Sécurité

Comment Miross traite vos données.

La version courte. La longue, c’est le SECURITY.md que nous gardons avec le code.

Cloisonnement

Chaque enregistrement est rattaché à son espace de travail ; rien n’est lisible d’un espace à l’autre.
Rôles : admin, agent, lecteur. Les non-membres reçoivent « introuvable », pas « interdit ».

Les mots de passe sont hachés avec Argon2id ; les sessions sont des jetons opaques stockés hachés.
Validation en deux étapes avec une application d’authentification (TOTP) et des codes de récupération, pour tous les comptes ; les espaces Scale peuvent l’exiger de tous leurs membres.
Les clés API des marketplaces sont chiffrées en AES-256-GCM sous des clés à rotation et ne sont jamais renvoyées.
Boîtes e-mail et chats se connectent via un assistant hébergé : les identifiants n’atteignent jamais Miross.

Activée par défaut, avec un interrupteur par espace pour la couper. Les requêtes de Miross sont déchiffrées et traitées uniquement dans l’UE (eu.openrouter.ai) et ne vont qu’à des fournisseurs de modèles opérant dans l’UE : Mistral AI (France), Amazon Web Services (Irlande), Google Cloud (UE) et Microsoft Azure (UE, pour les résumés de dossiers).
Zéro conservation : ces fournisseurs ne peuvent rien garder (hors mise en cache en mémoire) et les prompts ne servent jamais à l’entraînement. Seul le texte épuré des messages concernés est envoyé (pour les messages vocaux et les images, le fichier lui-même ; pour un PDF ou un document Word, seulement le texte extrait sur notre propre serveur) et chaque appel est mesuré.
L’IA ne répond jamais d’elle-même. La sortie du modèle est vérifiée avant de pouvoir atteindre un client ; les actions suggérées sont revérifiées côté serveur et confirmées par une personne.

Base de données, pièces jointes et sauvegardes : Hetzner, à Nuremberg (Allemagne).
Boîtes e-mail et chats se connectent via Unipile (France, hébergé chez Scaleway). Les messages et médias WhatsApp et LinkedIn, messages vocaux compris, y sont stockés jusqu’à la suppression du compte connecté ; pour les boîtes IMAP et Microsoft, seulement des métadonnées ; pour Gmail, rien. Supprimer une connexion ou l’espace supprime aussi le compte chez Unipile ; ses fournisseurs de proxy optionnels sont aux États-Unis et à Singapour.
Les e-mails des canaux relais (Amazon, bol.com et TikTok Shop), les e-mails aux visiteurs du chat (réponses manquées, transcriptions) et les e-mails de compte (invitations, réinitialisations de mot de passe, alertes) passent par Resend aux États-Unis, dans le cadre des clauses contractuelles types et du Data Privacy Framework. Resend conserve le contenu des messages, les journaux et les données des webhooks jusqu’à 30 jours.
Les données du compte de Miross chez OpenRouter (facturation, authentification, sécurité et lutte contre les abus) peuvent rester hors de l’UE ; elles n’incluent pas le contenu des messages.

Les webhooks entrants (Stripe, Resend, Unipile) sont vérifiés par signature ou secret partagé avant analyse.
Les adresses relais (Amazon, bol.com, TikTok Shop) portent un suffixe aléatoire. Sur Amazon, seul le courrier des alias d’acheteurs devient un dossier ; le courrier de configuration de la marketplace elle-même (une confirmation d’adresse, un lien d’activation) ne devient jamais un dossier.

Journal d’audit en ajout seul des connexions, envois, actions et exécutions de règles.
L’export et la suppression de l’espace de travail sont de série ; la suppression efface réellement les données.

Signalements de sécurité : security@miross.io