Cette page n’est disponible qu’en anglais pour le moment. Une traduction suivra.
Une sécurité que vous pouvez vraiment vérifier.
Voici la version simple de la façon dont Omie stocke, isole et protège vos données aujourd'hui. Les certifications ISO 27001 et ISO 9001 sont acquises, l'audit SOC 2 Type II est en cours, et cette page indique exactement où en sont les choses.
audité, pas affirmé
Certifié, pas annoncé.
Deux certifications accréditées que vous pouvez vérifier auprès de l'organisme émetteur, et un audit que nous ne déclarerons terminé que lorsqu'il le sera vraiment.
Le jour où SOC 2 Type II sera terminé, cette page dira certifié, et pas un jour avant.
ce que nous protégeons, et comment
Ce qui est vrai sur vos données aujourd'hui.
Six points précis dont un évaluateur peut nous tenir responsables, chacun appliqué dans le produit lui-même plutôt que couché seulement dans un document de politique.
Chiffrement de bout en bout du flux
Le trafic passe par TLS, et les données sont chiffrées au repos dans la base de données et dans le stockage de fichiers. Les clés sont gérées par nos fournisseurs d'infrastructure, jamais laissées dans le code applicatif.
Isolation par client avec sécurité au niveau des lignes
Chaque table associée à une organisation porte un identifiant d'organisation et une politique de sécurité au niveau des lignes Postgres. L'isolation est appliquée dans la base de données, si bien qu'un client ne peut jamais lire les lignes d'un autre client.
Accès selon le moindre privilège
Les personnes et les services n'obtiennent que l'accès nécessaire à leur tâche. Quatre rôles (membre, manager, administrateur d'organisation, propriétaire d'organisation) déterminent ce que chacun peut faire dans un compte.
Région UE (Francfort) : prévue
Aujourd'hui, toutes les données sont hébergées en Virginie du Nord, États-Unis (AWS us-east-1). Notre région Europe à Francfort, Allemagne (AWS eu-central-1) est prévue, et les clients Business pourront y être déplacés à l'ouverture.
Sauvegardes régulières et testées
La base de données est sauvegardée selon un calendrier régulier avec récupération à un instant précis, et nous vérifions qu'une restauration fonctionne réellement plutôt que de le supposer.
Journalisation d'audit sur les actions sensibles
Les changements de rôle, les exports et les actions d'administration sont écrits dans un journal d'audit en ajout seul, afin qu'il existe une trace de qui a fait quoi et quand.
Un client, isolé dans la base de données.
Une isolation que vous pouvez pointer du doigt dans Postgres, pas une promesse sur une diapositive. Chaque requête suit les quatre mêmes étapes.
Résoudre l'organisation
Une requête arrive et nous lisons l'organisation active depuis la session signée, jamais depuis une URL ou un en-tête qu'un client pourrait falsifier.
Restreindre chaque requête
Des politiques de sécurité au niveau des lignes encadrent chaque requête, si bien que la base de données elle-même ne renvoie que les lignes appartenant à ce client.
Contrôler l'action
Le rôle du membre détermine ce que l'action est autorisée à faire, vérifié côté serveur avant toute écriture.
Écrire l'enregistrement
Les modifications sensibles sont consignées dans un journal d'audit en ajout seul, afin que la séquence des événements soit disponible quand vous devez la consulter.
pour votre examen
La pile technique, et où elle s'exécute.
Les sous-traitants qui font fonctionner Omie, ce que chacun touche, et où. Suivi d’un état honnête de notre conformité.
Sous-traitants
Tous ceux à qui nous confions des données, et exactement ce qu’ils traitent.
| Sous-traitant | Objet | Données | Région |
|---|---|---|---|
| Supabase | Base de données Postgres, authentification et stockage de fichiers | Compte, signaux d’apprentissage et contenu que vous créez | Virginie du Nord, États-Unis (us-east-1) ; Francfort est prévue |
| Vercel | Hébergement de l’application et diffusion en périphérie | Métadonnées de requête, aucun contenu d’apprentissage stocké au repos | Périphérie mondiale, plan de contrôle aux États-Unis |
| Anthropic | Ada, le coach IA, et la génération de contenu | Prompts et contexte de leçon, jamais utilisés pour entraîner des modèles de fondation | États-Unis |
| Resend | E-mails transactionnels tels que les liens magiques et les récapitulatifs | Nom et adresse e-mail | États-Unis et UE |
| Stripe | Facturation et abonnements | Détails de facturation, traités au sein de Stripe (PCI DSS) | Mondial |
| PostHog | Analytique produit | Événements d’usage pseudonymisés, jamais les réponses d’apprentissage | Cloud UE disponible |
| Sentry | Surveillance des erreurs, pour que nous détections les pannes avant que vous ne les signaliez | Traces d’erreurs et métadonnées de requête, jamais les réponses d’apprentissage | États-Unis, UE disponible |
| OpenAI | Embeddings pour la recherche et les recommandations, et synthèse vocale des leçons audio | Texte de recherche et réponses d’inscription ; scripts de leçon pour l’audio. Jamais utilisés pour entraîner des modèles | États-Unis |
| ElevenLabs | Narration vocale des leçons | Texte des leçons uniquement, aucune donnée personnelle | États-Unis |
État de conformité
Où en est réellement chaque élément. Nous n'affichons jamais une certification que nous ne détenons pas.
| Domaine | Statut | Ce que cela signifie |
|---|---|---|
| ISO 27001 | Certifié | Management certifié de la sécurité de l'information. Le certificat est fourni dans le dossier de conformité et peut être vérifié auprès de l'organisme émetteur. |
| ISO 9001 | Certifié | Système de management de la qualité certifié, couvrant la façon dont nous construisons, livrons et soutenons le produit. |
| SOC 2 Type II | En cours | Les contrôles sont en cours de mise en œuvre et de collecte de preuves. Le rapport n'a pas encore été émis, et nous garderons cette ligne honnête jusqu'à ce qu'il le soit. |
| RGPD | Prêt | Les droits des personnes concernées et un DPA sont pris en charge, et la région UE est prévue. Nous ne traitons que ce dont le produit a besoin. |
| Région UE (Francfort) | Prévue | Les comptes Business pourront conserver les données de compte et d’apprentissage à Francfort, Allemagne (AWS eu-central-1). Aujourd’hui, toutes les données sont en Virginie du Nord, États-Unis (AWS us-east-1). |
| Accord de traitement des données | Disponible | Un DPA est prêt à signer pour Business, avec les clauses standard incluses. |
| Test d'intrusion | Sur demande | Nous pouvons présenter à des évaluateurs qualifiés notre approche de test et nos derniers résultats sous NDA. |
Vos données travaillent pour vous, jamais pour un réseau publicitaire ou un courtier en données.
Ce que nous collectons
Votre compte, vos signaux d'apprentissage (ce que vous avez terminé et comment) et le contenu que vous créez. Rien de plus que ce dont le produit a besoin pour personnaliser votre journée.
Combien de temps nous les conservons
Nous conservons vos données tant que votre compte est actif, afin que votre parcours et votre maîtrise vous suivent. Désactivez le compte et le traitement s’arrête.
Suppression sur demande
Demandez-le nous et nous supprimons vos données personnelles, puis confirmons une fois que c'est fait. Nous les conservons tant que votre compte est actif et les effaçons quand vous décidez de partir.
Nous ne vendons pas vos données
Omie n'a jamais vendu de données personnelles et ne le fera jamais. Il n'y a ni réseau publicitaire ni courtier en données nulle part dans le tableau.
connectez-vous à votre façon
Connectez-vous comme votre entreprise le fait déjà.
Les comptes Business se connectent à votre fournisseur d'identité via WorkOS, afin que chacun rejoigne avec la connexion qu'il utilise déjà, et parte dès que son accès est révoqué.
- SSO et SAML via WorkOS, sur Business
- Provisionnement SCIM pour ajouter et retirer des personnes automatiquement
- L'authentification multifacteur est appliquée par votre fournisseur d'identité
- Lien magique ou mot de passe pour tout le monde sur Personal et Premium
les standards d’identité que nous parlons
- WorkOSfournisseur SSO
- SAML 2.0connexion entreprise
- SCIM 2.0provisionnement des utilisateurs
- OIDCpris en charge
- Sécurité de sessionsignée, expirante
pour évaluateurs et chercheurs
Vérifiez-nous, et vérifiez-nous correctement.
Vous avez trouvé une faille ? Prévenez-nous en premier. Nous pratiquons la divulgation coordonnée, visons à accuser réception des signalements de bonne foi sous deux jours ouvrés, et ne poursuivrons jamais les chercheurs agissant de bonne foi.
Écrivez à security@tryomie.com. Merci de nous laisser un moyen de vous recontacter.
un seul lien, tout dedans
Le dossier de conformité
- Certificats ISO 27001 et ISO 9001
- Cet aperçu de sécurité, tenu à jour
- Liste des sous-traitants et flux de données
- Un DPA, prêt à signer
- Région UE (Francfort) : prévue
Dix modules, un seul moteur, une seule frontière de sécurité. Tout sur cette page les couvre tous à la fois.