HEFLO est-il un logiciel BPM sécurisé ?

HEFLO héberge les données sur Amazon Web Services dans des centres de données régionaux. Vos données de processus (les modèles, formulaires, documents et pièces jointes avec lesquels vos équipes travaillent, ainsi que la base de données qui les stocke) sont conservées dans votre région : AWS Irlande (eu-west-1) pour l'Union européenne et São Paulo pour l'Amérique latine. L'isolement dépasse la base de données. Les services d'application, de données et de reporting sont déployés indépendamment dans chaque région : l'exécution des processus a donc lieu là où résident les données et n'est pas routée vers un point central. Les sauvegardes suivent la même règle : les points de restauration de l'UE sont copiés vers Francfort et demeurent dans l'UE. Un ensemble défini de services support (compte et connexion, envoi d'e-mails, indexation de recherche, fonctionnalités d'IA et télémétrie) s'exécute depuis d'autres régions AWS, de sorte qu'une quantité limitée de données est traitée hors de votre région, sous clauses contractuelles types. La question sur les transferts, ci-dessous, donne le tableau complet.

HEFLO protège les données à trois niveaux. Au sein de la région, la couche de base de données est répliquée sur trois zones de disponibilité distinctes : perdre une zone ne signifie donc perdre ni le service ni vos données. Aurora effectue des sauvegardes quotidiennes avec restauration à un instant précis sur une fenêtre de 35 jours, ce qui permet de restaurer une base de données à un moment donné et non uniquement au dernier instantané. Au-delà, AWS Backup copie chaque jour les points de restauration vers une seconde région, dans un coffre verrouillé qui les protège de toute suppression accidentelle ou malveillante. Pour les clients européens, ces copies vont d'Irlande à Francfort : les sauvegardes ne quittent donc jamais l'UE. Vos données de processus et leurs sauvegardes suivent la même règle régionale, un point sur lequel de nombreuses plateformes cloud manquent discrètement à leur propre promesse. Un plan de continuité d'activité fondé sur cette architecture de sauvegarde est en cours de mise en œuvre ; les clients ayant besoin d'objectifs de reprise formels peuvent en demander l'état actuel à l'équipe sécurité.

Oui, chaque client le peut. Au-delà des sauvegardes propres à HEFLO, vous pouvez activer un flux de données continu qui consolide vos données Aurora et DynamoDB dans une base de données relationnelle (MySQL) dédiée à votre environnement. Utilisez-la pour créer votre propre BI et vos rapports, la conserver comme sauvegarde indépendante ou demander à HEFLO d'envoyer un export quotidien directement vers votre propre bucket Amazon S3, à l'aide de votre propre clé d'API. Une copie MySQL complète et prête à importer de vos données de processus arrive, chaque jour, dans une infrastructure que vous contrôlez. La réplique est chiffrée et n'est pas accessible publiquement et, pour les clients européens, elle reste dans l'UE, conformément à la résidence des données. C'est la réponse directe à la dépendance vis-à-vis du fournisseur : vos données ne sont jamais prisonnières de HEFLO.

Des tests de sécurité applicative statiques et dynamiques (SAST/DAST) s'exécutent dans le pipeline CI/CD : le code est ainsi vérifié à la recherche de vulnérabilités avant sa mise en production. En production, Amazon Inspector analyse en continu la couche de calcul de HEFLO (serveurs, conteneurs et fonctions serverless) à la recherche de vulnérabilités connues, un pare-feu applicatif web filtre le trafic en périphérie et toute activité administrative est enregistrée dans AWS CloudTrail.

Oui. HEFLO commande des tests d'intrusion réalisés par une société de sécurité indépendante, payée pour s'introduire dans le système, et non l'équipe de HEFLO elle-même. C'est un test adversarial, mené par des personnes qui n'ont aucun intérêt à juger la plateforme sécurisée, et c'est ce qui distingue une véritable posture de sécurité d'une auto-évaluation. Une synthèse du test le plus récent est disponible pour les clients et prospects sous NDA, afin que votre équipe sécurité lise les conclusions par elle-même.

Oui. HEFLO soutient la conformité au RGPD grâce à la résidence des données dans l'UE, un accord de traitement des données (DPA) au titre de l'article 28, des clauses contractuelles types pour tout transfert, un délégué à la protection des données désigné (dpo@corp.heflo.com), un registre des activités de traitement et la prise en charge du droit à l'effacement. Ces mécanismes permettent à vos équipes juridiques et à votre DPO de documenter la manière dont les données personnelles sont traitées et protégées.

Oui, pour un ensemble défini et limité de services support, et chacun d'eux est documenté. Vos données de processus (modèles, formulaires, documents, pièces jointes, la base de données et ses sauvegardes) restent dans votre région. Ce qui est traité ailleurs : les données de compte et de connexion, répliquées entre les régions afin que vos utilisateurs puissent se connecter depuis n'importe où et que le service survive à la perte d'une région ; l'envoi d'e-mails ; l'indexation de recherche ; les fonctionnalités d'IA optionnelles, qui reçoivent la documentation des processus et les paramètres d'automatisation, et aucune donnée personnelle ; et la télémétrie opérationnelle (journaux, métriques et traces) conservée sur une courte durée. Chacun de ces transferts est couvert par l'accord de traitement des données et les clauses contractuelles types de HEFLO, et figure dans le registre des traitements, que votre DPO peut demander. Si votre organisation exige un traitement strictement mono-région, HEFLO propose un déploiement en cloud privé et on-premises.

HEFLO s'appuie sur un ensemble restreint et documenté de sous-traitants : AWS pour l'hébergement, Crisp pour la messagerie client, Google pour des services de support et OpenAI pour les fonctionnalités d'IA optionnelles. Chaque sous-traitant est couvert par l'accord de traitement des données de HEFLO, et les clients sont notifiés avant tout changement de la liste afin d'en évaluer l'impact.

HEFLO prépare son SMSI en alignement avec la norme ISO/IEC 27001. Le système de management régit déjà le chiffrement, le contrôle des accès, l'hébergement, la résilience et la réponse aux incidents en s'appuyant sur le référentiel ISO/IEC 27001 comme modèle de référence. HEFLO ne revendique pas de certification formelle à ce jour, et cette page sera mise à jour si ce statut évolue.

Non. HEFLO n'utilise pas les données clients pour entraîner des modèles d'IA. Les fonctionnalités d'IA appliquent la minimisation des données, sont optionnelles et peuvent être désactivées. Les équipes peuvent ainsi adopter les capacités d'IA de HEFLO sans exposer leurs données de processus à l'entraînement de modèles.

Oui. HEFLO prend en charge l'intégration au SSO et au SIEM via webhooks, l'export des journaux au format CSV, la liste d'autorisation d'adresses IP et les sauvegardes appartenant au client, écrites dans son propre compartiment S3. Pour les organisations aux exigences plus strictes, HEFLO propose des options de déploiement en cloud privé et sur site. Les équipes achats et gestion des risques fournisseurs peuvent demander le dossier de sécurité complet pour finaliser leur évaluation.