Voici notre propre questionnaire, rempli comme nous remplissons le vôtre. Lorsque la réponse honnête est non, ou pas encore publiée, il le dit.
Un dossier client signé de ce questionnaire n’est pas émis sur cette page. Les réponses ci-dessous renvoient à la page publique ou indiquent que le fait n’est pas publié. Téléchargez le même texte depuis le ZIP d’information pour les achats.
Organisation. Quelle est la dénomination sociale de l’entreprise ?
Services AttestLayer, exerçant ses activités sous le nom AttestLayer. Numéro d’entreprise du Québec : 2282022963. Siège social : 360, rue Saint-Jacques, bureau G101, Montréal (Québec) H2Y 1P5, Canada. Source : /company.
Organisation. Qui exploite le service ?
Rabie-Abdollah Macbahi est le fondateur et l’exploitant, et le responsable de la protection des renseignements personnels. Source : /company et /privacy.
Hébergement. Où les questionnaires et les documents des clients sont-ils traités ?
Les fichiers sont stockés et traités sur Google Cloud à Montréal (northamerica-northeast1). Pour l’étape d’IA, seuls les extraits pertinents et le texte de la question sont transmis à l’API Claude d’Anthropic, qui les traite aux États-Unis. Source : /product-security et /privacy.
Hébergement. Un modèle d’IA lit-il les documents des clients ?
Oui, pour une seule étape précise. Pour vérifier chaque question, nous transmettons uniquement les extraits pertinents de vos documents et le texte de la question, jamais les fichiers entiers, à l’API Claude d’Anthropic. Un modèle d’IA (Claude, d’Anthropic) ne fait que sélectionner des phrases qui existent déjà dans vos documents ; chaque réponse est une citation mot pour mot vérifiée par des règles fixes et par une seconde vérification par IA, et rien n’est transmis à votre client avant votre approbation. L’analyse, le lien aux sources, la signature et la vérification s’exécutent dans le propre projet Google Cloud d’AttestLayer. Source : /privacy, /faq et /subprocessors.
Assurance. Détenez-vous une certification SOC 2 ?
Non. Ni de type I ni de type II. Source : /product-security.
Assurance. Détenez-vous une certification ISO/IEC 27001 ?
Non. Source : /product-security.
Assurance. Avez-vous fait réaliser un test d’intrusion indépendant ?
Non. Source : /product-security.
Assurance. Détenez-vous une assurance cyber ou une assurance responsabilité professionnelle (erreurs et omissions) ?
Non. Aucune au 30 septembre 2026. Source : /product-security.
Accès. Comment un client se connecte-t-il ?
Par un lien envoyé par courriel, à usage unique, qui expire après 15 minutes. La session se termine après 30 minutes d’inactivité ou 12 heures, selon la première éventualité. Une empreinte du lien et du secret de session est conservée, et non le lien lui-même. Source : code de connexion de la Console client et /signin.
Accès. Comment l’accès administrateur d’AttestLayer est-il protégé ?
Non publié ici. Écrivez à security@attestlayer.com.
Chiffrement. Comment les données sont-elles protégées en transit et au repos ?
HTTPS en transit. Chiffrement géré par Google pour le stockage et les bases de données pris en charge, au repos. Source : /product-security.
Chiffrement. Où se trouve la clé de signature des dossiers et quelle est la politique de rotation ?
Non publié au-delà des clés d’émetteur indiquées pour la vérification. Écrivez à security@attestlayer.com.
Confidentialité. À qui appartiennent les documents et les réponses ?
Le client est propriétaire de ses documents et de ses réponses. Ils ne sont pas réutilisés pour un autre client. Les copies de travail sont supprimées après 14 jours. Source : /product-security et /data-retention.
Confidentialité. Dans quel délai une atteinte confirmée aux renseignements personnels d’un client est-elle signalée ?
Dans les 72 heures suivant la confirmation. Source : /dpa.
Sous-traitants. Quels fournisseurs traitent les données des clients ?
Google Cloud (Montréal) pour l’application et les documents. Anthropic (États-Unis) pour l’inférence d’IA sur des extraits de documents et le texte de la question. Stripe pour les données de cartes et de factures. SendGrid (États-Unis) pour l’envoi des courriels. PostHog seulement si le visiteur consent à l’analyse facultative. Cloudflare Turnstile sur les formulaires publics déclarés. Source : /subprocessors.
Développement. Les fichiers des clients servent-ils à entraîner un modèle ?
Non. Selon les conditions commerciales d’Anthropic, les extraits transmis à l’API Claude ne servent pas à entraîner des modèles sans autorisation (nous n’en avons pas donné) et sont supprimés des systèmes d’Anthropic dans les 30 jours, sauf si un examen lié à sa politique d’utilisation exige une conservation plus longue. Source : /privacy, /faq et /product-security.
Disponibilité. Existe-t-il une entente de niveau de service sur la disponibilité ?
Non. Le Buyer Review Pack est un service ponctuel. Source : /status.
Gestion des vulnérabilités. Comment signaler une vulnérabilité ?
À security@attestlayer.com, selon la politique de divulgation des vulnérabilités. Un fichier security.txt est publié. Source : /vulnerability-disclosure.
Site public. Le site public charge-t-il des scripts de tiers ?
Non. Le site public ne charge aucun script de tiers. Source : /product-security.
Continuité. Quels sont la fréquence des sauvegardes, la durée de conservation, le dernier essai de restauration, l’objectif de point de reprise (RPO) et l’objectif de temps de reprise (RTO) ?
Non publié. Écrivez à security@attestlayer.com.
Journalisation. Quels accès aux fichiers des clients sont consignés, et pendant combien de temps ?
Non publié sous la forme d’un journal d’accès aux fichiers des clients. Écrivez à security@attestlayer.com.
Incidents. Quels incidents de sécurité avez-vous connus ?
Aucun historique d’incidents n’est encore publié sur la page d’état. Source : /status.
