# La sécurité chez Lutril

> Ce que Lutril collecte, champ par champ. Combien de temps c’est conservé, comment c’est chiffré, qui d’autre le traite, et ce qui se passe en cas d’incident.

Source: https://www.lutril.com/fr/security
Dernière mise à jour: 7 octobre 2026

---

## En résumé

| Question | Réponse |
| --- | --- |
| Où sont hébergées les données ? | En France, chez OVHcloud, certifié ISO 27001 et SOC 2 Type II. |
| Quelque chose sort-il de l’UE ? | Non. Aucune donnée de votre espace de travail n’est transférée, répliquée ni sauvegardée hors de l’Union européenne. |
| Quels fournisseurs d’IA traitent nos données ? | Aucun. Lutril ne recourt à aucun fournisseur de modèle de langage ni à aucun service de classification tiers. |
| Qui teste la plateforme ? | Un tiers indépendant chaque trimestre, plus une analyse dynamique automatisée chaque semaine contre l’application en production. |

## Ce que nous ne stockons jamais

Les catégories de données qui n’arrivent jamais jusqu’à Lutril.

- Le contenu de vos documents et de vos fichiers. Le module d’exposition de fichiers ouvre un fichier pour le classer et ne garde que le verdict ; les limites exactes sont en [analyse de contenu](#content-analysis).
- Le corps de vos e-mails. La découverte par e-mail demande trois en-têtes à Gmail et trois champs à Microsoft Graph. Aucun appel que nous faisons ne peut renvoyer un corps de message.
- Le texte des prompts que vos collaborateurs saisissent dans les outils d’IA. L’extension l’analyse sur le poste et transmet un décompte de ce qu’elle a trouvé, jamais le texte.
- Les valeurs sensibles que nos détecteurs reconnaissent. Un numéro de carte, un IBAN ou une clé d’API est reconnu, compté par catégorie, puis jeté.
- Votre code source. La découverte d’agents enregistre un chemin de fichier, une plage de lignes et des empreintes, jamais les lignes elles-mêmes.
- Le matériel cryptographique privé. Pour les comptes de service cloud, nous lisons les identifiants de clé, leur âge et leur fenêtre de validité, jamais les clés.
- Les URL que visitent vos collaborateurs. L’extension remonte le domaine enregistrable des services SaaS présents au catalogue, jamais une URL complète, un chemin ou un paramètre de requête.
- Les mots de passe de vos utilisateurs finaux dans les systèmes que vous connectez.

## Les données que nous collectons

Lutril stocke des métadonnées d’identité et de droits, pas le contenu de votre travail.

| Catégorie | Ce que nous collectons | Source |
| --- | --- | --- |
| Comptes et sessions Lutril | Nom, adresse professionnelle, rôle, paramètres d’authentification, empreinte du mot de passe, compteurs d’échecs de connexion, identifiants de session et expiration. | Créés dans Lutril |
| Identité et annuaire | Adresse, nom affiché, statut, rôle, indicateurs d’administrateur et d’externe, état de l’authentification multifacteur, unité organisationnelle, responsable hiérarchique, dernière connexion, et la photo de profil en octets bruts. La fiche d’annuaire complète est également conservée, chiffrée : côté Google il s’agit de l’enregistrement Admin SDK entier, téléphones, adresses, contacts de récupération et schémas personnalisés compris ; côté Microsoft, de dix champs seulement. | Votre fournisseur d’identité |
| Données RH | Identifiant salarié, adresse professionnelle, adresse personnelle, intitulé de poste, service, responsable hiérarchique, date d’entrée, date de fin de contrat. | Votre SIRH, lorsqu’il est connecté |
| Inventaires de comptes applicatifs | Par application et par compte : identifiant, login, adresse, nom affiché, rôle, indicateurs administrateur, robot et invité, état du second facteur, dernière activité, URL de profil, et l’enregistrement brut du fournisseur lorsqu’un connecteur a besoin de champs pour lesquels notre modèle n’a pas de colonne. Quand un fournisseur refuse de divulguer une adresse, les adresses candidates que nous avons déduites sont conservées comme élément de preuve pour le relecteur. | Les applications que vous connectez |
| Demandes d’accès et approbations | Identités du demandeur et des approbateurs, application et niveau demandés, justification métier en texte libre, chaîne d’approbation, décisions, horodatages, durée de validité et expiration. | Lutril, Slack, Teams |
| Revues d’accès | Périmètre de la campagne, relecteur, décisions et motifs. Une décision est enregistrée face à une empreinte salée propre à votre espace de travail, pas à l’adresse. L’instantané d’audit d’une campagne terminée contient les identités en clair, à l’intérieur d’un bloc chiffré. | Créées dans Lutril |
| Provisionnement et départs | État des tâches, propriétaire, assigné, notes, listes de contrôle, et les adresses source et destinataire d’un transfert de données. Les identifiants temporaires créés au provisionnement sont chiffrés puis effacés une fois remis. | Créés dans Lutril |
| Catalogue et politiques | Applications, propriétaires, catégories, règles d’approbation, niveaux de sensibilité, URL de lancement et de documentation. | Configurés par vous |
| Shadow IT : autorisations OAuth | Applications tierces autorisées sur votre tenant : identifiant client, nom affiché, scopes demandés et changements de scopes, et quels collaborateurs les ont accordés. | Google Workspace, Microsoft Entra ID |
| Shadow IT : extension navigateur | Par collaborateur et par domaine SaaS au catalogue : le domaine enregistrable, un nombre de visites, un premier et un dernier horodatage, et la détection d’une session authentifiée. | L’extension, déployée par votre MDM |
| Shadow IT : découverte par e-mail | Le domaine enregistrable et le nom d’un éditeur ayant envoyé un e-mail d’inscription, et le collaborateur concerné. Désactivée par défaut. | Gmail ou Microsoft Graph, sur activation |
| Exposition et classification de fichiers | Par fichier partagé par lien : nom du fichier, type, propriétaire, portée et rôle du partage, lien de partage, et le verdict sous forme d’un niveau de sensibilité et d’un décompte par catégorie détectée. | Google Drive, SharePoint, OneDrive |
| Protection des prompts d’IA | Par prompt contenant une donnée sensible : le nom d’hôte de l’outil d’IA, un décompte par catégorie détectée, et le fait que l’utilisateur ait été averti ou la valeur masquée. | L’extension, sur le poste |
| Identités non humaines | Comptes de service et identités de charge de travail : adresse, nom affiché, projet, rôles, niveau de privilège, métadonnées de clés comme les identifiants, l’âge et la fenêtre de validité, dernière authentification, et les principaux humains capables de les usurper. | GCP, AWS, fournisseurs connectés |
| Agents d’IA découverts dans le code | Dépôt, branche, commit, chemin de fichier, plage de lignes et empreintes, plus des faits assainis : cadriciel, modèle, outils, déclencheurs. Jamais les lignes de code. | GitHub, GitLab, lorsqu’ils sont connectés |
| Passerelle MCP | Par appel d’outil : appelant, client, nom de l’outil, intégration, statut, durée et taille réelle de l’échange en octets. Les arguments et les réponses des fournisseurs ne sont pas conservés, à une exception près : le connecteur Redmine enregistre l’objet d’un ticket en cas de succès et les arguments complets en cas d’erreur. | La passerelle MCP |
| Journalisation d’activité et technique | Acteur, action, cible, adresse IP, user agent, horodatage et un objet de détail par action, plus des traces d’exploitation et des signaux de prévention des abus. | La plateforme elle-même |
| Secrets d’intégration | Jetons OAuth d’accès et de rafraîchissement, clés d’API et identifiants de connecteur que vous nous confiez. Voir [chiffrement et secrets](#secrets). | Confiés par vous |

## Conservation et effacement

Les durées sont calées sur votre cycle d’audit. La preuve de gouvernance est conservée pour la durée du contrat, les journaux d’exploitation sont bornés.

| Quoi | Combien de temps | Pourquoi |
| --- | --- | --- |
| Les données de votre espace de travail : identité, annuaire, RH, inventaires de comptes applicatifs, catalogue, découvertes | Durée du contrat, remplacées à chaque synchronisation | Elles reflètent l’état courant de votre parc. |
| Piste d’audit de gouvernance : demandes, approbations, décisions et instantanés de revue, historique des tâches, changements d’état des agents | Durée du contrat | Preuve pour vos audits ISO 27001 et SOC 2. |
| Journalisation d’activité, adresse IP et user agent compris | Durée du contrat | Valeur probatoire : qui a agi, depuis où, quand. |
| Événements de domaine de l’extension | 180 jours | En rotation, balayés quatre fois par jour. |
| Événements de prompt de l’extension | 90 jours | En rotation, balayés quatre fois par jour. |
| Journaux d’appels d’outils MCP | 13 mois | Couvre une période d’observation SOC 2 Type II complète et son délai de publication. |
| Instantanés du graphe d’accès, copies de travail | 50 par espace de travail, 90 jours | Purgés dans la transaction même qui en écrit un nouveau. La preuve de revue, elle, est conservée pour la durée du contrat. |
| Photos de profil de l’annuaire | Supprimées quand la personne quitte votre annuaire | Clé orpheline, balayée au même rythme. |
| Constats d’exposition de fichiers | Jusqu’à résolution, puis purge au scan suivant | Un fichier qui n’est plus partagé disparaît de la liste. |
| Secrets d’intégration | Détruits à la déconnexion de l’intégration | Immédiatement et définitivement. |
| Journaux d’accès en périphérie : IP, URL, user agent | Jamais exportés, détruits à chaque déploiement | Écrits dans le conteneur du serveur web, sans volume attaché. |

- Vous pouvez supprimer une intégration, un utilisateur ou un ensemble de constats depuis l’application, à tout moment.
- Déconnecter une intégration détruit son secret immédiatement et définitivement.
- En fin de contrat, vous choisissez l’export ou la suppression. La suppression applicative aboutit sous 30 jours à compter de votre demande.
- La suppression applicative aboutit sous 30 jours. Une sauvegarde ne peut pas être amputée d’une personne en particulier, donc les sauvegardes suivent leur propre cycle de 90 jours et ne sont jamais réinjectées en production sans que les suppressions demandées entre-temps ne soient réappliquées.
- Seuls les enregistrements que la loi nous impose de conserver, la facturation par exemple, sont gardés au-delà. Aucune donnée de gouvernance ne l’est.

## Chiffrement et secrets

Comment les jetons, les clés et les mots de passe sont chiffrés, et ce qui borne leur usage.

| Couche | Comment |
| --- | --- |
| En transit | TLS 1.2 et 1.3 uniquement, avec HSTS. Les versions antérieures sont refusées et les tickets de session désactivés. Les services internes communiquent sur un réseau privé, sans port publié. |
| Secrets d’intégration | Chaque jeton est chiffré en AES-256-GCM avant écriture, dans une colonne distincte de la configuration lisible. GCM est un chiffrement authentifié : vecteur d’initialisation aléatoire de 96 bits par enregistrement et tag de 128 bits, de sorte qu’une altération du stockage échoue au déchiffrement au lieu d’être acceptée en silence. |
| Clé maîtresse | Détenue dans HashiCorp Vault sous un scellement de Shamir et chargée en mémoire au démarrage du service. Elle ne figure ni dans le code, ni dans la configuration, ni dans les images de conteneur, ni dans les journaux. |
| Au repos | Base de données chiffrée au repos chez OVHcloud. Sauvegardes quotidiennes, chiffrées sur le serveur avant d’en sortir, puis déposées dans un stockage objet chiffré réparti sur trois zones de disponibilité, en région française distincte du site de production, avec versioning. Les restaurations sont vérifiées depuis ce stockage plutôt que supposées. |
| Fiches d’annuaire | La fiche d’annuaire complète synchronisée depuis votre fournisseur d’identité est chiffrée avec le même schéma avant stockage. |
| Mots de passe des comptes Lutril | Argon2id, 64 Mio de mémoire et 3 itérations, avec un poivre serveur détenu hors de la base. Non réversibles. |

- Les jetons ne ressortent jamais. Aucune réponse d’API, aucun journal, aucun export et aucun écran n’en affiche un, même tronqué, même à un administrateur de votre propre espace de travail.
- Portée minimale. Nous demandons d’abord des scopes de lecture d’identité. Un scope en écriture n’est sollicité que là où une fonctionnalité que vous avez activée l’exige, comme créer ou révoquer un compte.
- La révocation fonctionne des deux côtés. Déconnectez l’intégration dans Lutril et le secret est détruit, ou révoquez l’autorisation dans la console du fournisseur et nous perdons l’accès sans avoir à agir.
- Les appels sortants sont validés avant d’être émis. Une URL que vous fournissez est vérifiée contre une liste d’adresses routables sur Internet, et l’adresse résolue est épinglée pour la durée de la connexion, de sorte qu’une réponse DNS ne peut pas changer entre la vérification et l’appel. Les identifiants sont retirés lors d’une redirection vers une autre origine.

## Hébergement et sous-traitants

Trois sous-traitants. La liste à jour est tenue sur la [page sous-traitants](/subprocessors).

| Sous-traitant | Rôle | Localisation | Données concernées |
| --- | --- | --- | --- |
| OVHcloud (OVH SAS) | Hébergement : calcul, base de données, stockage, sauvegardes. Certifié ISO 27001 et SOC 2 Type II. | France (UE) | L’ensemble des données de la plateforme, au repos et en traitement |
| Cloudflare, Inc. | Résolution DNS de notre domaine, et rien d’autre. | États-Unis | Requêtes DNS. Aucune donnée applicative, aucun stockage, aucun déchiffrement du trafic. |
| PostHog, Inc. | Mesure d’audience du site vitrine lutril.com, après consentement. | Cloud UE | Visites du site public. Aucune donnée d’espace de travail. |

- Aucun fournisseur d’IA. Lutril n’a aucun fournisseur de modèle de langage comme sous-traitant. Aucune donnée de votre espace de travail n’y est envoyée, et aucun traitement de la plateforme n’en appelle un.
- TLS est terminé par notre propre reverse proxy sur l’infrastructure OVHcloud, avec des certificats que nous gérons. Aucun tiers ne déchiffre votre trafic.
- Aucune donnée d’espace de travail ne quitte l’Union européenne. Rien n’est transféré, répliqué ni sauvegardé en dehors.
- Les applications que vous connectez ne sont pas des sous-traitants de Lutril. Google Workspace, Microsoft Entra ID, Slack, votre SIRH et vos outils SaaS traitent vos données au titre de vos propres contrats avec ces éditeurs, selon les scopes que votre administrateur approuve.
- Avant d’ajouter ou de remplacer un sous-traitant, nous vous en informons au préalable, avec un droit d’opposition.

## Isolation entre clients

Chaque espace de travail est isolé par la base de données elle-même, pas par le code applicatif.

- L’isolation est appliquée par PostgreSQL au niveau des lignes, sur chaque table contenant des données client.
- Le compte sous lequel tourne l’application ne peut pas la contourner.
- Une requête mal cadrée ne renvoie aucune ligne, jamais celles d’un autre client.

## Analyse de contenu : fichiers et e-mails

Deux modules optionnels lisent du contenu et non des métadonnées.

- Ce qui déclenche un scan de fichiers. Le module d’exposition ne tourne que si vous avez accordé les scopes Drive ou SharePoint. Il s’exécute ensuite chaque nuit, et à la demande depuis l’application.
- Ce qui est lu. Nous téléchargeons le fichier et le parcourons en mémoire : documents Office, PDF et texte brut, plafonnés à 512 Ko de texte extrait et 8 Mo par document. Nous ouvrons le fichier ; nous ne le gardons pas.
- Ce qui est écrit. Un niveau de sensibilité et un décompte par catégorie détectée, rien d’autre. Jamais la valeur reconnue, jamais un extrait. Un fichier que nous n’avons pas pu lire est enregistré comme illisible et non comme sain, de sorte qu’un document jamais ouvert n’est jamais présenté comme sûr.
- Qui classe. Des détecteurs déterministes auto-hébergés : Luhn avec une table d’émetteurs pour les numéros de carte, mod-97 pour les IBAN et les numéros de sécurité sociale, et un jeu de règles gitleaks embarqué pour les secrets. Aucune API de classification tierce et aucun modèle de langage. Le contenu de vos fichiers est lu par du code qui tourne sur une machine en France, et n’est envoyé nulle part.
- Tri par mots-clés. Un administrateur peut chercher jusqu’à 30 mots-clés dans 200 fichiers au maximum. Les correspondances sont renvoyées au navigateur de cet administrateur et ne sont jamais stockées.
- La découverte par e-mail est désactivée par défaut. Elle s’active par espace de travail, et elle exige en outre un accès aux boîtes accordé hors bande dans votre propre console d’administration, de sorte qu’elle ne peut pas être activée par accident depuis chez nous.
- Ce que lit la découverte par e-mail. Trois en-têtes côté Gmail, trois champs côté Microsoft Graph, restreints aux objets qui ressemblent à une inscription. Aucun appel que nous faisons ne peut renvoyer un corps. L’objet est classé en mémoire puis jeté, et seul le domaine de l’éditeur est conservé.
- Pour la protection des prompts, l’extension remonte le nom d’hôte de l’outil d’IA même lorsque cet hôte est absent de notre catalogue SaaS, car le filtre du catalogue ferait autrement disparaître l’événement. Le script de contenu ne s’exécute que sur les trois origines d’IA déclarées dans son manifeste.

## Tests de sécurité

Analyses statique et dynamique en continu, test d’intrusion par un tiers indépendant chaque trimestre.

| Dispositif | État |
| --- | --- |
| Analyse dynamique (DAST) | Exécutée chaque semaine par une plateforme tierce contre app.lutril.com, en conditions d’attaque réelles et sans connaissance préalable de l’application. Dernière exécution le 5 octobre 2026. |
| Analyse statique du code (SAST) | Revue de sécurité du code applicatif avec accès au dépôt. Dernière campagne le 6 octobre 2026. |
| Test d’intrusion par un tiers indépendant | Trimestriel, en boîte noire et en boîte blanche. Rapports communicables sous accord de confidentialité, sur demande à security@lutril.com. |
| Dépendances | Dépendances applicatives et images de conteneur analysées en continu. |
| Objectifs de remédiation | Critique 48 heures, élevée 7 jours, moyenne 30 jours, faible 90 jours, à compter de la qualification du constat. |
| Divulgation responsable | Contact publié sur [security.txt](/.well-known/security.txt). Nous accusons réception rapidement et tenons le rapporteur informé jusqu’à la correction. |

- Les modifications sont relues par un pair et déployées via des procédures contrôlées et tracées.
- Les conteneurs s’exécutent sous un utilisateur non privilégié, et aucun service autre que le reverse proxy ne publie de port.
- Des en-têtes de sécurité sont posés sur toutes les réponses, erreurs comprises : politique de sécurité du contenu, HSTS, protection contre le détournement de cadre, contre le sniffing de type, et politique de référent.
- La limitation de débit s’applique en périphérie sur les points d’entrée d’authentification et d’autorisation, et dans l’application partout ailleurs.
- La politique de sécurité du contenu de l’application autorise encore les scripts en ligne et évalués, requis par le bundle frontend actuel. Le durcissement est suivi.

## Réponse à incident

En tant que responsable du traitement, vous disposez de 72 heures pour notifier votre autorité de contrôle. Lutril s’engage sur 48.

| Étape | Engagement |
| --- | --- |
| Notification initiale | Sans retard injustifié, et dans les 48 heures suivant la qualification d’un incident de sécurité confirmé affectant vos données. |
| Canal | Courrier électronique au contact sécurité que vous désignez dans l’accord de traitement des données, doublé d’un appel téléphonique en cas d’incident critique. |
| Contenu | Nature de l’incident, catégories et volume approximatif de données et de personnes concernées, conséquences probables, mesures de confinement et de remédiation prises ou proposées, et un contact nommé. |
| Suivi | Informations complémentaires au fil de l’investigation, sans attendre d’avoir un tableau complet. |
| Rapport post-incident | Analyse des causes et plan d’action correctif sous 7 jours ouvrés après clôture. |
| Assistance | Appui à votre propre notification à l’autorité de contrôle et, le cas échéant, aux personnes concernées. |

- La procédure interne est écrite et les rôles sont désignés à l’avance : détection, qualification de la gravité, confinement, éradication, notification, puis retour d’expérience documenté.

## Accès du personnel Lutril

Moindre privilège, authentification multifacteur obligatoire, accès administratifs journalisés.

- Moindre privilège sur toute l’équipe, avec un contrôle d’accès fondé sur les rôles.
- L’authentification multifacteur est obligatoire sur tous les comptes Lutril à privilèges.
- Les accès administratifs et de support ne sont accordés que lorsque c’est opérationnellement nécessaire, et ils sont journalisés.
- Aucun humain ne lit vos données hors de votre accord exprès, d’une nécessité de sécurité avérée ou d’une obligation légale.
- Nous faisons tourner Lutril sur Lutril. Nos propres revues d’accès, nos départs et la gouvernance de nos agents passent d’abord par le produit.

## Conformité, réversibilité et documents

Les référentiels que nous suivons, l’export de vos données à tout moment, et les documents communicables sous accord de confidentialité.

- Lutril pilote son programme de sécurité selon les critères de confiance SOC 2 Type II et les contrôles ISO 27001. Non certifié sur l’un ni sur l’autre à ce jour. OVHcloud, l’hébergeur, est certifié sur les deux.
- Réversibilité : exportez vos données en CSV ou en PDF depuis l’application, à tout moment.
- Un accord de traitement des données au titre de l’article 28 du RGPD est signé avant que la moindre donnée réelle n’entre dans la plateforme.
- Disponibles sous accord de confidentialité : les rapports de test d’intrusion, l’accord de traitement des données complet avec son annexe de mesures techniques et organisationnelles, la description de l’architecture et des flux, et la procédure de réponse à incident.
- Les questions de sécurité vont à [security@lutril.com](mailto:security@lutril.com), celles de protection des données à [privacy@lutril.com](mailto:privacy@lutril.com).

## Questions fréquentes

### Signez-vous un accord de traitement des données ?

Oui, et nous le signons avant que la moindre donnée réelle n’entre dans la plateforme. Il couvre toutes les exigences de l’article 28 du RGPD, dont l’information préalable sur les sous-traitants avec droit d’opposition, l’assistance aux demandes d’exercice de droits, et la suppression ou la restitution en fin de contrat.

### Peut-on voir votre rapport de test d’intrusion ?

Oui, sous accord de confidentialité. Écrivez à security@lutril.com et nous envoyons le dernier rapport en boîte noire, la revue de code en boîte blanche et l’accord de traitement des données complet. Nous pouvons signer un accord de confidentialité réciproque dans la semaine.

### Utilisez-vous de l’IA pour traiter nos données ?

Non. Lutril n’a aucun fournisseur de modèle de langage comme sous-traitant, aucune donnée d’espace de travail n’y est envoyée, et les détecteurs de données sensibles sont des règles déterministes qui tournent sur nos propres serveurs en France. Si cela devait changer, vous en seriez informé au préalable, avec un droit d’opposition.

### Peut-on faire une expérimentation sans données réelles ?

Oui. Une expérimentation fonctionne sur un périmètre réduit : une intégration d’annuaire en lecture seule, un sous-ensemble d’unités organisationnelles, et aucune action d’écriture tant que vous ne le décidez pas. Plusieurs clients commencent ainsi avant de signer l’accord de traitement des données.

### En combien de temps nous préviendriez-vous d’une violation ?

Dans les 48 heures suivant la qualification d’un incident confirmé affectant vos données, par courrier électronique au contact sécurité que vous désignez, doublé d’un appel si l’incident est critique. Votre autorité de contrôle vous laisse 72 heures.

### Que deviennent nos données quand nous partons ?

Vous choisissez l’export ou la suppression. La suppression applicative aboutit sous 30 jours à compter de votre demande, et aucune sauvegarde n’est réinjectée en production sans que les suppressions demandées entre-temps ne soient réappliquées.