Dernière mise à jour le 14 octobre 2026

Confiance et sécurité chez Actor

Actor aide les organisations à gérer leurs e-mails, calendriers, tâches, workflows et connaissances métier. Comme ces systèmes peuvent contenir des informations professionnelles et personnelles sensibles, la sécurité, la confidentialité et le traitement responsable de l’IA sont intégrés à la conception et au fonctionnement d’Actor.
ce Centre de confiance explique comment Actor accède aux données des clients, les traite, les stocke, les protège et les partage, avec des précisions et des liens vers les documents et les mesures de contrôle qui étayent chaque affirmation.

Examiner les pratiques de sécurité
Consulter les sous-traitants
Télécharger l’accord de traitement des données
Signaler une vulnérabilité
Contacter l’équipe de sécurité
01

La confiance en un coup d’œil

Propriété des données

Les clients restent à tout moment propriétaires de leurs données et en gardent le contrôle.

Entraînement des modèles d’IA

Le contenu des clients n’est pas utilisé pour entraîner des modèles d’IA à usage général.

⏳ Périmètre précisé à la section 6

Accès sécurisé au compte

Actor se connecte à Google et Microsoft au moyen d’une autorisation basée sur OAuth : les mots de passe ne sont jamais stockés.

Chiffrement

Les données sont chiffrées en transit et protégées au repos au moyen de mesures conformes aux normes du secteur.

Minimisation des données

Actor traite uniquement les informations nécessaires pour fournir les fonctionnalités configurées par le client.

Contrôle du client

Supprimez votre compte Actor dans Paramètres → Compte → Supprimer le compte. Les données de l’organisation sont supprimées manuellement sur demande. Vous pouvez également révoquer l’accès aux comptes connectés.

02

Services couverts par ce centre de confiance

Cette page décrit les pratiques applicables à l’ensemble du produit Actor. Lorsqu’une pratique varie selon la fonctionnalité ou le forfait, cela est précisé dans la section correspondante.

Couvert
  • Application web Actor
  • Fonctionnalités de gestion des e-mails
  • Gestion du calendrier
  • Tâches et rappels
  • Flux de travail de Studio d’automatisation
  • Bibliothèque, connaissances et mémoire d’Actor
  • Extensions de navigateur
  • Complément Outlook
  • API
  • WhatsApp, Slack, Teams et autres canaux de communication activés
  • Applications mobiles et de bureau
  • Systèmes d’assistance et de retours d’expérience
Non couvert
  • Services tiers sélectionnés directement par les clients
  • Infrastructure gérée par le client
  • Applications externes connectées via des actions HTTP ou des webhooks
  • Fonctionnalités bêta, sauf inclusion explicite
03

Les rôles d’Actor en matière de confidentialité

Actor en tant que sous-traitant

Actor agit généralement en tant que sous-traitant des données sous-traitant lorsqu’il traite des données selon les instructions d’un client. Le client ou l’organisation détermine généralement pourquoi et comment ces données sont utilisées.

  • Contenu des e-mails
  • Informations du calendrier
  • Coordonnées
  • Tâches
  • Connaissances importées par les clients
  • Mémoire de l’organisation
  • Entrées et sorties des workflows
Actor en tant que responsable du traitement

Actor agit en tant que responsable du traitement pour les données qu’elle collecte et utilise à ses propres fins commerciales, indépendamment des instructions des clients.

  • Données d’inscription au compte
  • Visiteurs du site web
  • Dossiers de facturation et de paiement
  • Communications commerciales et marketing
  • Journaux de sécurité
  • Contacts avec le service client
  • Dossiers juridiques et de conformité
04

Comment Actor traite les données

1

Connecter

Compte autorisé

2

Récupérer

Données autorisées récupérées

3

Traiter

Tâche demandée lancée

4

Restituer

Résultat fourni ou action exécutée

5

Conserver

Uniquement le nécessaire

6

Supprimer

Conformément à la politique documentée

Autorisation

Les utilisateurs connectent Google, Microsoft et d’autres services à l’aide de mécanismes d’autorisation approuvés basés sur OAuth. Actor ne collecte ni ne stocke les mots de passe de services tiers.

Récupération

Actor récupère les informations conformément aux autorisations accordées par l’utilisateur et à la fonctionnalité précise utilisée — sans accès plus étendu que ne l’exige la tâche.

Traitement

Les services d’Actor et les sous-traitants agréés peuvent traiter certaines informations afin de les classer, de les résumer, d’en extraire des éléments, de rédiger des contenus, d’effectuer des recherches ou d’exécuter des actions pour le compte du client.

Stockage

Certaines informations sont traitées de manière temporaire, tandis que d’autres peuvent être stockées pour assurer le fonctionnement des workflows, des préférences, de la mémoire, des connaissances, de la traçabilité, des tâches, de l’assistance ou du compte. Consultez ci-dessous le tableau de gestion des données pour savoir quelles informations sont stockées par catégorie et pendant combien de temps.

Suppression

Supprimez votre compte Actor dans Paramètres → Compte → Supprimer le compte puis confirmez. Toutes les données associées au compte sont immédiatement supprimées des systèmes actifs. Si vous y êtes invité, déconnectez d’abord les comptes connectés.

La suppression des données de l’organisation est effectuée manuellement sur demande. Un administrateur de l’organisation doit contacter privacy@actordo.com ou le support d’Actor. La suppression d’un compte personnel n’entraîne pas la suppression des données de l’organisation.

Voir la section 12 pour connaître les délais d’expiration des sauvegardes et les enregistrements conservés de manière limitée.

Note de précision

Actor n’affirme pas de manière générale qu’il « ne stocke jamais » les données de messagerie ou de calendrier. Le stockage dépend des fonctionnalités : certains identifiants, interactions, notes et contenus fournis par l’utilisateur sont conservés pour permettre l’exécution des workflows, l’utilisation de la mémoire et l’assistance. Le tableau ci-dessous précise ces éléments par catégorie.

05

Matrice de traitement des données

Ce qu’Actor traite, pourquoi, si ces données sont stockées et où. Certaines durées de conservation peuvent être modifiées conformément aux accords.

Catégorie de données Exemples Pourquoi ces données sont traitées Stockées ? Durée de conservation habituelle Lieu de traitement
Données du compte Nom, adresse e-mail professionnelle, organisation Gestion du compte Oui Durée de vie du compte + période définie Infrastructure d’Actor
Identifiants OAuth Jetons d’accès et de renouvellement Maintenir les comptes connectés Oui Jusqu’à révocation ou déconnexion Stockage sécurisé des identifiants, chiffré
Contenu des e-mails Objet, corps du message, expéditeur, pièces jointes Classification, résumés, rédaction, workflows Non S/O Actor + fournisseurs d’IA approuvés
Métadonnées des e-mails ID du message, ID du fil de discussion, libellés Association des actions et des workflows Oui 30 jours Infrastructure d’Actor
Données de calendrier Titre de l’événement, participants, description Planification et rappels Cache temporaire / selon la fonctionnalité 1 heure Actor et fournisseurs approuvés
Métadonnées du calendrier Identifiants des calendriers et des événements Association des actions et des workflows Oui 30 jours Infrastructure d’Actor
Tâches Titre de la tâche, statut, date limite Gestion des tâches Cache temporaire / selon la fonctionnalité 1 heure Actor ou fournisseur connecté
Métadonnées des tâches Identifiants des listes de tâches et des tâches Association des actions et des workflows Oui 30 jours Infrastructure d’Actor
Connaissances Documents et textes importés par le client Recherche et assistance Oui Jusqu’à suppression Infrastructure d’Actor
Mémoire Préférences enregistrées et contexte appris Personnalisation Oui Jusqu’à suppression ou expiration Infrastructure d’Actor
Données de workflow Déclencheurs, conditions, actions, données d’exécution Automatisation Oui Jusqu’à suppression ; journaux conservés 30 jours Infrastructure d’Actor
Données d’assistance Commentaires, captures d’écran, contexte des e-mails sélectionnés Dépannage Oui, lors de l’envoi 6 mois Systèmes d’assistance
Journaux de sécurité Adresses IP, événements d’authentification, activité du système Sécurité et prévention de la fraude Oui 30 jours Infrastructure de journalisation
Liste noire d’Actor Adresse e-mail Sécurité et fraude Oui 2 ans Infrastructure d’Actor
Données de facturation Forfait, références de facture, statut du paiement Facturation Oui Durée de conservation légale Actor et prestataire de paiement
06

Pratiques en matière d’IA et d’apprentissage automatique

Actor peut utiliser un ou plusieurs fournisseurs de modèles d’IA selon la configuration du client, la fonctionnalité utilisée, la région, les exigences de sécurité, l’accord d’entreprise et la disponibilité des modèles. Les fournisseurs spécifiques utilisés pour votre organisation figurent dans le tableau des sous-traitants de la section 10.

  • Modèles propres à Actor : Actor n’entraîne pas ses propres modèles d’IA à usage général à partir du contenu des clients.
  • Fournisseurs externes : Dans le cadre des conditions commerciales convenues avec Actor, les fournisseurs d’IA agréés n’entraînent pas leurs modèles à partir du contenu soumis par les clients.
  • Commentaires volontaires : Les commentaires transmis volontairement par les utilisateurs (par exemple, au moyen des outils de commentaires intégrés au produit) peuvent être utilisés pour améliorer Actor.
  • Données d’utilisation agrégées : Les données d’utilisation anonymisées ou agrégées peuvent être utilisées pour améliorer les performances et la fiabilité du produit.
  • Désinscription : Le cas échéant, les clients peuvent contacter Actor pour discuter des options de désinscription concernant les commentaires volontaires ou les données d’utilisation agrégées.
  • Les périodes de conservation chez les fournisseurs d’IA varient selon le fournisseur et sont indiquées dans le tableau des sous-traitants ultérieurs.
  • Une conservation à des fins de surveillance des abus peut s’appliquer au niveau du fournisseur, si celui-ci la propose.
  • Des configurations sans conservation de données sont disponibles pour les contrats d’entreprise admissibles, si le fournisseur sous-jacent les prend en charge.
  • Le stockage des invites et des résultats par Actor dépend de la fonctionnalité utilisée : consultez la matrice de traitement des données à la section 5.
  • Les configurations d’entreprise peuvent différer des configurations par défaut ou en libre-service ; contactez l’équipe de sécurité pour connaître la configuration spécifique de votre organisation.

Le personnel autorisé peut accéder aux informations des clients uniquement dans les circonstances suivantes :

  • Assistance demandée par le client
  • Enquête de sécurité
  • Obligations légales
  • Envoi de commentaires explicites (par exemple, lorsqu’un utilisateur joint volontairement le contenu d’un e-mail à une demande d’assistance)
  • Dépannage opérationnel restreint et consigné
Note de clarification Lorsqu’un utilisateur transmet volontairement le contenu d’un e-mail dans le cadre d’une demande d’assistance, ce contenu peut être consulté par le personnel d’assistance afin de traiter la demande. Cela ne correspond pas à un accès courant ou automatique au contenu des e-mails, qui n’a pas lieu.

Les données client, la mémoire, les connaissances, les workflows et le contexte récupéré sont accessibles uniquement à l’utilisateur et à l’organisation autorisés. Les données d’une organisation ne sont ni accessibles à une autre organisation ni utilisées par celle-ci.

Les clients contrôlent les actions automatisées activées au sein de leur organisation et restent responsables de vérifier les résultats générés par l’IA lorsque cela est nécessaire, en particulier pour les actions ayant des effets externes ou irréversibles.

07

Mesures de sécurité

  • Intégrations OAuth 2.0 pour les comptes connectés
  • Contrôle d’accès basé sur les rôles au sein des organisations Actor
  • Contrôle de l’appartenance à l’organisation
  • Délégation par l’utilisateur
  • Restrictions d’accès privilégié aux systèmes internes
  • Examens périodiques des accès
  • Procédures de départ des employés
  • Disponibilité de l’authentification unique (SSO) — selon le forfait
  • Disponibilité de l’authentification multifacteur (MFA)
Note sur l’architecture Lorsque l’authentification est déléguée à Google, Microsoft ou à un fournisseur d’identité d’entreprise, l’authentification multifacteur (MFA) et l’authentification unique (SSO) sont appliquées par ce fournisseur d’identité plutôt que directement par Actor. Cette page décrit l’architecture d’authentification réelle, sans laisser entendre qu’Actor met en œuvre ces contrôles de manière indépendante.

Connectez-vous avec Google ou Microsoft, ou utilisez Authentification unique en entreprise via OpenID Connect (OIDC) le fournisseur d’identité configuré pour votre organisation. SAML n’est pas encore pris en charge. Choisissez Continuer avec l’authentification unique d’entreprise, saisissez votre adresse e-mail professionnelle et suivez la procédure de connexion de votre entreprise. Votre domaine de messagerie doit être configuré pour l’authentification unique (SSO) ; contactez votre administrateur ou le support d’Actor pour la configuration.

Actor ne reçoit ni ne stocke le mot de passe associé à votre fournisseur. L’authentification multifacteur (MFA) est gérée par votre fournisseur d’identité conformément à ses politiques. La connexion permet de vous identifier ; OAuth autorise séparément l’accès aux e-mails, au calendrier et aux tâches. Examinez l’écran de consentement de chaque connecteur et obtenez l’approbation d’un administrateur lorsque cela est nécessaire.

  • Chiffrement en transit (TLS) des données échangées entre Actor, les clients et les sous-traitants approuvés
  • Chiffrement au repos des données clients stockées
  • Protection des jetons OAuth grâce à un stockage sécurisé dédié des identifiants
  • Gestion centralisée des secrets pour les identifiants des applications et de l’infrastructure
  • Accès aux clés réservé aux systèmes et au personnel autorisés
  • Pratiques de rotation des clés
  • Chiffrement des sauvegardes
  • Pratiques de développement logiciel sécurisé
  • Revue du code avant fusion
  • Analyse automatisée des dépendances
  • Analyse statique
  • Analyse des vulnérabilités
  • Séparation des environnements (développement, préproduction, production)
  • Pratiques de déploiement sécurisé
  • Gestion des changements
  • Contrôles de sécurité des API
  • Modèle d’hébergement cloud — voir la section 11 pour les lieux de traitement
  • Isolation réseau entre les environnements
  • Pare-feu
  • Autorisations d’accès à l’infrastructure selon le principe du moindre privilège
  • Surveillance de l’infrastructure
  • Gestion des correctifs
  • Contrôles de sécurité des bases de données
  • Protection des sauvegardes
  • Surveillance de l’authentification
  • Journalisation des actions administratives
  • Surveillance des événements de sécurité
  • Surveillance des défaillances de service
  • Détection des accès suspects
  • Accès restreint aux journaux
  • Périodes de conservation des journaux définies
Note de précision Le système Actor n’enregistre aucun contenu d’e-mail. Les pratiques d’enregistrement dans les journaux de l’application, les rapports d’erreurs, les outils de surveillance, les files d’attente et les outils d’assistance font actuellement l’objet d’un examen afin d’en vérifier la cohérence avec cette déclaration. Cette section sera mise à jour pour refléter le périmètre vérifié. Certains journaux contiennent des identifiants d’e-mail, mais pas leur contenu.
  • Accords de confidentialité pour les employés et les prestataires
  • Formation à la sensibilisation à la sécurité
  • Accès selon les rôles et les fonctions
  • Vérifications des antécédents → actuellement non effectuées
  • Procédures formelles d’approbation et de révocation des accès

Actor maintient une

Programme de divulgation des vulnérabilités

qui définit le périmètre, les règles de signalement, les dispositions de sphère de sécurité et la procédure de signalement à l’intention des chercheurs en sécurité.

08

Confidentialité

  • Minimisation des données : nous ne stockons que les données nécessaires à la fourniture des services d’Actor
  • Limitation des finalités : les données sont utilisées uniquement pour les fonctionnalités de l’assistant, l’assistance, la sécurité et le respect des obligations légales
  • Propriété des données par les clients : les utilisateurs gardent le contrôle de leurs données et de leurs comptes connectés
  • Droits des utilisateurs : accès, rectification, suppression, portabilité, opposition et retrait du consentement
  • Suppression des données : les utilisateurs peuvent supprimer leurs données et révoquer à tout moment l’accès aux comptes connectés
  • Exportation des données : les données peuvent être exportées dans un format structuré lisible par machine
  • Transferts internationaux : protégés par des accords de traitement des données, des clauses contractuelles types et les garanties applicables
  • Demandes gouvernementales et juridiques : les données ne sont partagées que lorsque la loi l’exige
  • Protection de la vie privée dès la conception : OAuth, chiffrement, accès limité et aucune utilisation des données des utilisateurs pour entraîner des LLM
  • Cookies, analyses et retours : utilisés pour améliorer le produit, jamais vendus ni utilisés à des fins publicitaires
Politique de confidentialité →
Accord de traitement des données →
Instructions de suppression →
Politique relative aux cookies →
09

Conformité et soutien réglementaire

Actor accompagne ses clients dans le respect de leurs obligations au titre du RGPD grâce à des engagements contractuels, des conditions de traitement des données, des mesures de sécurité, une assistance aux personnes concernées et une communication transparente sur les sous-traitants ultérieurs. L’accord de traitement des données documente les instructions de traitement, les mesures de sécurité, les sous-traitants ultérieurs, les obligations d’assistance, la suppression des données, les droits d’audit et les transferts internationaux, conformément aux mesures techniques et organisationnelles attendues des accords de sous-traitance de l’UE.

Actor applique des mesures techniques et organisationnelles conçues pour protéger les données personnelles conformément aux exigences suisses applicables en matière de protection des données, notamment des mesures de contrôle comme le chiffrement, l’authentification et l’anonymisation, que le PFPDT considère comme des garanties appropriées.

Pour les traitements concernés, Actor agit en qualité de prestataire de services ou de sous-traitant, selon le cas, au titre du CCPA/CPRA. Actor ne prétend pas détenir une « certification CCPA » générale : le CCPA n’est pas un système de certification SaaS.

Un traitement conforme aux exigences de la HIPAA peut être proposé aux clients professionnels admissibles, sous réserve de la signature d’un accord de partenaire commercial (BAA) et de l’approbation de la configuration.

Les clients doivent contacter Actor avant d’utiliser le service pour traiter des informations de santé protégées électroniques (ePHI).

Cela ne signifie pas qu’« Actor est conforme à la HIPAA » pour tous les forfaits et toutes les intégrations. Selon les directives du HHS, les fournisseurs de services cloud et leurs sous-traitants qui créent, reçoivent, conservent ou transmettent des informations de santé protégées sous forme électronique (ePHI) doivent généralement conclure un BAA approprié, même lorsque les données sont chiffrées ou que le fournisseur ne détient pas la clé de chiffrement. Avant tout traitement d’ePHI, Actor vérifie les éléments suivants :

  • Chaque sous-traitant concerné propose un accord de partenariat commercial (BAA)
  • Les fournisseurs d’IA sélectionnés sont approuvés pour traiter des informations de santé protégées (PHI)
  • Les outils de journalisation et d’assistance sont couverts
  • Le forfait et la configuration sont clairement limités au périmètre approuvé
  • Une analyse des risques est réalisée
  • L’accord de partenariat commercial (BAA) d’Actor correspond aux activités réelles

Certifications et attestations

✓ Terminé

Certifié ou évalué de manière indépendante

Google CASA 2, HIPAA, RGPD

→ Alignement

Référentiels de sécurité appliqués

Mesures de contrôle sélectionnées et alignées sur des référentiels tels qu’ISO 27001, NIST, CIS ou OWASP.

⏳ Prévu

Prévu

SOC 2 Type I (en cours), ISO 27001 et tests d’intrusion indépendants sont prévus.

Actor n’affiche pas de badge de certification en se fondant uniquement sur la certification d’un fournisseur de services cloud sous-jacent.

10

Sous-traitants ultérieurs

Toutes les organisations susceptibles de traiter des données client pour le compte d’Actor, regroupées par fonction. Google et Microsoft sont présentés séparément lorsqu’ils agissent en tant que fournisseurs indépendants de messagerie ou de calendrier du client, et non en tant que sous-traitants ultérieurs d’Actor — voir la note sous le tableau.

Infrastructure de base
Traitement par l’IA
Opérations et sécurité
Intégrations facultatives
Entité juridique Service Finalité Données concernées Lieu du traitement Mécanisme de transfert Obligatoire ? Date d’entrée en vigueur
Infrastructure centrale — hébergement, bases de données, stockage, réseau, sauvegardes
Google Cloud EMEA Limited / Google LLC Plateforme Google Cloud Hébergement cloud, puissance de calcul, bases de données, stockage, réseau, sauvegardes et sécurité de l’infrastructure. Données de compte, données d’application, données de configuration, journaux, métadonnées et sauvegardes chiffrées. UE / EEE et autres régions Google Cloud, selon la configuration. Accord sur le traitement des données (DPA), clauses contractuelles types (CCT) et garanties applicables aux transferts de données. Oui 15 oct. 2024
Microsoft Ireland Operations Limited / Microsoft Corporation Microsoft Azure Hébergement cloud, puissance de calcul, bases de données, stockage, réseau, sauvegardes et sécurité de l’infrastructure. Données de compte, données d’application, données de configuration, journaux, métadonnées et sauvegardes chiffrées. UE / EEE et autres régions Azure, selon la configuration. Accord sur le traitement des données (DPA), clauses contractuelles types (CCT) et garanties applicables aux transferts de données. Oui 15 déc. 2024
DigitalOcean, LLC Plateforme cloud DigitalOcean Hébergement cloud, puissance de calcul, bases de données, stockage, réseau, sauvegardes et sécurité de l’infrastructure. Données de compte, données d’application, données de configuration, journaux, métadonnées et sauvegardes chiffrées. UE / EEE et autres régions DigitalOcean, selon la configuration. Accord sur le traitement des données (DPA), clauses contractuelles types (CCT) et garanties applicables aux transferts de données. Oui 30 oct. 2024
Traitement par l’IA — fournisseurs de LLM, fournisseurs de modèles d’intégration, traitement de la parole
Google Cloud EMEA Limited / Google LLC Google Gemini / Vertex AI Traitement par des modèles d’IA pour la classification, la synthèse, la rédaction, l’assistance, la génération de représentations vectorielles et d’autres fonctionnalités d’IA. Invites des utilisateurs, contenu des e-mails sélectionné pour traitement, contexte du calendrier et des tâches, métadonnées, résultats générés. UE / EEE et autres régions Google Cloud, selon la configuration. Accord sur le traitement des données (DPA), clauses contractuelles types (CCT) et garanties applicables aux transferts de données. Oui, pour les fonctionnalités d’IA utilisant Gemini 01 Dec 2024
Anthropic, PBC Anthropic Claude Traitement par des modèles d’IA pour la classification, la synthèse, la rédaction, l’assistance et d’autres fonctionnalités d’IA. Invites des utilisateurs, contenu des e-mails sélectionné pour traitement, contexte du calendrier et des tâches, métadonnées, résultats générés. États-Unis et autres lieux, selon la configuration du service. Accord sur le traitement des données (DPA), clauses contractuelles types (CCT) et garanties applicables aux transferts de données. Oui, pour les fonctionnalités d’IA utilisant Claude 12 Feb 2025
OpenAI, L.L.C. API OpenAI Traitement par des modèles d’IA pour la classification, la synthèse, la rédaction, l’assistance, la génération de représentations vectorielles et d’autres fonctionnalités d’IA. Invites des utilisateurs, contenu des e-mails sélectionné pour traitement, contexte du calendrier et des tâches, métadonnées, résultats générés. États-Unis et autres lieux, selon la configuration du service. Accord sur le traitement des données (DPA), clauses contractuelles types (CCT) et garanties applicables aux transferts de données. Oui, pour les fonctionnalités d’IA utilisant OpenAI 01 Oct 2024
Opérations et sécurité — surveillance, suivi des erreurs, assistance, authentification, communication
Datadog, Inc. Surveillance des systèmes et des applications Surveillance des systèmes, analyse des performances, journaux, mesures, alertes et surveillance de la sécurité. Journaux système, métadonnées, adresses IP, données sur les appareils et les navigateurs, événements d’utilisation, identifiants techniques. UE / États-Unis, selon la configuration. Accord sur le traitement des données (DPA), clauses contractuelles types (CCT) et garanties applicables aux transferts de données. Facultatif / À confirmer 17 mai 2025
Cloudflare, Inc. Réseau de diffusion de contenu (CDN), DNS, sécurité et protection réseau Diffusion de contenu, DNS, protection contre les attaques DDoS, pare-feu, protection contre les robots et sécurité du trafic. Adresse IP, métadonnées des requêtes, informations sur le navigateur et l’appareil, journaux de sécurité, identifiants techniques. Emplacements du réseau mondial. Accord sur le traitement des données (DPA), clauses contractuelles types (CCT) et garanties applicables aux transferts de données. Facultatif / À confirmer 01 Oct 2024
Stripe, Inc. Paiements et facturation Facturation des abonnements, traitement des paiements, factures, gestion fiscale et prévention de la fraude. Coordonnées du contact de facturation, métadonnées de paiement, données de transaction, données de facturation et identifiants de compte limités. UE / États-Unis, selon la configuration. Accord sur le traitement des données (DPA), clauses contractuelles types (CCT) et garanties applicables aux transferts de données. Oui, pour les clients payants 01 mai 2025
Google LLC Google OAuth / API Google Workspace Authentification et accès autorisé par le client à Gmail, Google Calendar et aux services Google associés. Nom, adresse e-mail, jetons OAuth, données de messagerie, de calendrier et de tâches autorisées selon les permissions accordées. UE / États-Unis et autres emplacements de Google selon la configuration. Accord sur le traitement des données (DPA), clauses contractuelles types (CCT) et garanties applicables aux transferts de données. Facultatif, uniquement lorsque le client l’active 15 oct. 2024
Microsoft Corporation Microsoft Entra ID / API Microsoft Graph Authentification et accès autorisé par le client à Outlook, Microsoft Calendar, aux utilisateurs et aux services Microsoft associés. Nom, adresse e-mail, jetons OAuth, données de messagerie, de calendrier et de tâches autorisées selon les permissions accordées. UE / États-Unis et autres emplacements de Microsoft selon la configuration. Accord sur le traitement des données (DPA), clauses contractuelles types (CCT) et garanties applicables aux transferts de données. Facultatif, uniquement lorsque le client l’active 12 déc. 2024
Intégrations facultatives — utilisées uniquement lorsqu’un client active la fonctionnalité correspondante
Zapier, Inc. Intégration d’automatisation des flux de travail Automatisation facultative des flux de travail entre Actor et des applications tierces, configurée par le client. Données de flux de travail sélectionnées par le client, métadonnées, identifiants de compte et données d’événement. États-Unis et autres emplacements, selon la configuration. Accord sur le traitement des données (DPA), clauses contractuelles types (CCT) et garanties applicables aux transferts de données. Facultatif 01 janv. 2026
Google et Microsoft — clarification des rôles

Lorsque Google ou Microsoft fournit le service de messagerie et de calendrier propre au client, il agit en tant que fournisseur indépendant du client, et non en tant que sous-traitant ultérieur d’Actor. Lorsque Actor achète lui-même des services d’infrastructure, tels que Google Cloud ou Microsoft Azure, pour exploiter le service Actor, l’entité concernée est répertoriée ci-dessus comme sous-traitant ultérieur d’Actor pour cet usage précis.

11

Emplacement des données et transferts internationaux

Activité de traitement Lieu principal Autres lieux possibles Le client peut-il choisir ?
Hébergement de l’application Actor New York Amsterdam, Zurich Oui, offre entreprise
Stockage de base de données New York Emplacement de sauvegarde : New York 2 Oui, offre entreprise
Inférence de l’IA Dépend du fournisseur États-Unis et UE uniquement Oui, offre entreprise
Surveillance et journaux New York Amsterdam Oui, offre entreprise
Assistance clientèle Suisse / UE Non
Recommandations du PFPDT suisse

Les transferts de données transfrontaliers nécessitent de tenir compte du niveau de protection des données du pays de destination et de mettre en place des garanties appropriées lorsque ce niveau est jugé insuffisant. Les mécanismes de transfert d’Actor sont documentés dans le DPA.

12

Conservation et suppression des données

Les durées de conservation varient selon la catégorie de données. La suppression d’un compte entraîne la suppression immédiate des données qui lui sont associées dans les systèmes actifs ; les sauvegardes expirent selon leur cycle de 30 jours. Les données limitées conservées à des fins de sécurité et les archives dont la conservation est légalement obligatoire sont soumises aux durées indiquées ci-dessous. La suppression d’un compte ne constitue pas une option d’archivage.

Catégorie Conservation
Données du compte Jusqu’à révocation ou déconnexion par l’utilisateur. Suppression automatique après 14 jours sans accès
Jetons des comptes connectés Jusqu’à révocation ou déconnexion par l’utilisateur
Contenu des e-mails et du calendrier 30 jours — identifiants uniquement
Identifiants des messages et des événements 30 jours
Connaissances et mémoire Jusqu’à suppression par l’utilisateur ou l’organisation
Historique des workflows 30 jours
Invites et résultats de l’IA 24 heures
Tickets d’assistance 12 mois
Journaux de sécurité 6 mois
Sauvegardes 30 jours
Registres de facturation Selon les exigences légales applicables en matière de conservation
Comptes supprimés 12 mois Adresses e-mail chiffrées

Supprimez votre compte Actor dans Paramètres → Compte → Supprimer le compte puis confirmez. Toutes les données associées au compte sont immédiatement supprimées des systèmes actifs. Si vous y êtes invité, déconnectez d’abord les comptes connectés.

La suppression des données de l’organisation est effectuée manuellement sur demande. Un administrateur de l’organisation doit contacter privacy@actordo.com ou le support d’Actor. La suppression d’un compte personnel n’entraîne pas la suppression des données de l’organisation.

Les sauvegardes peuvent encore contenir des données de configuration jusqu’à leur expiration, au bout de 30 jours. Les archives chiffrées limitées des adresses e-mail des comptes supprimés et les données de sécurité sont soumises au calendrier de conservation indiqué ci-dessus ; les données de facturation sont conservées lorsque la loi l’exige.

  • Supprimez votre compte Actor personnel dans Paramètres → Compte → Supprimer le compte.
  • Demandez la suppression manuelle des données de l’organisation via privacy@actordo.com ou auprès de l’assistance Actor.
  • Révoquez l’accès à Google ou Microsoft dans les paramètres d’autorisations des applications du fournisseur. La révocation de l’accès est distincte de la suppression des données Actor.
13

Fiabilité et continuité des activités

  • Page publique d’état du service
  • Historique des incidents
  • Objectif de disponibilité — lorsqu’il est prévu au contrat
  • Surveillance continue
  • Sauvegardes et reprise après sinistre
  • Tests de reprise
  • Objectif de délai de reprise (RTO) et objectif de point de reprise (RPO)
  • Gestion des changements et des mises en production
Note de précision

Les valeurs précises de RTO, de RPO et de disponibilité ne seront publiées qu’une fois qu’Actor sera en mesure de les respecter de manière constante. Elles figureront ici avec leurs dates d’entrée en vigueur dès qu’elles auront été finalisées.

14

Gestion des incidents

Le processus ci-dessous est décrit avec un niveau de détail suffisant pour permettre son évaluation, sans révéler d’informations internes sensibles.

1

Détection

2

Escalade

3

Confinement

4

Enquête

5

Notification

6

Rétablissement

7

Examen

Pour chaque incident de sécurité confirmé, ce processus couvre l’escalade interne, le confinement, l’enquête, la notification des clients, la coopération avec les autorités de réglementation lorsque cela est requis, le rétablissement et un examen après incident.

Incident de sécurité

security@actordo.com

Sécurité générale

security@actordo.com

Rapport de vulnérabilité

security@actordo.com
15

Documents relatifs à la sécurité et aux aspects juridiques

Documents publics

Politique de confidentialitéVoir →
Conditions généralesVoir →
Liste des sous-traitants ultérieursVoir →
Mesures techniques et organisationnellesVoir →
Programme de divulgation des vulnérabilitésVoir →
Politique relative aux cookiesVoir →
Politique d’utilisation acceptableVoir →
Politique de conservation des données (résumé)Voir →

Disponibles sur demande → demander l’accès

Accord sur le traitement des donnéesDemander →
Accord de partenariat commercial HIPAADemander →
Architecture de sécurité détailléeDemander →
Questionnaire de sécurité rempliDemander →
Résumé exécutif du test d’intrusionDemander →
Résumé de la continuité des activitésDemander →
Résumé de la réponse aux incidentsDemander →
Documentation sur les risques liés aux fournisseursDemander →
Évaluation de l’impact des transfertsDemander →
Mesures techniques et organisationnelles détailléesDemander →

En cours de réalisation

Rapport SOC 2 Type I ⏳ en cours
Certification ISO 27001 ⏳ prévue
16

Questions fréquentes

Cela dépend de la fonctionnalité. Certains contenus d’e-mails sont traités temporairement pour exécuter une tâche demandée ; d’autres contenus — tels que des identifiants, des résumés ou le contexte nécessaire aux workflows et à la mémoire — peuvent être stockés. Consultez la matrice de traitement des données de la Section 5 pour obtenir des détails par catégorie.

Actor demande les autorisations OAuth nécessaires aux fonctionnalités spécifiques que vous activez. Vous pouvez les consulter et les révoquer à tout moment dans les paramètres de votre compte Google ou Microsoft.

Le contenu des clients n’est pas utilisé pour entraîner des modèles d’IA à usage général. Consultez la Section 6 pour obtenir le détail complet concernant les modèles propres à Actor, les fournisseurs externes, les commentaires facultatifs et les données d’utilisation agrégées.

La liste actuelle des fournisseurs d’IA est publiée dans le tableau des sous-traitants de la Section 10 et peut varier selon la fonctionnalité, la région et la configuration de l’offre Entreprise.

Cette option peut être configurable dans le cadre de certains accords d’entreprise. Contactez l’équipe de sécurité pour discuter des options adaptées à votre organisation.

Aucun accès courant ou automatique au contenu des e-mails n’a lieu. Le personnel autorisé ne peut accéder à ce contenu que dans des circonstances précises — par exemple, dans le cadre d’une demande d’assistance pour laquelle vous avez volontairement inclus du contenu d’e-mail — décrites à la Section 6.

Consultez la matrice des emplacements des données à la Section 11 pour connaître les activités de traitement par emplacement.

Les durées de conservation varient selon la catégorie de données. Consultez la Section 12 pour prendre connaissance du calendrier complet de conservation.

Supprimez votre compte Actor dans Paramètres → Compte → Supprimer le compte puis confirmez. Toutes les données associées au compte sont immédiatement supprimées des systèmes actifs. Si vous y êtes invité, déconnectez d’abord les comptes connectés.

La suppression des données de l’organisation est effectuée manuellement sur demande. Un administrateur de l’organisation doit contacter privacy@actordo.com ou le support d’Actor. La suppression d’un compte personnel n’entraîne pas la suppression des données de l’organisation.

Consultez la Section 12 pour connaître les exceptions relatives aux sauvegardes et à la conservation.

Vous pouvez révoquer à tout moment l’accès d’Actor directement depuis la page des autorisations de votre compte Google ou les paramètres de sécurité de votre compte Microsoft.

Oui — consultez la section 9 pour savoir comment Actor aide ses clients à respecter leurs obligations au titre du RGPD grâce à l’accord de traitement des données, aux mesures de sécurité et à la transparence concernant les sous-traitants ultérieurs.

Oui. L’accord de traitement des données est disponible à la section 15.

Un traitement conforme à l’HIPAA peut être proposé aux clients Business admissibles, sous réserve de la signature d’un BAA et de la configuration approuvée. Cette option n’est pas disponible par défaut dans tous les forfaits — consultez la section 9 pour en savoir plus et connaître les étapes requises avant tout traitement d’ePHI.

Oui, pour les clients Business. Contactez l’équipe de sécurité pour entamer la procédure — consultez la section 18.

La liste complète, classée par fonction, figure à la section 10.

Consultez cette page pour suivre les mises à jour des modifications concernant la section 10. Les modifications sont communiquées avec un préavis défini avant leur entrée en vigueur, ainsi qu’une procédure d’objection.

Connectez-vous avec Google ou Microsoft, ou utilisez Authentification unique en entreprise via OpenID Connect (OIDC) le fournisseur d’identité configuré pour votre organisation. SAML n’est pas encore pris en charge. Choisissez Continuer avec l’authentification unique d’entreprise, saisissez votre adresse e-mail professionnelle et suivez la procédure de connexion de votre entreprise. Votre domaine de messagerie doit être configuré pour l’authentification unique (SSO) ; contactez votre administrateur ou le support d’Actor pour la configuration.

Actor ne reçoit ni ne stocke le mot de passe associé à votre fournisseur. L’authentification multifacteur (MFA) est gérée par votre fournisseur d’identité conformément à ses politiques. La connexion permet de vous identifier ; OAuth autorise séparément l’accès aux e-mails, au calendrier et aux tâches. Examinez l’écran de consentement de chaque connecteur et obtenez l’approbation d’un administrateur lorsque cela est nécessaire.

Utilisez le programme de divulgation des vulnérabilités indiqué à la section 15, ou envoyez un e-mail à

security@actordo.com

directement.

Des tests d’intrusion indépendants sont effectués régulièrement. Consultez la section 9, « Certifications et attestations ».

Consultez la section 12 pour savoir ce qui se passe immédiatement après la suppression, ce qui est conservé temporairement dans les sauvegardes et les éventuelles exceptions légales applicables.

17

Mises à jour et journal des modifications

Cela montre que le Centre de confiance est activement tenu à jour et qu’il ne s’agit pas d’une page statique.

18 janvier 2026

Lancement du Centre de confiance

3 mars 2026

Informations sur la conservation mises à jour

18

Contact et demande de documents

Pour les documents sensibles, veuillez envoyer un e-mail à security@actordo.com ou nous contacter en privé.

security@actordo.com · privacy@actordo.com