Corma intègre la sécurité et la confidentialité dès la conception.
Cette page présente tout ce que vous devez savoir sur la façon dont nous collectons, stockons et protégeons vos données, de l'infrastructure technique à la conformité au RGPD.
Corma est certifié ISO/IEC 27001:2022, ce qui confirme que notre produit, nos services et nos processus internes répondent aux normes de sécurité les plus exigeantes. Notre stratégie de sécurité s'articule autour de trois missions :
Crédibilité et confiance : des mesures de sécurité de niveau professionnel et un respect constant des exigences des clients
Contrôle et résilience : une approche de la sécurité fondée sur les risques
Détection et réponse : identification et traitement rapides des événements suspects
| Sujet | Détails |
|---|---|
| 💽 Hébergement | Toutes les données sont hébergées en France sur des serveurs AWS (région de Paris) |
| 🔐 Conformité | Certifié ISO 27001 |
| 🙅 Protection des données | Données personnelles collectées limitées, chiffrées et systématiquement pseudonymisées |
| ☁️ Sous-traitants | AWS (cloud), Google (IdP), GitHub (gestion de versions), Vercel (déploiement), Heroku (backend et API), Posthog (analyse produit), Nango (API unifiée), Browserbase (infrastructure d'agents de navigation), Productlane (support client), Scalar (hébergement de la documentation API), Brevo (automatisation des e-mails) |
Corma aide les entreprises à optimiser et automatiser la gestion des accès (onboarding, offboarding, demandes d'accès, suivi des licences). Pour fournir ces services, nous avons besoin de savoir quels outils logiciels sont utilisés dans votre entreprise et comment ils le sont.
Corma ne collecte que les données strictement nécessaires pour découvrir les outils informatiques et les accès, et comprendre les tendances d'utilisation globales. Toutes les analyses sont réalisées à un niveau agrégé. Le suivi individuel ne nous intéresse pas.
Corma collecte uniquement les données suivantes.
Pour chaque URL visitée par un utilisateur authentifié, nous enregistrons :
ID de l'utilisateur, horodatage, nom du site web (URL brute), durée d'activité
Hôte de l'URL, sous-domaine, chemin de l'URL
ID SaaS, ID SaaS interne, statut SaaS, ID d'annuaire SaaS
Les URL sont filtrées par l'extension à l'aide d'un système de liste blanche avant d'atteindre notre base de données. L'usage personnel (YouTube, réseaux sociaux, etc.) est automatiquement exclu.
Nom d'utilisateur, e-mail, dernière activité, date d'attribution, attribué par, rôles, type de licence, groupes
Liste des utilisateurs (e-mail, nom, ID, équipe, statut administrateur, rôles)
Applications tierces, journaux SSO/SAML
Jetons d'authentification, horodatage des jetons, scopes accordés aux applications externes
Applications installées (packages Microsoft Store, applications classiques, outils en ligne de commande présents dans le PATH)
Activité : utilisation au premier plan ou en arrière-plan, lignes de commande exécutées depuis le terminal
Date d'arrivée, date de départ, intitulé de poste, équipe/département, manager, pays, e-mail personnel, champs personnalisés
Factures (coût, devise, date, fournisseur)
ID du ticket, titre, personne assignée, contenu
Ce que Corma ne collecte PAS : les clics, la position de la souris, le défilement, les frappes au clavier, les identifiants de connexion, l'usage de logiciels privés, ni les données saisies dans vos outils.
Pseudonymisation à l'envoi : les données envoyées par l'extension de navigateur sont anonymisées avant leur transmission, de sorte que des données interceptées ne peuvent pas être rattachées à une personne précise.
Exclusion automatique des outils privés : Corma utilise une liste blanche de plus de 50 000 outils SaaS disponibles dans le commerce. Les logiciels privés sont automatiquement exclus. Si un utilisateur se connecte avec une adresse e-mail personnelle, son utilisation n'est pas suivie.
Agrégation des données : Corma n'affiche que des données agrégées. La granularité maximale correspond au nombre d'utilisations quotidiennes, hebdomadaires ou mensuelles, à la dernière activité et à la fréquence de connexion.
La liste blanche de Corma contient plus de 50 000 applications et elle est :
Mise à jour en continu
Modifiable par les administrateurs
Compatible avec les URL personnalisées des clients pour les applications on-premise
Toutes les données sont stockées en France ou dans l'Union européenne
Toutes les données sont chiffrées au repos et en transit
Le stockage est sécurisé au sein d'un AWS Virtual Private Cloud, accessible uniquement via MFA
En interne, l'accès est limité selon le principe du besoin d'en connaître
Aucune donnée d'utilisation individuelle n'est accessible aux entreprises clientes ni partagée avec elles
Corma ne fournit pas de données personnelles à ses clients
| Type de données | Corma | Entreprise cliente |
|---|---|---|
| Données personnelles (e-mail) | Brièvement, supprimées après l'onboarding | Non |
| Connexions/déconnexions aux outils de l'entreprise | Oui, de façon anonyme uniquement | Oui, de façon anonyme uniquement |
| Sites web visités | Oui, de façon anonyme et uniquement s'ils sont liés au travail | Non |
| Activités dans les outils | Non | Non |
| Identifiants de connexion | Non | Non |
Pour bien fonctionner avec Corma, les entreprises clientes doivent :
Utiliser Google Workspace ou Microsoft (Azure AD)
Utiliser les navigateurs Chrome, Chromium, Edge, Safari ou Firefox
Avoir un usage significatif d'outils SaaS web
Toutes les offres incluent les méthodes d'authentification suivantes :
SSO Google
SSO Microsoft
SSO SAML avec n'importe quel fournisseur.
Pour configurer votre compte, vous aurez tout de même besoin de Google ou de Microsoft. Si ce n'est pas votre cas, contactez-nous directement à [email protected]
Corma est conforme au RGPD. Les données personnelles sont protégées par chiffrement et hachage. Nous appliquons des politiques strictes de conservation des données et de contrôle des accès. Nos délégués à la protection des données (DPO) confirment notre conformité.
Pour en savoir plus, consultez notre Politique de confidentialité ou l'accord de traitement des données (DPA) conclu entre votre entreprise et Corma.
Contactez-nous à [email protected] ou adressez-vous au délégué à la protection des données de votre entreprise.
