Sécurité et données
Où vont vos données, et où elles ne vont pas.
Une passerelle unique traite tous les appels de modèle. Marques et organisations sont cloisonnées dans le code, et non par un prompt. Chaque exécution entre au registre avec son coût exact. Ce qui reste à développer figure en bas de page.
Une passerellechaque appel de modèle, sans exception
Périmètre fixé dans le codeorganisation, marque, utilisateur
Cinq rôlesdu super administrateur au lecteur
Un registrequi, quoi, quand, quel modèle, quel coût
Vérifié sur le code19 septembre 2026
Une passerelle. Sans exception.
Tout module qui a besoin d’un modèle adresse son appel à une passerelle unique, qui le relaie vers le fournisseur retenu par votre administrateur pour ce module.
Huit fournisseurs reçoivent aujourd’hui les prompts textuels : Anthropic, OpenAI, DeepSeek, Qwen, xAI, Zhipu, Kimi et Mistral. Le schéma n’en montre qu’un échantillon : confrontez la liste complète à celle de vos fournisseurs agréés ; la page Nouveautés signale chaque changement. Les prompts d’image et de vidéo partent aussi vers Google, Black Forest Labs, ByteDance, Meta, Kling et MiniMax.
Cliquez sur un module pour envoyer un appel
Choisissez un fournisseur à droite, puis cliquez sur un module.
Aucun chemin du code ne mène directement à un fournisseur. Une seule clé, conservée sur le serveur et jamais envoyée au navigateur.
Votre choix
Vous choisissez les modèles autorisés pour chaque fonctionnalité.
Pour chaque fonctionnalité, votre administrateur fixe les modèles proposés et celui par défaut ; la personne qui s’en sert choisit parmi eux. Si nous cessons de prendre en charge un modèle, c’est le modèle par défaut qui prend le relais.
Aucun entraînement
Vos prompts n’entraînent aucun modèle.
Les appels passent par l’API des fournisseurs, dont les conditions excluent l’entraînement sur le trafic API. Nous conservons la ligne du registre, pas le contenu de l’échange.
Des cloisons inscrites dans le code.
Aucun prompt ne prie le modèle de bien se tenir. Un filtre s’exécute avant toute requête.
Votre entreprise est une organisation qui réunit des marques. Choisissez une marque à droite et lisez ce qu’embarque chaque requête qui la vise.
Contexte et documents de la marque Amarque
Brouillons et constats de la marque Amarque
Contexte et documents de la marque Bmarque
Brouillons et constats de la marque Bmarque
Membres, paramètres, registre, portefeuilleorganisation
Contexte et documents de la marque Cmarque
Brouillons et constats de la marque Cmarque
Membres, paramètres, registre, portefeuilleorganisation
chaque requête embarque
Aucun lien entre les deux. Pas même un fil.
Ce que la cloison arrête
Une marque n’a pas accès à une autre : le filtre s’applique avant que le modèle ne voie le moindre résultat. Une organisation n’a pas davantage accès à une autre, et seul notre serveur atteint la base de données, avec une clé qui ne le quitte jamais. Mettez une organisation en pause : toutes ses connexions sont refusées, sans entre-deux.
Cinq rôles. Un seul verrou.
Chaque utilisateur a un rôle, autrement dit la liste de ce qu’il peut faire, et non un palier tarifaire. Un administrateur peut étendre ou restreindre les droits d’une personne par rapport à son rôle, sans jamais aller au-delà de ce que l’organisation a activé. Un utilisateur rattaché au marketing d’une marque ne voit rien des ventes d’une autre. Le détail se trouve sur la page Architecture et sur Grandes organisations.
Sous les rôles, un verrou unique effectue quatre vérifications côté serveur, dans l’ordre ci-dessous. Qu’une seule échoue, et la requête est refusée.
LecteurConsulte avec ses propres identifiants et sur son propre budget, sans rien pouvoir modifier. C’est le rôle d’un membre du conseil d’administration ou d’un client.
ÉditeurRédige et lance le travail dans les marques qui lui sont confiées. Ne peut ni publier ni toucher aux paramètres.
Responsable de marqueGère une ou plusieurs marques. Valide, publie et façonne le contexte des marques dont il a la charge.
AdministrateurGère l’organisation : membres, marques, choix des modèles, budgets, portefeuille. Voit le registre de toute l’organisation.
Super administrateurLe personnel de BearingBridge qui exploite la plateforme pour l’ensemble des organisations. Le coût brut des modèles et les dictionnaires de l’interface ne sont visibles qu’à ce niveau.
Une session valide, vérifiée côté serveur avant toute exécutionsession
L’organisation a activé le modulemodule
L’accès a été accordé à l’utilisateur, et un lecteur se voit refuser toute écrituredroit
La marque visée par la requête fait partie de celles de l’utilisateurmarque
Si la base de données est injoignable au moment de vérifier une autorisation, la réponse est non. Le verrou ne s’ouvre jamais sur une panne.
Si c’est l’assistant qui vous intéresse, passez directement à la section suivante.
L’assistant lit. Il n’écrit que là où vous l’y autorisez.
Ask Intelligence répond à l’aide d’un jeu fixe d’outils en lecture seule, limités aux marques retenues pour la conversation. Le web n’entre en jeu que si vous activez la recherche. L’assistant ne peut écrire qu’une chose : un e-mail déposé dans vos propres Brouillons, si vous avez connecté Gmail, et l’envoi reste désactivé tant que vous ne l’avez pas autorisé.
La boucle est bornée : un nombre d’étapes fixe, un volume fixe pour ce que chaque outil peut renvoyer. Quand la base ne contient pas la réponse, l’assistant le dit plutôt que d’en inventer une.
Étapes : huit au maximum
Ce que chaque outil peut renvoyer
Une seule boîte : celle que vous avez étiquetée.
Des données choisies, pas aspirées
L’assistant lit vos données, dans la limite des marques que vous choisissez, et le web seulement si vous le demandez. Une consigne peut orienter le ton d’une réponse, jamais sa source.
Chaque exécution, inscrite au registre.
Chaque appel de modèle est inscrit au registre avant que son coût ne soit prélevé sur votre portefeuille : qui a fait la demande, dans quelle marque, quel modèle a répondu, les jetons, le coût, l’heure. Un administrateur voit l’ensemble du registre ; chaque utilisateur, ses propres lignes.
Avant qu’un appel ne parte, trois plafonds sont contrôlés : le solde prépayé, le plafond quotidien de l’utilisateur et le plafond mensuel de l’organisation. Le détail figure sur la page Coûts et maîtrise.
Solde prépayé$126.40 / $250.00
Le portefeuille. Alimenté en dollars, il n’expire jamais.
Plafond quotidien de l’utilisateur$1.62 / $2.00
Fixé par l’administrateur pour chaque personne.
Plafond mensuel de l’organisation$318.90 / $600.00
Fixé une fois pour toute l’entreprise.
| Qui | Organisation | Marque | Action | Modèle | Jetons en entrée | Jetons en sortie | Coût | Quand |
|---|---|---|---|---|---|---|---|---|
| L. Bernard | Votre organisation | Marque A | Marketing · Brouillon | Anthropic | 1,204 | 412 | $0.0098 | 09:12:04 |
| S. Ito | Votre organisation | Marque A | Ventes · Brief | OpenAI | 2,310 | 655 | $0.0167 | 09:14:51 |
| R. Haddad | Votre organisation | Marque B | Service client · Réponse | Mistral | 640 | 188 | $0.0047 | 09:15:20 |
| M. Okafor | Votre organisation | Marque B | Business Intelligence · Synthèse | DeepSeek | 3,980 | 902 | $0.0255 | 09:19:37 |
Cliquez sur Lancer un appel pour ajouter une ligne.
Un registre où un contrôleur de gestion se retrouverait.
Les agents aussi laissent une trace
Chaque exécution d’agent est conservée avec son statut, son résultat et, le cas échéant, son erreur ; chaque constat est attribué à l’agent qui l’a produit.
Connexion, paiements, fichiers et assistant public.
Connexion
code par e-mail · cookie HTTP-only · réinitialisation à usage unique
Une organisation peut exiger une seconde étape, activée par défaut pour les nouvelles organisations : un code à six chiffres envoyé par e-mail, valable dix minutes. Un navigateur peut être approuvé pendant 30 jours, et cette approbation se retire dans les Paramètres. Le cookie de connexion est HTTP-only, same-site et sécurisé ; il expire au bout d’une journée. Changer de mot de passe ou d’adresse e-mail suppose de saisir d’abord le mot de passe actuel. Le lien de réinitialisation est à usage unique et soumis à une limite de fréquence, et la réponse ne révèle jamais si une adresse existe.
Paiements
Stripe · webhook signé · enregistré une fois
Les paiements passent par Stripe. Votre solde n’augmente jamais autrement que par un webhook signé, que nous vérifions, et chaque événement n’est enregistré qu’une fois : une nouvelle tentative ne peut donc pas créditer deux fois la même somme.
Fichiers
type et taille vérifiés · liens signés
Le type et la taille de chaque fichier importé sont contrôlés. Logos et avatars sont publics ; tout le reste est privé et servi par des liens signés à durée de vie courte.
Bureaux du Service client
sources sélectionnées · IP hachée · plafond quotidien
Chaque bureau ne répond qu’à partir des contenus que vous avez sélectionnés, et dit quand il ne peut pas répondre. Les visiteurs sont identifiés par une empreinte salée de leur adresse IP, et un plafond de coût quotidien, propre à chaque bureau, le coupe avant que la facture ne pose problème.
Les e-mails de connexion et de réinitialisation sont envoyés depuis bearingbridge.com. Vos utilisateurs ne reçoivent rien de notre part que vous n’ayez déclenché.
Ici s’arrête ce qui est développé. La suite ne l’est pas.
Ce qui n’est pas encore fait.
Un évaluateur qui découvre l’un de ces points par lui-même ne croira plus rien d’autre sur cette page.
Les voici, rédigés comme dans un contrat. Dès que l’un d’eux évolue, ce tableau est mis à jour le jour même et la page Nouveautés en garde la trace. Pour un questionnaire de sécurité, passez par la page Contact : une personne y répond, point par point.
Dernière vérification sur le code : 19 septembre 2026
Ni SOC 2 ni ISO 27001 à ce jour. L’audit sera lancé quand des clients auront besoin du rapport ; cette ligne changera alors.
Les données résident dans une seule région, et le choix de la région n’est pas encore proposé. Sur demande, nous inscrivons la région dans le contrat.
La seconde étape repose sur un code envoyé par e-mail. Ni application d’authentification ni SMS pour l’instant.
Ni SAML ni fournisseur d’identité d’entreprise. Si votre politique l’impose, dites-le avant l’achat, pas après.
Le registre consigne ce qu’ont fait les modèles. Aucun journal ne retrace encore qui a extrait quelles données du produit, comme l’indique aussi le catalogue.
Six points à vérifier vous-même.
Montrez cette page à la personne qui doit signer.
Commencez par un module, sur une marque. Ou posez la question à laquelle cette page ne répond pas : la réponse vous parviendra par écrit.
Sans abonnement. Sans licence par utilisateur. De l’argent versé sur un portefeuille, dépensé en jetons, en stockage et en données ; le solde n’expire jamais.