Hébergé en Allemagne
Nos applications et leurs bases de données sont hébergées sur un serveur que nous administrons chez Hetzner, en Allemagne. Les tâches automatiques s’exécutent chez un sous-traitant, listé plus bas.
Sécurité et données
Où sont vos données, qui y accède, ce que voit l’IA
Les réponses que les directions informatiques, les délégués à la protection des données et les acheteurs hospitaliers demandent avant de signer : ce qui est en place, ce qui ne l’est pas encore et ce que nous préparons. Aucune certification que nous n’avons pas, aucune promesse que nous ne tenons pas.
Écrire à l’équipe
Réponse sous 1 jour ouvré.
Quatre réponses avant tout le reste
Connexions et accès chiffrés
Toutes les connexions passent en HTTPS. Les accès à vos outils que vous nous confiez, comme votre messagerie ou votre CRM, sont chiffrés dans notre base.
Cloisonné par client
Chaque client travaille dans son propre espace et l’application filtre chaque requête par organisation. Une partie de l’équipe AgifyMD peut y accéder pour faire fonctionner le service.
Vos listes restent les vôtres
Vos listes et vos corrections restent les vôtres. Vous les exportez quand vous voulez, en CSV ou en JSON.
Ce qui est en place, ce qui ne l’est pas encore
Une ligne par question que posent les acheteurs, les directions informatiques et les délégués à la protection des données.
| Sujet | État | Détail |
|---|---|---|
| Hébergement dans l’Union européenne | En place | Serveur administré par nos soins chez Hetzner, en Allemagne. |
| Connexions chiffrées | En place | HTTPS obligatoire. TLS 1.3 constaté le 10 octobre 2026. |
| Identifiants de vos outils chiffrés | En place | Jetons Gmail et Outlook, mots de passe de messagerie et clés de CRM chiffrés en base (AES-256-GCM). |
| Bases de données fermées à internet | En place | Depuis le 29 janvier 2026, le pare-feu du serveur n’ouvre que l’accès web et l’administration à distance. |
| Cloisonnement entre clients | En place | L’application filtre chaque requête par organisation. |
| Sauvegardes de la base | Prévu | Une sauvegarde de la base a servi à une restauration en août 2026. Fréquence, lieu de stockage et chiffrement des sauvegardes sont en cours de documentation. |
| Désinscription des personnes contactées | En place | Les e-mails envoyés par Gmail ou SMTP portent une désinscription en un clic, affichée par la messagerie du destinataire. Pas encore pour les envois Outlook. |
| Export de vos données | En place | Export de vos listes en CSV ou en JSON, à tout moment. |
| Contrat de traitement des données (DPA) | Prévu | Aucun n’existe aujourd’hui. Nous préparons un modèle relu par un juriste et ne le promettons pas avant qu’il soit prêt. |
| Registre des traitements | Prévu | À établir en même temps que le modèle de DPA. |
| Double authentification obligatoire | Pas encore | Elle n’est imposée à aucun compte. |
| Journal des accès consultable | Pas encore | Vous ne pouvez pas encore consulter qui a accédé à vos données. |
| Test d’intrusion indépendant | Pas encore | Aucun audit de sécurité externe n’a été réalisé à ce jour. |
| Certifications ISO 27001, SOC 2, HDS | Pas encore | Nous n’en avons aucune et n’en revendiquons aucune. |
| Modèles d’IA hébergés en Europe | Pas encore | Nos produits appellent des modèles américains. Pour un projet sur mesure, des modèles ouverts hébergés en France peuvent s’étudier. |
État au 10 octobre 2026, établi à partir du code de nos produits et de la configuration de nos serveurs. Nous mettons ce tableau à jour à chaque changement.
Ce que voit l’IA, et où elle tourne
Ce qu’elle lit
Ce dont la tâche a besoin : la fiche d’un compte ou d’une personne (nom, fonction, entreprise, pages publiques), vos critères de ciblage, vos documents produit et les messages à préparer.
Où elle tourne
Les modèles sont appelés par l’intermédiaire d’OpenRouter ou directement chez OpenAI. Ces services sont américains : le traitement peut avoir lieu hors de l’Union européenne.
Ce que nous limitons
Nous n’entraînons aucun modèle avec vos données. Sur une partie des traitements, nous excluons les fournisseurs qui conservent ou réutilisent les données. Les traces détaillées de nos agents de prospection sont stockées sur notre serveur en Allemagne et effacées au bout de 7 jours. Trigger.dev, qui exécute nos tâches automatiques, conserve aussi ses propres journaux d’exécution.
Des données professionnelles, pas des données de patients
Ce que nous traitons
Des établissements, des services et des professionnels de santé : nom, fonction, coordonnées professionnelles. Une grande partie vient de sources publiques, comme l’Annuaire Santé.
Ce que nous ne traitons pas
Aucune donnée de patient. Nos produits ne sont pas conçus pour en recevoir : ne nous en transmettez pas.
La certification HDS
Elle s’impose à qui héberge des données de santé de patients. Nous ne l’avons pas. Si un projet devait en impliquer, nous vous le dirions avant de commencer, avec l’hébergement certifié qu’il exige.
Les personnes que vous contactez ont aussi des droits
Prospecter des professionnels de santé reste encadré par le RGPD : ils doivent savoir d’où viennent leurs données et pouvoir s’opposer simplement.
D’où viennent leurs données
Annuaire Santé et pages publiques des établissements, profils professionnels publics lus par des services tiers, et coordonnées professionnelles trouvées par un service spécialisé. Chaque information garde sa source.
Se désinscrire en un clic
Les e-mails envoyés par Gmail ou SMTP portent une désinscription en un clic, affichée par la messagerie du destinataire. La personne qui l’utilise est retirée des envois suivants, sans démarche de votre part.
Exclure une personne ou un compte
Vous pouvez exclure une personne ou une entreprise entière : elle n’est plus sollicitée par vos campagnes.
Les services qui traitent des données pour nous
Sans eux, nos produits ne fonctionnent pas. Voici qui fait quoi, et avec quelles données.
| Service | Rôle | Données concernées | Pays du siège |
|---|---|---|---|
| Hetzner | Serveur qui héberge nos applications et leurs bases de données | Toutes les données de nos applications | Allemagne |
| Clerk | Connexion et comptes des utilisateurs | Nom, adresse e-mail et sessions de vos utilisateurs | États-Unis |
| OpenRouter | Accès aux modèles d’IA de plusieurs éditeurs | Fiches à analyser et messages à rédiger | États-Unis |
| OpenAI | Modèles d’IA appelés directement, sans intermédiaire | Fiches à analyser et messages à rédiger | États-Unis |
| Trigger.dev | Exécution des tâches automatiques : recherche, qualification, envois | Comptes et personnes en cours de traitement | Royaume-Uni |
| FullEnrich | Recherche des coordonnées professionnelles | Nom, entreprise et profil professionnel de la personne | États-Unis |
| Unipile | Connexion aux comptes LinkedIn et aux messageries de vos commerciaux | Invitations, messages et profils des contacts | France |
| Apify | Lecture de profils et de publications LinkedIn publics | Profils et publications publics | République tchèque |
| Firecrawl, Tavily, Linkup | Recherche en ligne et lecture de pages web | Pages publiques et noms d’entreprises recherchés | États-Unis (Firecrawl, Tavily), France (Linkup) |
| Resend | Envoi des e-mails automatiques, comme le résumé de la veille concurrentielle | Adresse du destinataire et contenu du résumé | États-Unis |
| Attio et lemlist | CRM et outil d’envoi de vos équipes, si vous les connectez | Comptes, contacts et campagnes échangés avec ces outils | Royaume-Uni (Attio), France (lemlist) |
| Google, Microsoft | Envoi depuis la boîte Gmail ou Outlook de vos commerciaux, si vous la connectez | E-mails envoyés et réponses reçues | États-Unis |
Liste établie à partir du code de nos produits le 10 octobre 2026. Le pays indiqué est celui du siège de l’entreprise ; le lieu de traitement peut être différent.
Questions fréquentes
Les questions de vos équipes juridiques et informatiques
Pas encore. Nous n’avons aujourd’hui ni modèle de DPA ni registre des traitements. Nous préparons un modèle relu par un juriste. Si votre achat en dépend, dites-le-nous : nous vous donnerons une date réaliste plutôt qu’une promesse.
Pas avec nos produits actuels : leurs serveurs sont en Allemagne et certains services sont américains. Pour un projet sur mesure, une architecture avec des modèles ouverts hébergés en France peut s’étudier ; nous vous dirons précisément ce qui est possible avant toute signature.
Non. Nous n’avons aucune de ces certifications et aucun audit de sécurité externe n’a été mené. Cette page décrit ce que nous faisons réellement ; elle ne remplace pas une certification.
Pas par nous : nous n’entraînons aucun modèle avec vos données. Les éditeurs de modèles appliquent leurs propres conditions ; sur une partie des traitements, nous excluons ceux qui conservent ou réutilisent les données.
Les membres de l’équipe qui font fonctionner le service et accompagnent votre déploiement. Nous ne tenons pas encore de journal des accès que vous puissiez consulter.
Vous exportez vos listes en CSV ou en JSON avant de partir. Sur demande écrite, nous supprimons ensuite les données de votre espace et vous le confirmons par écrit. Les copies déjà présentes dans nos sauvegardes disparaissent à leur renouvellement.
Oui. Envoyez-le-nous depuis la page Contact : nous répondons point par point, avec la même franchise que sur cette page, y compris quand la réponse est « pas encore ».
Écrivez-nous depuis la page Contact en commençant votre message par « Sécurité ». Une personne de l’équipe vous répond sous un jour ouvré. Merci de ne pas exploiter la faille ni consulter des données qui ne vous appartiennent pas.
Une question que cette page ne règle pas ?
Envoyez-nous la question de votre direction informatique, de votre délégué à la protection des données ou votre questionnaire de sécurité. Une personne de l’équipe vous répond par écrit, sous un jour ouvré.