par Google Cloud Vertex AI, dans la région europe-west1. La région d’analyse est verrouillée sur l’Union européenne.
  • Seuls des faits textuels sont envoyés, valeurs sensibles masquées. Jamais de capture, de vidéo ni de contenu de page.
  • Google s’engage par contrat à ne pas utiliser ces contenus pour entraîner ses modèles.

Vos droits

  • Depuis la console, un administrateur exporte les données de l’espace en JSON, et chacun exporte ses propres données. La suppression du compte ou de l’espace se fait au même endroit.
  • Toute autre demande : privacy@pathlyhq.com. Réponse sous un mois.
  • Autorité de contrôle : l’AEPD (Agencia Española de Protección de Datos), Elerine étant établie en Espagne.

Avant chaque mise en production

  • Chaque changement passe par une demande de fusion et une intégration continue : tests, recherche de secrets (gitleaks), analyse statique (Semgrep), audit des dépendances, contrôle de l’infrastructure (Trivy).
  • Une nouvelle version ne reçoit tout le trafic qu’après une étape à 10 %, sous le seuil d’erreurs, et un test de fumée vert. Sinon, retour à la version d’avant.

État du service

  • La page de statut de Pathly montre en direct l’état de l’API, de la base de données et des sondes.

Signaler une faille

Pathly n’a pas de certification de sécurité à ce jour. Cette page décrit les mesures en place, que vous pouvez rapprocher de nos documents publics : politique de confidentialité, DPA et mentions légales.