La sécurité chez Lutril
Ce que Lutril collecte, champ par champ. Combien de temps c’est conservé, comment c’est chiffré, qui d’autre le traite, et ce qui se passe en cas d’incident.
En France, chez OVHcloud, certifié ISO 27001 et SOC 2 Type II.
Non. Aucune donnée de votre espace de travail n’est transférée, répliquée ni sauvegardée hors de l’Union européenne.
Aucun. Lutril ne recourt à aucun fournisseur de modèle de langage ni à aucun service de classification tiers.
Un tiers indépendant chaque trimestre, plus une analyse dynamique automatisée chaque semaine contre l’application en production.
Sujets
Les catégories de données qui n’arrivent jamais jusqu’à Lutril.
Lutril stocke des métadonnées d’identité et de droits, pas le contenu de votre travail.
Les durées sont calées sur votre cycle d’audit. La preuve de gouvernance est conservée pour la durée du contrat, les journaux d’exploitation sont...
Comment les jetons, les clés et les mots de passe sont chiffrés, et ce qui borne leur usage.
Trois sous-traitants. La liste à jour est tenue sur la page sous-traitants.
Chaque espace de travail est isolé par la base de données elle-même, pas par le code applicatif.
Deux modules optionnels lisent du contenu et non des métadonnées.
Analyses statique et dynamique en continu, test d’intrusion par un tiers indépendant chaque trimestre.
En tant que responsable du traitement, vous disposez de 72 heures pour notifier votre autorité de contrôle. Lutril s’engage sur 48.
Moindre privilège, authentification multifacteur obligatoire, accès administratifs journalisés.
Les référentiels que nous suivons, l’export de vos données à tout moment, et les documents communicables sous accord de confidentialité.
Questions fréquentes
Signez-vous un accord de traitement des données ?
Oui, et nous le signons avant que la moindre donnée réelle n’entre dans la plateforme. Il couvre toutes les exigences de l’article 28 du RGPD, dont l’information préalable sur les sous-traitants avec droit d’opposition, l’assistance aux demandes d’exercice de droits, et la suppression ou la restitution en fin de contrat.
Peut-on voir votre rapport de test d’intrusion ?
Oui, sous accord de confidentialité. Écrivez à security@lutril.com et nous envoyons le dernier rapport en boîte noire, la revue de code en boîte blanche et l’accord de traitement des données complet. Nous pouvons signer un accord de confidentialité réciproque dans la semaine.
Utilisez-vous de l’IA pour traiter nos données ?
Non. Lutril n’a aucun fournisseur de modèle de langage comme sous-traitant, aucune donnée d’espace de travail n’y est envoyée, et les détecteurs de données sensibles sont des règles déterministes qui tournent sur nos propres serveurs en France. Si cela devait changer, vous en seriez informé au préalable, avec un droit d’opposition.
Peut-on faire une expérimentation sans données réelles ?
Oui. Une expérimentation fonctionne sur un périmètre réduit : une intégration d’annuaire en lecture seule, un sous-ensemble d’unités organisationnelles, et aucune action d’écriture tant que vous ne le décidez pas. Plusieurs clients commencent ainsi avant de signer l’accord de traitement des données.
En combien de temps nous préviendriez-vous d’une violation ?
Dans les 48 heures suivant la qualification d’un incident confirmé affectant vos données, par courrier électronique au contact sécurité que vous désignez, doublé d’un appel si l’incident est critique. Votre autorité de contrôle vous laisse 72 heures.
Que deviennent nos données quand nous partons ?
Vous choisissez l’export ou la suppression. La suppression applicative aboutit sous 30 jours à compter de votre demande, et aucune sauvegarde n’est réinjectée en production sans que les suppressions demandées entre-temps ne soient réappliquées.
Notre dernier rapport de test d’intrusion en boîte noire, notre revue de code en boîte blanche et notre accord de traitement des données complet sont disponibles sous accord de confidentialité. Nous pouvons signer un accord réciproque dans la semaine.
Écrire à security@lutril.com