Sécurité et confiance
Veesie montre comment les assistants IA comme ChatGPT, Gemini et Perplexity parlent de votre marque. Pour cela, vous confiez à Veesie vos données de marque, et parfois votre Google Analytics. Sur cette page, vous lisez précisément comment Veesie protège ces données : champs sensibles chiffrés, base de données à Francfort et chaque client séparé des autres.
Champs sensibles chiffrés
Les champs sensibles, comme vos tokens Google, sont chiffrés avec AES-256-GCM. Toutes les connexions passent par HTTPS avec HSTS.
Base de données à Francfort
Votre compte, vos marques et vos résultats sont conservés dans une base de données PostgreSQL à Francfort. Pour mesurer, vos questions passent aussi par des services aux États-Unis ; la liste figure plus bas sur cette page.
Connexion Analytics en lecture seule
La connexion à Google Analytics est exclusivement en lecture seule. Veesie ne peut jamais modifier ni supprimer vos statistiques.
Isolation stricte
Chaque client ne voit que ses propres données. Row Level Security est activé sur toutes les tables, et l'application contrôle la propriété à chaque action.
1. Vos données et le monitoring IA
Pour mesurer comment l'IA perçoit votre marque, Veesie envoie vos prompts (questions sur votre marque, votre secteur et vos concurrents) à des fournisseurs IA comme OpenAI, Anthropic, Google et Perplexity. Veesie conserve leurs réponses dans une base de données dans l'UE.
- Les prompts portent sur des marques et des thèmes, pas sur des personnes. Ils ne contiennent normalement pas de données à caractère personnel.
- Les réponses, scores et analyses qui en découlent sont stockés dans l'UE.
- Veesie n'utilise jamais vos données pour entraîner des modèles ni pour la publicité.
2. Chiffrement
En transit (in transit)
Tout le trafic vers veesie.com passe par HTTPS. Veesie envoie un en-tête Strict-Transport-Security (HSTS) d'une durée de deux ans, afin que les navigateurs ne se connectent plus jamais sans chiffrement après la première visite.
Au repos (at rest)
Les champs sensibles de la base de données de Veesie, comme vos tokens d'accès et de rafraîchissement Google Analytics et d'éventuelles URL de webhook, sont chiffrés avec AES-256-GCM (chiffrement authentifié). Si les données chiffrées sont altérées, le déchiffrement échoue automatiquement. La clé est conservée séparément de la base de données en tant que secret Cloudflare Worker.
3. La connexion à Google Analytics
Vous pouvez connecter votre Google Analytics 4 à Veesie pour voir les données de trafic à côté de votre visibilité IA. Cette connexion est volontairement minimale :
- Lecture seule : pour Analytics, Veesie demande uniquement le scope
analytics.readonly, plusopenidetemailpour indiquer avec quel compte Google vous vous êtes connecté. Veesie peut lire votre Analytics, jamais le modifier, le supprimer ni le partager. - Protégé contre le CSRF : le flux OAuth utilise un état signé par HMAC, lié à votre session et expirant après dix minutes. Personne ne peut forcer la connexion en votre nom.
- Chiffré : les tokens que Google renvoie sont stockés chiffrés (voir Chiffrement).
- Déconnectable : vous révoquez l'accès à tout moment, tant dans Veesie que directement dans votre compte Google.
4. Accès et authentification
- La connexion passe par Supabase Auth. Les mots de passe sont stockés sous forme de hash, jamais en clair.
- Les pages d'inscription, de connexion et de réinitialisation du mot de passe sont protégées contre les bots avec Cloudflare Turnstile. Le formulaire de contact utilise un champ caché (honeypot) et une limite par adresse IP.
- Les environnements d'administration internes fonctionnent derrière Cloudflare Zero Trust Access et ne sont pas accessibles publiquement. L'URL directe workers.dev est désactivée, afin que cette sécurité ne puisse être contournée.
5. Infrastructure et isolation
- Hébergement : l'application fonctionne sur Cloudflare Workers, sur le réseau edge mondial de Cloudflare.
- Base de données : une base de données PostgreSQL chez Supabase à Francfort (UE).
- Isolation multi-tenant : chaque organisation ne voit que ses propres données. Row Level Security est activé sur toutes les tables et limite l'accès direct via l'API de la base de données aux données propres au client. L'application elle-même travaille avec un rôle d'administration qui contourne RLS : des contrôles de propriété dans chaque action serveur y assurent la séparation.
- Cloudflare et Supabase sont tous deux certifiés selon des normes internationales (dont SOC 2 et ISO 27001) pour leur infrastructure.
6. Sécurité applicative
Veesie fait l'objet d'un contrôle de sécurité interne continu. La base de code a subi plusieurs revues de sécurité internes par rapport aux directives OWASP pour les API et pour les applications LLM. Mesures concrètes, entre autres :
- En-têtes de sécurité HTTP : une Content-Security-Policy limitée à une liste fixe de sources autorisées, HSTS, X-Frame-Options (DENY), X-Content-Type-Options et une Permissions-Policy restrictive.
- Protection SSRF : les webhooks sortants ne peuvent viser que des adresses HTTPS publiques, les plages d'IP internes sont bloquées.
- Durcissement contre l'injection de prompt : les réponses IA stockées et les saisies utilisateur sont neutralisées avant d'être réinjectées dans un prompt IA.
- Protection contre l'injection de formule CSV dans les exports, comparaison des secrets résistante aux attaques temporelles, et requêtes de base de données paramétrées contre l'injection SQL.
Aucun service ne peut garantir une sécurité absolue, mais la réduction des risques et l'amélioration des mesures sont un travail continu.
7. Paiements
Les paiements passent par Stripe Checkout. Vos données de carte arrivent directement chez Stripe, un prestataire de paiement certifié PCI-DSS. Veesie ne voit ni ne conserve jamais vos données de carte ; Veesie conserve uniquement une référence vers votre client Stripe.
8. Sous-traitants
Pour fournir le service, Veesie travaille avec un nombre limité de sous-traitants soigneusement sélectionnés :
| Sous-traitant | Fonction | Localisation |
|---|---|---|
| Supabase (Postgres + Auth) | Base de données, authentification | UE (Francfort) |
| Cloudflare (Workers) | Hébergement applicatif, traitement edge | Réseau mondial : une requête passe par le centre de données le plus proche du visiteur, en règle générale en Europe pour les visiteurs européens. Cloudflare, Inc. (États-Unis), sur la base des CCT |
| Resend | E-mail transactionnel (notifications, rapports) | Région UE |
| Stripe | Traitement des paiements (uniquement en plan payant) | Irlande (UE) |
| Sentry | Surveillance des erreurs (error tracking) | UE (Francfort, Allemagne) |
| OpenAI, Anthropic, Google, Perplexity | Appels LLM (les prompts sont envoyés aux fournisseurs) | États-Unis / UE (selon le fournisseur), sur la base des CCT |
| DataForSEO | Mesure des AI Overviews de Google (vos questions sont envoyées à Google comme requête de recherche) | UE (Estonie), avec des sous-traitants en partie aux États-Unis, sur la base des CCT |
| Inngest | Pilotage des mesures (file d'attente, nouvelles tentatives et résultats intermédiaires de chaque étape) | États-Unis (Inngest Inc, serveurs AWS aux États-Unis) |
| Google Analytics 4 | Statistiques du site public. Sans votre consentement, sans cookies, et jamais dans le tableau de bord | États-Unis (Google LLC), sur la base des CCT |
| Microsoft Clarity | Analyse d'utilisation du site public (cartes de chaleur et enregistrements des mouvements de souris et des clics). Sans votre consentement, sans cookies, et jamais dans le tableau de bord | États-Unis (Microsoft Corporation), sur la base des CCT |
Les données centrales (compte, marques, résultats) sont conservées dans l'UE. Pendant une mesure, vos questions, le nom et le site de votre marque, les noms de vos concurrents et les recommandations générées passent aussi par Inngest aux États-Unis, qui pilote les mesures. Le transfert vers les fournisseurs d'IA en dehors de l'UE se fait sur la base des Clauses Contractuelles Types (CCT). La liste complète et les explications figurent dans la politique de confidentialité.
9. RGPD et vos droits
Le responsable du traitement pour Veesie est Manon BV (agissant sous le nom ClickForest), établie à Bonheiden, Belgique, numéro d'entreprise BE 0549.803.522.
- Vous pouvez exporter vos données au format JSON via Paramètres, Confidentialité. Les tokens et les clés internes en sont volontairement exclus.
- Vous pouvez supprimer vous-même votre compte et toutes les données associées via Paramètres, Supprimer le compte. La suppression est immédiate et se répercute en cascade sur toutes les données liées.
- L'ensemble de vos droits RGPD (accès, rectification, effacement, limitation, portabilité, opposition) sont décrits en détail dans notre politique de confidentialité.
10. Signaler une vulnérabilité
Vous pensez avoir trouvé un problème de sécurité ? Faites-le-moi savoir via hello@veesie.com. J'examine chaque signalement et je vous tiens informé. Merci de ne pas rendre une vulnérabilité publique avant qu'elle soit corrigée (responsible disclosure).
Dernière mise à jour : 5 octobre 2026. Retour vers veesie.com