# Sécurité et confiance

> La base de données de Scalemerce est hébergée dans l'Union européenne (Supabase, Francfort). Chaque entreprise cliente a un espace isolé par des règles d'accès en base de données, les connexions sont chiffrées, les mots de passe des boîtes d'envoi sont gardés dans un coffre chiffré, l'administration de la plateforme exige la double authentification et les actions sensibles sont journalisées.

Source : https://www.scalemerce.com/securite · Mis à jour le 2026-10-18

## Vos données commerciales restent les vôtres

Ce que nous faisons concrètement pour protéger vos comptes, vos contacts et vos échanges.

## Les mesures en place

- **Hébergement** : Base de données, authentification et fichiers chez Supabase, dans l'Union européenne (Francfort). Application web chez Vercel. Serveur d'envoi chez Oxahost, à Tunis.
- **Isolation des espaces** : Chaque entreprise cliente a son espace. Des règles d'accès en base de données (Row Level Security) limitent chaque requête aux données de l'espace de l'utilisateur.
- **Rôles** : Propriétaire, administrateur, responsable commercial, commercial et lecture seule : chaque rôle limite ce qu'un utilisateur voit et modifie.
- **Chiffrement des échanges** : Toutes les connexions passent en HTTPS (TLS).
- **Secrets protégés** : Les mots de passe des boîtes d'envoi sont chiffrés dans un coffre et ne sont jamais renvoyés à l'interface. Les clés des fournisseurs restent sur nos serveurs.
- **Administration sous double authentification** : La console d'administration de la plateforme exige une session vérifiée par un second facteur (TOTP).
- **Journalisation** : Les actions sensibles (paramètres, rôles, envois, validations de l'IA, crédits) sont enregistrées dans un journal.
- **IA sous contrôle** : L'IA passe par l'API commerciale d'Anthropic. Ses brouillons sont validés par une personne avant tout envoi.

## Conformité des envois

- **Désinscription en un clic** : Chaque email de prospection contient un lien de désinscription et l'en-tête de désinscription en un clic.
- **Liste de suppression** : Une adresse ou un domaine désinscrit n'est plus jamais contacté par l'entreprise.
- **Règles par pays** : La prospection par email est bloquée vers les pays où le consentement préalable est requis.
- **Information des personnes** : Le premier email d'une séquence indique la source des données et renvoie à la politique de confidentialité de l'expéditeur, exigée avant tout envoi.

## Sous-traitants

Supabase, Vercel, Resend, Apollo, Anthropic, MillionVerifier, Firecrawl et Oxahost. Leur rôle, leur pays et les garanties de transfert sont détaillés dans la politique de confidentialité.

Une question de sécurité, un audit fournisseur ou une demande d'accord de traitement des données : hello@scalemerce.com.