Des droits conçus dès le départ, pas ajoutés après
Un produit piloté par le langage doit être plus strict qu’un produit à menus, pas plus laxiste : si tout peut être demandé, tout doit être vérifié. Le client masque les commandes que vous n’avez pas, et le serveur ne fait jamais confiance à cette copie.
Qui peut faire quoi, jusqu’à la colonne et l’enregistrement.
Les rôles de sécurité en table, l’un d’eux ouvert en matrice de profondeurs par table ; un enregistrement partagé avec exactement les droits cochés ; et les profils de sécurité des champs qui décident qui lit quelles colonnes.
Le modèle en entier
Qui peut quoi
- Rôles avec créer, lire, écrire, supprimer, affecter et partager
- Quatre profondeurs par privilège : la sienne, l’unité, l’unité et ses filles, tout l’espace
- Unités opérationnelles hiérarchiques, et équipes transversales
- Profils de sécurité qui masquent ou passent une colonne en lecture seule
- Partage d’une fiche avec une personne, sans toucher à son rôle
- Le responsable de facturation est volontairement la seule autorité hors des rôles
Ce qui est consigné
- Une piste d’audit de qui a changé quoi, et quand
- Un audit de sécurité des changements de rôle, de partage et de configuration
- Chaque génération enregistre combien de fiches ont été décrites au modèle
- Historique de connexion et sessions actives, révocables
- Historique d’exécution de chaque automatisation
- Factures et notes de crédit conservées telles qu’émises
Le compte lui-même
- Vérification en deux étapes
- Sessions côté serveur, avec un cookie same-site
- Réinitialisation de mot de passe qui ne révèle pas qui a un compte
- Limites de débit sur la connexion et l’inscription
- Une politique de sécurité du contenu sans aucun script en ligne
- Les secrets que vous nous confiez (secret d’IdP, jeton de messagerie), chiffrés au repos
Ce qui atteint le modèle, c’est vous qui le décidez
Un prompt part chez un tiers dès qu’un modèle de langage est impliqué, et les prompts d’une application métier portent des noms de clients. La règle est donc que rien ne part qui ne doit partir.
L’analyseur déterministe passe en premier et répond à la plupart des prompts sans que rien ne quitte le processus. Là où un modèle est utilisé, on ne lui décrit que les fiches que la phrase a nommées, dix au maximum, presque toujours aucune.
- Coupez le modèle entièrement et gardez l’analyseur : le produit continue de fonctionner
- Ou gardez le modèle en lui interdisant de voir la moindre fiche
- Par défaut : modèle actif, et seulement les fiches que vous venez de nommer
- Le nombre de fiches décrites est enregistré à chaque génération
Protection des données, traitée dans le produit
Une demande d’accès et une demande d’effacement sont des choses que ce produit fait, pas des choses pour lesquelles il faut nous écrire. La page juridique liste les sous-traitants en vigueur pour votre espace, dérivés du déploiement, plus un fournisseur de messagerie uniquement si vous en avez connecté un.
Perdre une formule vous coûte la génération, délibérément et étroitement. Tout ce qui est déjà dans l’espace reste lisible et exportable. Enfermer quelqu’un hors de son propre fichier client pour une carte n’est pas une stratégie de recouvrement, c’est une prise d’otage.
- Exportez sur demande tout ce que touche le dossier d’une personne
- Effacement, avec ce qu’il ne peut pas supprimer expliqué plutôt qu’escamoté
- Une corbeille qui garde les suppressions trente jours
- Des sauvegardes que vous prenez, téléchargez et restaurez vous-même
- Des conditions versionnées : « ils ont accepté » enregistre lesquelles, et quand
Lisez la page juridique avant de confier quoi que ce soit
Elle est dans l’application et nomme les sous-traitants de ce déploiement, pas un modèle type. Démarrez un essai et lisez-la dès le premier jour.