Données stockées en Union européenne, chiffrement en transit et au repos, conformité RGPD, sous-traitants listés. Tout ce qu'il faut savoir pour confier vos données commerciales à Pitchbase.
Pitchbase est conçu pour rester dans l'Union Européenne pour les données utilisateurs. Voici la cartographie précise.
Base de données + Auth
Supabase (PostgreSQL)
Région Europe (Irlande, eu-west-1). Sauvegardes quotidiennes conservées 7 jours.
Hébergement applicatif
Render
Région Francfort (UE). Service Node.js Express + WebSocket, monitoring intégré.
Fichiers audio
Stockage Supabase
Enregistrements de simulation chiffrés au repos, dans un espace privé. Lecture uniquement par un lien temporaire, délivré après vérification côté serveur au commercial ou à son manager.
Email transactionnel
IONOS SMTP (Allemagne)
Serveurs basés en Allemagne, conformité RGPD. Liens de désabonnement signés HMAC.
En transit
TLS 1.2 minimum, 1.3 privilégié
HTTPS strict (HSTS), WebSockets en wss://, certificats automatiques renouvelés. Aucune communication en clair acceptée.
Au repos
AES-256 sur la base et les fichiers
Chiffrement géré par Supabase (disques + backups). Mots de passe : bcrypt avec sel par utilisateur (côté Supabase Auth).
Secrets et clés API
Variables d'environnement Render
Aucune clé API en clair dans le code. Secrets de production obligatoires en NODE_ENV=production (crash si absents).
Webhooks signés
Vérification cryptographique
Webhooks Stripe vérifiés via signature HMAC obligatoire. Tokens de désabonnement signés HMAC SHA-256.
Connexion sans mot de passe par défaut
Magic link email ou OAuth Google via Supabase Auth. Pas de stockage de mot de passe par Pitchbase.
Sessions JWT côté serveur
Toutes les routes API protégées vérifient le JWT via Supabase. Les WebSockets vocaux s'ouvrent avec un ticket à usage unique, valable 30 secondes.
Isolation par utilisateur (anti-IDOR)
Toutes les ressources (personas, deals, sessions, transcripts) filtrées par user_id et vérifiées côté serveur. Seule exception, décrite ci-dessous : le manager d'une équipe.
Whitelist de champs (anti-Mass Assignment)
Les routes de mise à jour utilisent une liste explicite des champs modifiables. Aucune écriture arbitraire en base via le body de requête.
Multi-comptes et équipes
Pour les équipes, invitation par code. Le manager et les head of sales accèdent aux entraînements des commerciaux de leur espace (scores, transcripts, feedbacks, pipeline, enregistrements audio), jamais au-delà. Chaque commercial en est informé par une notice au moment de rejoindre l'équipe.
Pitchbase respecte le Règlement Général sur la Protection des Données (UE) 2016/679. Voici comment.
Rôles : Pitchbase agit comme responsable de traitement pour les comptes individuels (vous gérez vos propres données) et comme sous-traitant pour les abonnements équipes (votre entreprise reste responsable). Un accord de sous-traitance (article 28 du RGPD) est proposé aux équipes et aux écoles avec leur contrat.
Bases légales : exécution du contrat (création de compte, simulations), consentement via la bannière cookies (mesure d'audience et publicité), intérêt légitime avec opposition à tout moment (emails de nurture).
Vos droits : accès, rectification, suppression, portabilité, opposition, limitation. L'accès et la portabilité sont en libre-service et immédiats : Paramètres > Profil > « Exporter mes données » télécharge un fichier Excel (un onglet par type de données : profil, simulations avec transcriptions et scores, prospects, deals, offre, progression…), également disponible au format JSON pour le reprendre dans un autre outil. Pour les autres droits, écrivez à contact@pitchbase.app : réponse sous 30 jours, en pratique sous 7 jours ouvrés.
Suppression de compte : depuis votre page Paramètres, ou par email. Effet immédiat sur les données de production ; les sauvegardes chiffrées, conservées 7 jours, disparaissent ensuite. Seule exception : les obligations légales de conservation (facturation : 10 ans).
Notification d'incident : en cas de violation de données, nous notifions la CNIL sous 72 heures lorsque la loi l'exige (article 33 du RGPD) et vous prévenons directement si le risque pour vous est élevé (article 34). Pour les équipes et les écoles, nous prévenons votre organisation sans délai.
Pitchbase utilise des sous-traitants techniques pour l'hébergement, l'IA et le traitement vocal. Aucun de nos prestataires d'IA (OpenAI, Anthropic, Deepgram, Gradium) n'entraîne ses modèles sur vos données.
| Sous-traitant | Rôle | Localisation | Garanties |
|---|---|---|---|
| Supabase | Base de données, authentification, enregistrements | UE (Irlande) | DPA avec clauses contractuelles types |
| Render | Hébergement applicatif (réseau Cloudflare en frontal) | UE (Francfort) | DPA, certifié Data Privacy Framework |
| OpenAI | Analyse des appels, feedback, génération de personas depuis une description | US | Pas d'entraînement sur les données API ; conservation jusqu'à 30 jours pour la prévention des abus |
| Anthropic | LLM (réponses des personas en simulation, offre et prospects d'entraînement, dossiers de compte, description de l'écran partagé pendant un appel en visio) | US | Pas d'entraînement sur les données API ; conservation jusqu'à 30 jours ; les captures d'écran ne sont conservées ni par Pitchbase ni par Anthropic au-delà de la requête ; la caméra du commercial ne quitte jamais son navigateur |
| Deepgram | Reconnaissance vocale (transcription) | UE (endpoint européen), société US | DPA signé, programme d'entraînement désactivé |
| Gradium | Synthèse vocale (TTS) | France (UE) | Zéro rétention activée, aucun transfert hors UE |
| Stripe | Paiement | UE (Irlande) / US | PCI DSS niveau 1, certifié Data Privacy Framework |
| IONOS | Email transactionnel | UE (Allemagne) | Hébergement UE, pas de transfert |
| Google (Analytics, Ads) | Mesure d'audience et publicité | US | Chargé uniquement après consentement (bannière cookies, Consent Mode v2) |
| Meta | Mesure publicitaire (pixel) | US | Chargé uniquement après consentement (bannière cookies) |
| Google (connexion) | Connexion avec un compte Google, si vous la choisissez | US | Certifié Data Privacy Framework |
| Google Fonts, Unsplash, jsDelivr, unpkg, esm.sh, Tailwind CDN | Polices, images et bibliothèques chargées par les pages | US / réseau mondial | Reçoivent l'adresse IP du navigateur au chargement, aucune autre donnée |
Les transferts vers les États-Unis reposent sur le Data Privacy Framework UE-États-Unis pour les prestataires certifiés (Google, Meta, Stripe, Render), et sur les clauses contractuelles types de la Commission européenne (2021) pour les autres (OpenAI, Anthropic, Deepgram, Supabase).
Personas, deals, transcripts : conservés tant que votre compte est actif. Vous pouvez supprimer vos prospects et vos deals depuis l'interface ; l'historique de vos simulations est supprimé avec le compte.
Enregistrements audio : chaque simulation est enregistrée pour la réécoute et le feedback. Conservation 90 jours au maximum, purge automatique quotidienne, suppression immédiate avec le compte.
Logs techniques : conservés 12 mois au maximum pour le débogage et la sécurité ; en production, ils ne contiennent aucun contenu de conversation (métriques uniquement).
Données de facturation : conservées 10 ans (obligation légale française).
Suppression de compte : depuis la page Paramètres (onglet Profil, « Supprimer mon compte »). Purge immédiate des données personnelles et de production ; les sauvegardes, conservées 7 jours, disparaissent ensuite.
Headers HTTP
Helmet (CSP, HSTS, X-Frame)
Content Security Policy stricte sur l'application, avec un nonce par requête. HSTS forcé. X-Frame-Options SAMEORIGIN (anti-clickjacking).
Rate limiting
3 niveaux selon la sensibilité
Global 100 requêtes par minute, sensible (paiement, email, contact) 10 par minute, coûteux (IA) 5 par minute.
Anti-XSS
Échappement HTML systématique
Tout contenu dynamique passe par un escaper côté client avant insertion DOM. Aucune injection HTML non contrôlée.
Validation des uploads
Type, taille et propriétaire vérifiés
Enregistrements : formats audio uniquement, 50 Mo maximum, vérification du propriétaire de la session. Documents de votre offre (PDF, TXT, MD, HTML, 8 Mo) : lus en mémoire, seul le texte est conservé.
CORS strict
Production uniquement pitchbase.app
En NODE_ENV=production, seuls les domaines pitchbase.app et www.pitchbase.app sont autorisés à appeler l'API.
Mises à jour
Veille des dépendances
Suivi des vulnérabilités connues (npm audit) ; les correctifs de sécurité passent en priorité.
Si vous découvrez une faille de sécurité dans Pitchbase, merci de nous la signaler en privé avant toute publication. Nous nous engageons à :
Contact : contact@pitchbase.app (objet « Vulnérabilité sécurité »).
Dernière mise à jour de cette page : octobre 2026.
Données hébergées en Union européenne, Conforme RGPD, chiffrement en transit et au repos. Essai gratuit, 5 simulations à vie, sans carte bancaire.
Commencer gratuitementOu réservez une démo pour les équipes.