MESUREO
Sécurité & confidentialité
Mesureo est conçu pour les directions informatiques exigeantes : hébergement souverain, isolation stricte par client, et une intelligence artificielle qui s'appuie sur votre documentation — sans jamais l'apprendre.
Périmètre : Offre MIND Industriels & Grands comptes. Document d'information — ne vaut pas engagement contractuel. Seuls les Conditions Générales de Services (CGS) et le contrat de sous-traitance (DPA) signés font foi.
Résumé exécutif
Vos données sont hébergées en France (Scaleway / OVH) et restent dans l'Union européenne par défaut. Un routage IA 100 % européen est disponible.
Vos contenus servent uniquement à répondre, en temps réel. Aucun entraînement, aucun réglage fin (fine-tuning) de modèle sur vos données.
Chiffrement en transit (TLS 1.2+) et au repos, clés gérées par KMS, et cloisonnement strict des données de chaque client.
01 — Hébergement & résidence des données
Par défaut, tout est hébergé et traité dans l'UE. Vous gardez la main sur la localisation, jusqu'au modèle d'IA.
Datacenters en France (Scaleway / OVH), de classe Tier-III, avec contrôle d'accès physique.
Données hébergées dans l'UE / EEE ; aucun transfert hors UE sans validation préalable de votre part.
Option de routage vers des modèles hébergés dans l'UE (Mistral) pour garder l'intégralité du traitement en Europe.
Export de vos conversations, base de connaissances et configuration en formats standard (JSON / CSV), à la demande.
02 — Chiffrement & gestion des clés
En transit comme au repos, avec une gestion des clés cloisonnée par environnement.
TLS de bout en bout (1.2 et supérieur), standard de l'industrie, sur tous les échanges.
Chiffrement des disques au niveau de l'hébergeur, sur l'ensemble des données stockées.
Clés gérées via OVHcloud KMS, avec contrôle d'accès par rôle et ségrégation dev / préprod / prod.
Empreintes bcrypt pour les comptes d'administration ; aucun mot de passe stocké en clair.
03 — Contrôle d'accès, SSO & isolation
Intégration à votre annuaire, authentification renforcée et cloisonnement strict entre clients.
SAML2 / OpenID avec Microsoft Entra ID. Les comptes locaux peuvent être désactivés au profit du SSO.
MFA appliquée sur les accès internes et d'administration.
Droits attribués par rôle, principe du moindre privilège, revue et suppression des comptes au départ des collaborateurs.
Cloisonnement strict par client (API, moteur de recherche vectoriel, stockage). Une instance dédiée est possible.
04 — Sécurité applicative & développement
Bonnes pratiques OWASP, cycle de développement sécurisé et défense réseau à chaque couche.
Application évaluée et durcie selon les bonnes pratiques OWASP, du code à la configuration.
Revues de code, scans automatisés et suivi des dépendances intégrés au développement (SDLC).
Scan automatisé des dépendances et des images à chaque build ; triage par sévérité (CVSS) puis correction priorisée.
Dev / préprod / prod séparés ; déploiements contrôlés et retour arrière (rollback) par versions.
Pare-feu, WAF, protection anti-DDoS et détection d'intrusion au niveau de l'hébergeur.
05 — Supervision, incidents & continuité
Supervision en temps réel, procédure d'incident documentée et plan de continuité éprouvé.
Détection des erreurs et anomalies via Sentry, logs structurés et identifiants de corrélation.
Procédure documentée ; notification de toute violation sous 72 h (RGPD) ; logs conservés 12 mois.
Quotidiennes (rétention 30 jours) et mensuelles (rétention 12 mois) ; restauration documentée et testée.
RTO cible de 4 h ouvrées, RPO de 24 h ; déploiement actif / actif sur 2 zones (disponibilité cible 99,5 % mensuel, conforme aux CGS).
06 — Confidentialité & RGPD
Mesureo agit comme sous-traitant. Le cadre contractuel et la protection des personnes sont posés dès le départ.
Mesureo agit comme sous-traitant ; vous restez responsable de traitement de vos données.
Contrat de sous-traitance (DPA) et annexes RGPD fournis avec le contrat.
Registre des activités de traitement (ROPA) maintenu par Mesureo en tant que sous-traitant.
Minimisation des données, hébergement UE et isolation par client pensés dès la conception.
Réversibilité et export de vos données en formats standard, à tout moment et en fin de contrat.
07 — Intelligence artificielle responsable
Conçue comme un assistant documentaire à risque limité, avec des garde-fous explicites.
Assistant de support sur documentation produit = usage à risque limité au sens de l'EU AI Act.
L'utilisateur est informé qu'il dialogue avec une intelligence artificielle.
Modèles tiers utilisés en RAG, sans réglage fin (fine-tuning) sur vos contenus.
Contrôle d'accès aux documents avant recherche, isolation inter-agents, assainissement HTML (DOMPurify), échanges authentifiés (JWT).
Réponses strictement fondées sur votre documentation ; refus de répondre quand l'information n'est pas disponible.
08 — Sous-traitants
Une chaîne de sous-traitance courte et transparente, avec une option « tout UE » disponible.
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Scaleway / OVH | Hébergement & infrastructure | France / UE |
| Mistral AI | Modèle de langage — option UE recommandée | France / UE |
| LegalySpace | Coffre-fort numérique (archivage contractuel & NDA, sur demande) — certifié NF203 | France |
| Sentry | Supervision & alerting (erreurs, traces) | Hors UE — option hébergement UE |
| OpenAI / Anthropic / Google | Modèles de langage optionnels | Hors UE — activés uniquement sur choix explicite |
| Leviatan | Sous-traitant technique | France |
La liste définitive est arrêtée selon le modèle d'IA retenu. Une configuration « 100 % UE » (hébergement et modèle européens) est disponible pour garder l'intégralité du traitement dans l'Union.
09 — Conformité & engagements
Pas de badge que nous ne détenons pas. Voici les mesures réellement appliquées aujourd'hui.
Cadre légal & contact
Mesureo, SAS
3 avenue Germaine Tillion, 35136 Saint-Jacques-de-la-Lande, France
RCS Rennes 979 409 547 — SAS au capital de 170 000 €
SIRET (siège) : 979 409 547 00010
security@mesureo.com
Demande du DPA et de la documentation détaillée
(architecture, mesures organisationnelles) sur simple demande.
Ce guide décrit l'état des mesures de sécurité et de confidentialité de Mesureo à la date indiquée en page de garde (Juin 2026). Il a une valeur strictement informative et ne constitue ni une garantie contractuelle, ni une certification. Il porte sur l'offre MIND Industriels & Grands comptes. Les engagements opposables sont ceux des Conditions Générales de Services (CGS) et du contrat de sous-traitance (DPA) signés entre les parties. Mesureo agit en qualité de sous-traitant au sens de l'article 28 du RGPD ; le client demeure responsable de traitement.
Mesureo — make it simple. · v1.0 · Juin 2026 · mesureo.com/securite-confidentialite