Centre de confiance

La sécurité, en toute clarté.

Comment Apollo Negoce protège les contrats, les positions et les contreparties que vous nous confiez. Chaque mesure décrite sur cette page est en place dès aujourd'hui.

Demander les politiquescontact@apollonegoce.com

Architecture alignée sur SOC 2. Politiques en version 1.0, en vigueur depuis le 3 novembre 2026.

Le parcours de vos données

Suivez vos données, étape par étape

De l'équipe qui peut y accéder jusqu'au jour de votre départ : ce qui protège vos données à chaque étape, qui les traite et quelle politique s'applique.

  1. 00Avant que quiconque n'accède à vos données

    Une équipe restreinte, des comptes nominatifs et chaque intervention du support tracée.

    Nominatif
    Chaque accès du support, sous l'identité réelle de la personne
    • Apollo est dirigé par ses trois fondateurs. Chaque compte ne reçoit que les accès nécessaires à son rôle, retirés le jour même où ce rôle n'en a plus besoin.
    • Accès du support limité à une liste nominative de comptes Apollo, chaque accès étant enregistré sous l'identité réelle.
    • Lorsqu'un membre du support agit en tant que l'un de vos utilisateurs, ses droits d'administration sont suspendus.
    • La clé qui contourne les règles d'accès à la base de données n'est utilisée que dans le code serveur. Elle n'atteint jamais un navigateur ni un téléphone.
    • Plusieurs de nos clients sont concurrents. Ce que nous apprenons des prix, des positions ou des contreparties d'un client n'est jamais partagé avec un autre.
    Politiques applicables
  2. 01Vous vous connectez

    Seules les personnes invitées par votre administrateur peuvent accéder à votre organisation.

    1 h
    Durée de vie d'un jeton d'accès
    • Les utilisateurs ne rejoignent une organisation que sur invitation de l'un de ses administrateurs, et chaque adresse e-mail est vérifiée.
    • Les mots de passe comportent au moins 8 caractères, et ceux connus pour figurer dans des fuites de données publiques sont refusés.
    • Mots de passe stockés uniquement sous forme de hachages. Apollo ne peut pas les lire.
    • Second facteur facultatif : un code à 6 chiffres envoyé par e-mail, valable 10 minutes, 5 tentatives.
    • Les jetons d'accès expirent au bout d'une heure. Les jetons de rafraîchissement changent à chaque utilisation.
    • Rôles au sein de chaque organisation : administrateur, trader, opérations, finance, logistique, qualité, lecture seule.
    Prestataires à cette étape
    • SupabaseUE, Irlande
      Base de données, authentification, stockage de fichiers et sauvegardes
    • Resend
      E-mails transactionnels : invitations, confirmations, codes de connexion
    Politiques applicables
  3. 02Vos données sont stockées

    Dans l'Union européenne, chiffrées et cloisonnées de toutes les autres organisations.

    UE
    Hébergé dans l'Union européenne
    3
    Niveaux de cloisonnement entre organisations
    • La base de données, les comptes utilisateurs, les fichiers et les fonctions applicatives sont hébergés en Irlande. Les services en arrière-plan tournent à Paris.
    • Chaque requête est contrôlée par la page, par le serveur, puis par la base de données elle-même, qui a le dernier mot.
    • Sécurité au niveau des lignes sur chaque table contenant des données applicatives, limitée à l'organisation de l'utilisateur.
    • Base de données, sauvegardes et fichiers chiffrés au repos en AES-256.
    • HTTPS uniquement : TLS 1.3 négocié, TLS 1.0 et 1.1 refusés, HSTS sur deux ans.
    • Sauvegardes quotidiennes de la base de données, et copie permanente de toute ligne avant que nous ne la corrigions.
    Prestataires à cette étape
    • SupabaseUE, Irlande
      Base de données, authentification, stockage de fichiers et sauvegardes
    • VercelUE, Dublin
      Hébergement de l'application web et de ses fonctions serveur
    • Fly.ioUE, Paris
      Tâches en arrière-plan et génération de documents

    Chaque prestataire ne reçoit que les données nécessaires à son rôle. Lorsqu'un prestataire propose un choix de région, nous choisissons l'Union européenne.

    Politiques applicables
  4. 03L'IA les lit

    L'IA prépare le travail. Les personnes décident.

    0
    Modèles d'IA que nous entraînons sur vos données
    • L'IA lit et propose. Les modifications qu'elle suggère sur des enregistrements existants attendent la validation d'une personne.
    • Les mises à jour proposées par l'assistant e-mail ne sont appliquées qu'après validation par un utilisateur.
    • Chaque requête d'IA porte sur une seule organisation, issue de la session de l'utilisateur. Les données des autres organisations n'en font jamais partie.
    • Les appels à Anthropic et Groq partent de nos serveurs, et leurs clés n'en sortent jamais.
    • Apollo n'entraîne ni n'affine aucun modèle d'IA sur les données de ses clients.
    • Les tâches automatisées et les agents d'IA ne modifient ni ne suppriment jamais les enregistrements clients existants.
    Prestataires à cette étape
    • AnthropicÉtats-Unis
      Modèles d'IA pour l'assistant, l'assistant e-mail et la lecture de documents
    • Groq
      Transcription des notes vocales
    • Vapi
      Assistant téléphonique facultatif
    Politiques applicables
  5. 04Votre équipe y travaille au quotidien

    Chaque modification est enregistrée, avec son auteur et sa date.

    Journalisé
    Chaque modification, avec son auteur
    • Les modifications de données, les messages sortants et les accès du support sont enregistrés. Les utilisateurs ne peuvent ni modifier ni supprimer ces entrées.
    • Les principaux enregistrements métier conservent un historique des modifications : la valeur avant et après, l'auteur et l'heure.
    • Chaque action des outils de l'assistant est enregistrée, et chaque appel à l'IA est comptabilisé.
    • Le journal d'audit de votre organisation est disponible sur demande.
    • Mots de passe des boîtes mail pour les connexions SMTP chiffrés en AES-256-GCM avant stockage.
    Prestataires à cette étape
    • Resend
      E-mails transactionnels : invitations, confirmations, codes de connexion
    • SmartlookUnion européenne
      Enregistrements de la navigation des utilisateurs connectés dans l'application
    • Microsoft Clarity
      Enregistrements de la navigation des utilisateurs connectés dans l'application
    • ShipsGo
      Suivi des conteneurs et des navires
    • Global Forest Watch
      Contrôles de déforestation pour la conformité EUDR
    • WHISP
      Analyse du risque de déforestation pour la conformité EUDR

    Les intégrations que vous activez vous-même (Google, Microsoft 365, un serveur SMTP) utilisent votre propre autorisation et peuvent être déconnectées à tout moment. La liste complète, avec les données reçues par chaque prestataire, figure dans la politique relative aux sous-traitants.

    Politiques applicables
  6. 05Nous faisons évoluer le produit

    Les modifications sont testées sur des données fictives, jamais sur les vôtres.

    Chaque nuit
    Tests de non-régression sur des organisations fictives
    • Contrôles avant chaque push : vérification des types, tests unitaires incluant les règles d'accès, numérotation des migrations, couverture de la piste d'audit.
    • Toute modification de la base de données est appliquée et vérifiée en production avant le code qui l'utilise.
    • Les modifications destructives de la base de données exigent l'accord d'une personne ayant vu exactement ce qui va changer.
    • Une suite de tests de non-régression chaque nuit sur une copie jetable alimentée par des organisations fictives.
    • Un audit automatisé du cloisonnement de la base de production, qui échoue à la moindre nouvelle anomalie.
    • Dépendances figées sur des versions exactes, avec alertes de sécurité GitHub Dependabot.
    Prestataires à cette étape
    • GitHub
      Hébergement du code source et suivi des demandes d'évolution des clients
    Politiques applicables
  7. 06En cas de problème

    Nous surveillons les incidents, et si l'un d'eux vous concerne, c'est par nous que vous l'apprenez.

    5 min
    Entre deux contrôles de santé de la base de données
    • État de la base de données vérifié toutes les cinq minutes, avec alerte à l'équipe en cas de défaillance.
    • Un robot quotidien en production qui exécute le workflow de négoce principal dans sa propre organisation de test.
    • Un plan de réponse aux incidents écrit : contenir, évaluer, informer, rétablir, tirer les enseignements.
    • Les clients dont les données ou le service sont touchés sont informés dans les meilleurs délais dès qu'un incident est confirmé.
    • Si un fournisseur d'IA est indisponible, les contrats, les expéditions, les positions et les documents continuent de fonctionner : ils ne dépendent pas de l'IA.
    Prestataires à cette étape
    • Telegram
      Alertes internes à l'équipe Apollo
    Politiques applicables
  8. 07Quand vous partez

    Vos données vous appartiennent, vous pouvez les récupérer à tout moment.

    À tout moment
    Export de vos données, sans notre intervention
    • Les administrateurs peuvent exporter les données de leur organisation à tout moment, sans notre aide.
    • Une archive contenant un fichier par table, et un export distinct de vos documents téléversés.
    • En fin de contrat, les données sont restituées ou supprimées selon les instructions du client.
    • Les copies présentes dans les sauvegardes de la base de données disparaissent à l'expiration des sauvegardes quotidiennes tournantes, au bout d'environ une semaine.
    • Les demandes des personnes concernant leurs données personnelles reçoivent une réponse sous 30 jours.
    Politiques applicables
Demander les politiques

Nos politiques de sécurité

Quatorze politiques, communiquées sous confidentialité aux clients et prospects. Présentez-vous et nous vous les envoyons par e-mail.

  1. 01Politique de sécurité de l'information
  2. 02Politique d'utilisation acceptable
  3. 03Politique de contrôle des accès
  4. 04Politique de développement sécurisé et de gestion des changements
  5. 05Politique d'utilisation de l'IA et de traitement des données
  6. 06Politique de gestion et de conservation des données
  7. 07Politique de cryptographie et de gestion des secrets
  8. 08Politique de gestion des tiers et des sous-traitants
  9. 09Politique de gestion des risques
  10. 10Plan de réponse aux incidents
  11. 11Plan de continuité d'activité et de reprise après sinistre
  12. 12Politique de gestion des actifs
  13. 13Politique de sécurité des ressources humaines
  14. 14Code de conduite