Sécurité et confidentialité

Cette page décrit la manière dont InterMIND gère vos données en termes simples. Pour le texte juridique, consultez la Politique de confidentialité et les Conditions d'utilisation ; pour le résumé destiné aux acheteurs avec les liens d'audit RGPD et de DPA, consultez la page de fonctionnalités Sécurité et confidentialité.

Chiffrement

En transit. Toutes les connexions à InterMIND passent par HTTPS / WSS (TLS). Les requêtes HTTP sont automatiquement redirigées vers HTTPS — il n'y a pas de repli en texte clair. Cela couvre l'application web, le serveur WebSocket qui transporte le chat et la signalisation, et nos propres appels au moteur de traduction. L'audio et la vidéo de la réunion transitent via WebRTC avec DTLS-SRTP entre votre navigateur et le serveur média de notre propre moteur en France ; le serveur média déchiffre chaque flux pour le transmettre aux autres participants et au pipeline de reconnaissance vocale et de traduction.

Au repos. La base de données (Neon, Francfort) chiffre son stockage avec AES-256 ; les enregistrements, les pièces jointes et les archives d'exportation sur le stockage d'objets Tigris sont couverts par un chiffrement côté serveur qui est toujours activé. Les tokens d'intégration OAuth et les secrets client OIDC sont en outre chiffrés au niveau de l'application (AES-256-GCM) avant d'être écrits, et les tokens de session OIDC sont stockés chiffrés dans le cache de session. Déclarations des fournisseurs : Présentation de la sécurité Neon, API S3 Tigris.

Chiffrement de bout en bout : non. La traduction est un traitement — la reconnaissance vocale et la traduction s'exécutent sur notre propre moteur, sur nos propres serveurs en Allemagne et en France, et ce moteur doit lire le contenu pour le traduire. InterMIND est donc chiffré en transit et au repos, et le contenu est lisible par notre infrastructure au point de traitement ; il n'est pas chiffré de bout en bout, et aucune formule ni aucun paramètre ne change cela. Ce que nous offrons à la place est un chemin de données vérifiable : l'UE à chaque saut, notre propre moteur pour la parole en direct plutôt qu'un modèle tiers, des fonctionnalités IA sur la passerelle que votre organisation sélectionne (notre propre locataire, aucun entraînement sur vos données), et une rétention que vous contrôlez. Les notes vocales sont transcrites par Azure AI Speech dans ce même locataire. Si le chiffrement de bout en bout prime sur tout le reste pour vous, les produits construits autour de celui-ci — Element, Wire, Threema — sont mieux adaptés, et aucun d'entre eux ne traduit les documents ; nous disons la même chose dans notre comparatif des messageries.

Authentification

Les mots de passe ne sont jamais stockés — la connexion se fait soit via un code de vérification à usage unique, soit via un flux OAuth avec Google / Microsoft. Les sessions sont conservées dans des cookies HTTP-only ; vous pouvez vous déconnecter depuis le menu de profil à tout moment.

Le SSO Entreprise utilise OpenID Connect Authorization Code avec PKCE (S256), state, et nonce. Les tokens d'identification sont validés par rapport aux JWKS publiés par l'IdP (signature, émetteur, audience), et une connexion n'est acceptée que pour les domaines e-mail que l'équipe a vérifiés via DNS — votre IdP fait autorité uniquement pour les domaines dont vous avez prouvé la propriété. Les secrets client OIDC sont chiffrés au repos, et chaque connexion SSO est enregistrée dans le journal d'audit de l'équipe. Configuration : Configuration SSO.

Traduction en temps réel

La traduction en temps réel de la voix et des sous-titres s'exécute sur l'infrastructure propre d'InterMIND — l'audio vocal est traité sur notre service WebSocket privé, et n'est pas envoyé à un point de terminaison public OpenAI / Google Translate / Azure.

La traduction de documents (PDF, DOCX, DOC, PPTX, XLSX) utilise DeepL comme fournisseur de traduction. Les fichiers sont téléchargés vers DeepL via une connexion TLS pour la traduction et le résultat est renvoyé dans le chat de votre réunion. Le traitement des données par DeepL est régi par les propres conditions de confidentialité de DeepL — ils ne conservent pas le contenu à des fins d'entraînement.

Fonctionnalités IA

Les résumés de réunions, les résumés de documents, l'assistant d'écriture, Ask AI et Mia (la participante IA que vous pouvez appeler par son nom dans une réunion) s'exécutent sur une passerelle de modèle de langage d'un hyperscaler, dans le propre locataire d'InterMIND — la même passerelle que votre organisation utilise très probablement déjà pour sa propre IA :

Un administrateur de l'organisation choisit la passerelle sur la page des intégrations ; ce choix s'applique simultanément à toutes les fonctionnalités IA de l'organisation, et les fonctionnalités IA peuvent être désactivées pour l'ensemble de l'organisation — la transcription et la traduction continuent de fonctionner. Ce qui quitte InterMIND lors d'un appel IA est la transcription de la réunion et la fenêtre de chat à la fin de la réunion, les documents partagés, le texte de l'éditeur ou la question posée ; toutes les passerelles sont configurées avec une rétention des données nulle et sans entraînement sur votre contenu. La voix de Mia est synthétisée par le même fournisseur que la passerelle (Azure AI Speech, Google Cloud Text-to-Speech, régions UE) ; avec votre propre point de terminaison, Mia répond par écrit.

Enregistrements et transcriptions

Vous contrôlez la rétention : votre contenu reste disponible aussi longtemps que votre compte ou votre espace de travail d'équipe est actif, et vous pouvez supprimer n'importe quel enregistrement, canal ou message à tout moment. La suppression de votre compte efface définitivement tout le contenu associé dans notre base de données et notre stockage. Nous n'imposons pas d'expiration automatique — vous décidez de la durée de conservation de votre contenu. Consultez notre Politique de confidentialité pour la déclaration complète de rétention.

Où résident vos données

La région applicative principale d'InterMIND est Paris (CDG, France) sur Fly.io ; la base de données se trouve à Francfort, en Allemagne. Les enregistrements et les fichiers sont conservés sur un stockage compatible S3 limité aux régions de l'UE (Francfort / Amsterdam). Il n'y a actuellement aucun verrouillage de région par client.

Ce que les autres parties voient

Ce qu'InterMIND ne fait pas

• Pas d'entraînement de modèle sur vos données. Les conversations, les documents et les enregistrements ne sont pas utilisés pour entraîner de modèle d'IA.
• Pas de vente ni de partage. Vos données ne sont ni vendues ni partagées avec des annonceurs.
• Pas de suivi par des tiers dans les réunions. Pas de pixels de suivi, pas de SDK publicitaires dans la salle de réunion.

Suppression de vos données

La suppression du compte supprime votre profil, vos réunions, enregistrements, transcriptions et historique de chat. Les sauvegardes peuvent prendre jusqu'à 30 jours à expirer.

Signaler un problème de sécurité

Si vous pensez avoir trouvé une faille de sécurité dans InterMIND, nous voulons en être informés.

Comment nous joindre. Envoyez un e-mail à security@intermind.com avec une brève description du problème et suffisamment de détails pour le reproduire (étapes, URL affectée, captures d'écran ou preuve de concept). Les e-mails chiffrés sont les bienvenus si vous le souhaitez. Un contact lisible par machine est également publié à l'adresse /.well-known/security.txt (RFC 9116).

À quoi s'attendre. Nous nous efforçons d'accuser réception d'un rapport dans un délai de 3 jours ouvrés et de vous tenir informé pendant que nous enquêtons et corrigeons. Lorsqu'un rapport aboutit à une correction, nous serons heureux de vous créditer nommément si vous souhaitez être reconnu.

Ce que nous demandons. Veuillez pratiquer la divulgation responsable : signalez-nous d'abord le problème en privé et accordez-nous un délai raisonnable pour le corriger avant toute discussion publique. N'accédez pas, ne modifiez pas, ne téléchargez pas et ne conservez pas de données appartenant à d'autres utilisateurs ou comptes au-delà du minimum nécessaire pour démontrer le problème, ne dégradez ni ne perturbez le service, et supprimez toute donnée ou capture d'écran capturée pendant les tests une fois le rapport clôturé.

Portée. Dans le périmètre : intermind.com et ses API, les applications web, mobiles et de bureau d'InterMIND, ainsi que notre service WebSocket. Hors périmètre : les découvertes nécessitant un accès physique à l'appareil d'un utilisateur, l'ingénierie sociale de notre personnel ou de nos utilisateurs, les dénis de service volumétriques, et les rapports issus de scanners automatisés sans impact exploitable démontré.

Récompenses. Nous n'exploitons pas de programme de bug bounty rémunéré pour le moment, nous ne sommes donc pas en mesure d'offrir de récompenses monétaires. Nous apprécions sincèrement les rapports de bonne foi et les reconnaîtrons.

Exonération. Nous n'engagerons ni ne soutiendrons aucune poursuite judiciaire contre les chercheurs agissant de bonne foi, qui respectent cette politique et s'abstiennent de toute violation de la vie privée, destruction de données ou perturbation du service. En cas de doute sur le caractère autorisé d'une action, demandez-nous d'abord à security@intermind.com.

Liens connexes

• Politique de confidentialité — Texte juridique
• Sous-traitants — Fournisseurs que nous utilisons et où ils traitent les données
• Conditions d'utilisation — Texte juridique
• Facturation et offres — Différences de traitement des données selon les offres