La sécurité chez Spun
Où vos données sont stockées, quels fournisseurs peuvent les voir et ce que nous avons réellement construit pour les tenir séparées de celles de tous les autres. Rédigé pour être vérifié, pas survolé.
Dernière vérification : 16 août 2026
Où se trouvent vos données
D'abord en Allemagne, avec une cellule aux États-Unis
Spun exploite deux cellules de données. eu-1 se trouve à Nuremberg, en Allemagne, sur une infrastructure Hetzner ; elle héberge le plan de contrôle et la grande majorité des organisations. us-1 se trouve à Manassas, en Virginie, sur une infrastructure netcup. Deux organisations y sont rattachées aujourd'hui ; toutes les autres organisations sont en Allemagne.
L'emplacement n'est pas déduit de l'endroit où vous vous trouviez par hasard lors de votre inscription. Aucun pays n'est associé à une cellule, de sorte que les nouvelles organisations sont créées sur la cellule de l'UE. Votre organisation est rattachée à exactement une cellule, et ses données restent sur cette cellule jusqu'à ce que quelqu'un les déplace délibérément.
Les médias (images, vidéos, audio et pièces jointes) sont stockés dans Cloudflare R2 et servis uniquement par des URL signées limitées à un seul objet, jamais depuis l'adresse d'un compartiment public.
La limite de toute promesse de localisation
Les données stockées par Spun résident dans votre région. C'est la limite honnête, et nous ne la tracerons pas plus large. Un canal WhatsApp est un client WhatsApp : le contenu des messages existe aussi sur la passerelle WhatsApp qui le fait fonctionner, et il transite par l'infrastructure de Meta. Ni l'une ni l'autre ne sont sous notre contrôle, et aucun fournisseur de cette catégorie ne peut supprimer cette réserve. Par ailleurs, les conversations entre deux organisations au sein de Spun sont hébergées de manière centralisée en Allemagne, quel que soit le lieu de rattachement de l'organisation de chaque participant.
La conservation suit votre forfait. Chaque forfait indique sur la page des tarifs sa période d'historique des messages (90 jours pour Starter, 1 an pour Pro, illimitée pour Max), et les messages plus anciens que cette période sont supprimés ; passer à un forfait supérieur allonge la période et permet de réimporter un historique plus ancien. Dans votre période, les données restent jusqu'à ce que vous les supprimiez ou qu'un réglage de conservation plus court que vous configurez les supprime. Les outils de suppression et d'export décrits plus bas en sont le mécanisme.
IA
Les données de mes clients vont-elles chez OpenAI ?
Pour certaines fonctions, oui, et vous pouvez voir exactement lesquelles, et réduire ou couper chacune d'elles. Rien n'est envoyé à un fournisseur d'IA en dehors d'une fonction que vous utilisez. Vos messages ne servent à entraîner les modèles d'aucun fournisseur.
| Fonction | Ce qui est envoyé | Fournisseurs | Votre contrôle |
|---|---|---|---|
| Rédiger, améliorer, résumer, réponses intelligentes | Le texte du message (ou sa version masquée) de la conversation sur laquelle vous travaillez | OpenAI - Sarvam AI pour les langues indiennes | Niveau de masquage du chatbot IA |
| Résumé d'un fil d'e-mails et brouillon de réponse | Le fil d'e-mails sur lequel vous travaillez, ou sa version masquée, plus les noms des fichiers que vous avez joints, jamais le fichier joint lui-même | OpenAI | Interrupteur de masquage des données personnelles dans Paramètres → Sécurité, et un aperçu dans l'éditeur qui montre le fil exactement tel que le modèle le reçoit |
| Assistant Weave / questions libres | Les extraits de conversation nécessaires pour répondre à votre question | OpenAI | Niveau de masquage de Weave |
| Résumés de contacts | La transcription de la conversation résumée | OpenAI | Niveau de masquage des résumés de contacts |
| Classification des intentions et de l'intérêt | Le seul message entrant en cours de classification | OpenAI | Niveau de masquage de la classification des intentions |
| Transcription des notes vocales et des appels | Le fichier audio | OpenAI (Whisper), Sofer.ai pour l'hébreu, Speechmatics, Deepgram, AssemblyAI, Google Cloud, Microsoft Azure, Sarvam AI pour les langues indiennes - le choix dépend de la langue et de votre forfait | La transcription peut être entièrement désactivée |
| Traduction | Le texte à traduire : traduction des messages de la boîte de réception et traduction des noms d'étiquettes du CRM | OpenAI - Sarvam AI pour les langues indiennes | Peut être entièrement désactivée par organisation |
| Synthèse vocale | Le texte prononcé | OpenAI, ElevenLabs, Google Cloud, Microsoft Azure, Speechify, Sarvam AI | Ne fonctionne que pour les fonctions vocales que vous utilisez |
| Embeddings de recherche | Le texte des messages et des contacts, dont les données financières et d'identification sont toujours retirées au préalable | OpenAI | Peuvent être entièrement désactivés, et les index existants purgés |
Les réglages par défaut, dits clairement
Une organisation qui n'ouvre jamais les paramètres de confidentialité fonctionne avec le masquage désactivé pour le chatbot, Weave, les résumés de contacts et la classification des intentions : ces services reçoivent le texte des messages tel qu'il a été écrit. La traduction et les embeddings de recherche appliquent par défaut le retrait des données financières et d'identification décrit plus bas. Les nouvelles organisations établies dans l'UE/EEE font exception : elles démarrent avec Équilibré (masquage complet pour chaque service d'IA, la recherche et la traduction continuant de fonctionner) automatiquement, et non avec « désactivé ». Cela ne s'applique qu'aux organisations créées après ce changement ; ce n'est pas appliqué rétroactivement aux réglages existants. Le parcours de prise en main propose aussi ce préréglage à tous les autres avant la première connexion WhatsApp. Si vous voulez un réglage par défaut plus strict, définissez-le dans Paramètres → Sécurité dès le premier jour.
Masquage des données personnelles
Ce qui est retiré, et quand
Le masquage s'exécute sur notre serveur avant que la requête ne le quitte. Les valeurs détectées sont remplacées par des marques substitutives opaques, et la correspondance entre une marque et la valeur d'origine n'est jamais envoyée au navigateur ni au fournisseur.
Désactivé
Le fournisseur reçoit le message tel qu'il a été écrit.
Complet
Chaque catégorie détectée est remplacée par une marque substitutive avant que la requête ne quitte notre serveur : noms connus de vos contacts, numéros de téléphone, adresses e-mail, numéros d'identité nationaux, numéros de carte, coordonnées bancaires et IBAN, bénéficiaires, numéros de passeport, dates de naissance, adresses postales, URL avec paramètres, liens d'invitation WhatsApp, et clés API ou jetons.
Partiel
L'ensemble des données financières et d'identification est toujours retiré (numéros de carte, coordonnées bancaires, IBAN, bénéficiaires, numéros d'identité nationaux, numéros de passeport, clés API et jetons), tandis que le texte ordinaire est conservé pour que la recherche et la traduction continuent de fonctionner.
Désactivée
La fonction ne s'exécute pas du tout, donc rien n'est envoyé à aucun fournisseur.
Une règle vaut pour tous les réglages : les numéros de carte, les coordonnées bancaires et IBAN, les bénéficiaires, les numéros d'identité nationaux, les numéros de passeport, les clés API et les jetons sont retirés de tout ce qui sert à construire les index de recherche. La détection couvre dix groupes de langues et valide ce qu'elle peut : les numéros de carte et les numéros d'identité israéliens sont vérifiés par somme de contrôle, et pas seulement par correspondance de motif.
Une marque substitutive appartient à la seule requête qui l'a créée. Chaque exécution marque ses substitutions d'une valeur aléatoire, et seules les marques portant l'étiquette de cette exécution sont reconverties en texte réel : un jeton copié depuis une chaîne de réponses citée, ou inventé par un modèle, ne correspond à rien et reste tel quel au lieu d'être remplacé par le vrai numéro de quelqu'un.
Lorsqu'une fonction d'IA rédige quelque chose que vous allez envoyer, les vraies valeurs sont rétablies sur notre serveur après la réponse du modèle : un brouillon d'e-mail arrive complet dans votre éditeur, car une marque substitutive dans la boîte de réception d'un client est un défaut. Lorsqu'elle rédige quelque chose que vous ne faites que lire (le résumé d'un fil d'e-mails, par exemple), elles ne sont pas rétablies. Les marques restent visibles, puisque rien n'est gagné à écrire de vraies données personnelles dans une ligne qui n'est jamais qu'affichée. Dans l'éditeur d'e-mails, vous pouvez ouvrir « Ce que l'IA voit » avant de demander quoi que ce soit et lire le fil exactement tel que le fournisseur le reçoit, jusqu'à chaque marque substitutive et au type de détail qu'elle représente.
Le masquage réduit ce qu'un fournisseur voit. Il n'annule pas l'envoi de ce qui a déjà été traité, et nous le disons dans la boîte de dialogue de confirmation plutôt que dans une note de bas de page.
Ingénierie
Comment Spun est conçu pour la sécurité
Ce sont des mécanismes du produit, décrits par ce qu'ils font plutôt que comme des badges.
Un autre client de Spun peut-il voir mes données ?
Les tables des clients dans PostgreSQL portent des politiques de sécurité au niveau des lignes, si bien que la base de données elle-même filtre chaque lecture et chaque écriture par organisation : une requête qui oublie le filtre d'organisation ne renvoie rien plutôt que les lignes de quelqu'un d'autre. Un garde-fou du dépôt de code (npm run check:rls) lit l'ensemble réel des tables protégées par RLS directement dans la base de données et échoue si une requête brute touche l'une d'elles en dehors de l'enveloppe limitée à l'organisation.
Qu'est-ce qui décide de ce que j'ai le droit de faire ?
Firebase vérifie qui vous êtes et ne fournit rien de plus que votre identifiant utilisateur et votre e-mail. Votre appartenance à une organisation, votre organisation active et votre rôle effectif sont lus dans la base de données à chaque requête. Un jeton ne peut pas affirmer un rôle ou une organisation, car rien dans le jeton n'est considéré comme fiable pour cela.
Puis-je empêcher mes messages d'arriver chez un fournisseur d'IA ?
Le masquage se règle par service d'IA, et non une seule fois pour tout le produit : vous pouvez donc laisser la transcription active tandis que le chatbot ne voit jamais que du texte masqué. La traduction et les embeddings de recherche peuvent être coupés purement et simplement, et les données financières et d'identification sont retirées des embeddings quel que soit le réglage.
Comment l'export et la suppression fonctionnent-ils concrètement ?
Une demande faite depuis l'application envoie un e-mail de vérification ; la demande ne devient active qu'une fois le jeton reçu par e-mail utilisé. La vérification déclenche un délai de traitement de 30 jours, et une demande de suppression comporte un délai de grâce de sept jours pendant lequel vous pouvez l'annuler depuis le même écran. Chaque étape (demandée, vérifiée, annulée, traitée) est inscrite au journal d'audit. Une demande couvre l'organisation par laquelle elle est faite ; une personne en relation avec plusieurs organisations sur Spun a une demande par organisation.
Qu'est-ce qui empêche un bug d'envoyer des messages en masse à mes contacts ?
Chaque appel WhatsApp sortant passe par un seul client audité. Il écrit une ligne d'audit par organisation pour chaque appel, surveille les pics de débit sur toute la plateforme et ouvre un disjoncteur sur un canal qui échoue sans cesse, pour qu'un canal défaillant ne puisse pas entraîner les autres avec lui. Une étiquette DONOTSEND sur un contact est appliquée par les expéditeurs automatiques : campagnes, pilote automatique, séquences programmées et parcours proactifs la vérifient tous avant d'envoyer.
Existe-t-il une trace de qui a fait quoi ?
Les tentatives d'authentification, les exports, les suppressions, les opérations groupées et les actions d'administration sont inscrits dans un journal d'audit structuré, avec l'auteur, l'organisation, l'action et le résultat. L'accès au journal est limité à l'organisation, comme tout le reste.
Que se passe-t-il quand j'envoie un e-mail depuis Spun ?
L'e-mail part depuis votre propre compte Gmail, que vous connectez vous-même par un client Google dédié qui demande une autorisation d'envoi uniquement : il peut envoyer en votre nom, et il ne peut pas lire votre boîte aux lettres. Les jetons sont chiffrés avant d'être stockés. Le serveur impose un destinataire par envoi, de sorte qu'une erreur dans l'éditeur ne peut pas devenir un envoi en masse, et des plafonds par utilisateur limitent ce qui peut partir sur une période donnée. Chaque envoi vérifie d'abord la liste de désinscription. Les réponses reviennent sur un domaine en réception seule qui n'a aucune capacité d'envoi : chaque message entrant est vérifié par signature, contrôlé quant à l'alignement de l'expéditeur, et ne déclenche jamais d'action automatique à lui seul.
Puis-je quitter définitivement votre liste de diffusion ?
Les e-mails promotionnels portent des en-têtes de désinscription en un clic (RFC 8058), si bien que le bouton natif de Gmail et de Yahoo fonctionne. Le lien est signé, la désinscription est enregistrée côté serveur, et la liste d'exclusion est vérifiée avant l'envoi de tout e-mail promotionnel. Les notifications relatives au compte et à la sécurité sont distinctes et continuent de fonctionner.
Que se passe-t-il lorsqu'une réunion est enregistrée ?
L'enregistrement est désactivé par défaut et une organisation peut le désactiver entièrement. Lorsqu'un hôte l'active, un indicateur d'enregistrement est affiché à tous les participants de la réunion, et un invité qui arrive par lien doit accepter d'être enregistré avant que sa caméra ou son micro ne soit connecté : saisir un nom n'est pas considéré comme un accord. Partager un enregistrement par la suite passe par un lien distinct, à durée limitée, et non par le lien de la réunion, de sorte qu'il peut être révoqué séparément, et chaque utilisation est journalisée. Les enregistrements sont supprimés automatiquement à la fin de la période de conservation définie par l'organisation, dans la limite de trente jours, et les liens de partage cessent de fonctionner au même moment.
Qu'y a-t-il entre internet et vos serveurs ?
Cloudflare termine le TLS en périphérie et chiffre à nouveau jusqu'à l'origine, avec un WAF et une protection DDoS toujours actifs et des certificats d'origine qui lient les requêtes à nos propres serveurs. Les médias ne sont jamais servis depuis l'URL d'un compartiment public : chaque téléchargement passe par une URL signée limitée à un seul objet, avec une expiration fixe.
Accès
Qui peut accéder à quoi
L'isolation entre organisations est imposée par la base de données, et non par du code applicatif qui penserait à filtrer. Les tables des clients ont des politiques de sécurité au niveau des lignes fondées sur l'organisation de la session en cours, si bien qu'une requête sans ce contexte ne renvoie rien.
Deux rôles s'appliquent à votre équipe (responsable d'organisation et utilisateur d'organisation), à côté d'un rôle d'administrateur de la plateforme détenu par le personnel de Spun pour le support. L'accès à la boîte de réception est encore limité séparément : lecture-écriture, lecture seule ou limité par filtre, auquel cas un membre ne voit que les conversations correspondant au filtre défini pour lui. Les conversations partagées avec une autre organisation portent en plus leur propre rôle, de lecteur à contrôle total en passant par membre de l'équipe et responsable, si bien que partager un fil ne cède pas le compte.
Les conversations de support avec Spun, et les tickets ouverts depuis une boîte de réception, sont visibles par le propriétaire du compte et par les membres qu'il autorise. Un membre d'une boîte de réception partagée ne voit la conversation « Support humain » que si son partage comporte cette autorisation, et le serveur refuse la requête dans le cas contraire, au lieu de simplement masquer l'onglet.
L'identité vient de Firebase, et s'arrête là. L'appartenance, l'organisation active et le rôle sont déterminés à partir de la base de données à chaque requête ; rien dans le jeton n'est considéré comme fiable pour les affirmer.
Certaines choses appartiennent à une personne plutôt qu'à l'organisation. Les objectifs personnels et les réflexions écrites à leur sujet en sont l'exemple le plus clair : leurs politiques de sécurité au niveau des lignes sont fondées sur le membre autant que sur l'organisation, si bien qu'un responsable, un coéquipier ou un collègue d'une boîte de réception partagée ne peut pas les lire, même au sein du même compte, et c'est la base de données qui l'impose, pas l'interface qui choisirait quoi afficher. Nos propres outils d'administration voient des nombres, jamais le texte. Un export au niveau de l'organisation omet entièrement le contenu des réflexions, et seul l'export personnel de la personne concernée le contient. Supprimer une réflexion masque aussi les copies qui en restent dans le Spun Chat de cette personne, pour que les mots ne survivent pas à un second endroit.
Vos données
Suppression et export
Un responsable d'organisation peut faire une demande d'export de données ou de suppression du compte depuis l'application. La demande n'est traitée qu'une fois confirmée par un lien envoyé par e-mail au demandeur, ce qui nous permet de savoir que la personne qui demande contrôle le compte.
La confirmation déclenche un délai de traitement de 30 jours. Une demande de suppression programme en outre la purge sept jours plus tard, et la demande peut être annulée depuis le même écran à tout moment avant cette date. Chaque changement d'état est inscrit au journal d'audit. L'export lui-même couvre le profil et les paramètres de votre organisation, la liste des membres, un récapitulatif de facturation et l'historique d'audit du demandeur, livrés au format JSON par un lien signé à durée limitée.
Les deux parcours sont limités à une organisation. Une demande faite par une organisation ne couvre que le compte de cette organisation : chaque organisation sur Spun contrôle ses propres données, et la demande d'un client n'atteint jamais les données d'un autre client. Une personne en relation avec plusieurs organisations qui utilisent Spun fait une demande distincte auprès de chacune d'elles.
Indépendamment du parcours de demande, un administrateur peut supprimer directement les données de l'organisation depuis les paramètres, et désactiver les embeddings de recherche purge les index dérivés (embeddings des contacts, fragments de conversations, fragments de la base de connaissances et vecteurs des réponses prédéfinies) au lieu de simplement empêcher d'en construire de nouveaux.
Proxy personnel
Ce qu'est le « Proxy personnel », et ce qu'il peut voir
Chaque session WhatsApp liée atteint WhatsApp depuis une adresse internet. Spun ne relie jamais un numéro directement depuis le centre de données de la passerelle. Avant l'affichage du code QR, vous confirmez le pays où vous utilisez habituellement WhatsApp, et une nouvelle connexion sans « Proxy personnel » emprunte alors l'un de deux itinéraires gérés. Lorsque la passerelle WhatsApp dispose d'une connexion régionale dans ce pays, la session passe par elle (affichée comme une connexion Spun) ; cela fait partie du service de passerelle qui figure déjà sur notre liste des sous-traitants ultérieurs. Sinon, la session passe par une adresse internet résidentielle dans ce pays, fournie par le réseau de proxy cité sur la même liste (affichée comme une connexion temporaire). Spun enregistre le pays confirmé, qui ne peut pas être modifié après la liaison. Pour les connexions temporaires, il vérifie régulièrement que la connexion sort réellement de ce pays, et suspend les nouvelles connexions si une vérification montre le contraire. Si aucun des deux itinéraires n'est disponible pour votre pays, aucun code QR n'est affiché et le « Proxy personnel » vous est proposé à la place.
Le « Proxy personnel » est l'alternative facultative : votre canal WhatsApp se connecte par une adresse IP que vous contrôlez. Vous faites tourner un petit programme de tunnel sur un ordinateur, ou sur une Spun Box (un petit routeur qui vous appartient, configuré avec le même programme), dans vos propres locaux, et la session WhatsApp de votre canal sort vers WhatsApp depuis cet endroit. Tout ce qui suit s'applique aussi à la Spun Box ; le mot de passe du routeur est envoyé uniquement au routeur, sur votre réseau local pendant la configuration, et jamais à Spun.
Quel que soit l'itinéraire utilisé, seule la session WhatsApp elle-même y transite. Les médias (photos, vidéos, notes vocales et documents) sont téléchargés et envoyés directement entre la passerelle WhatsApp et WhatsApp, jamais par votre ordinateur, une connexion Spun ou une connexion temporaire.
Le chemin est le suivant : la passerelle WhatsApp se connecte à un port d'un serveur relais de Spun, le relais transmet cette connexion dans un tunnel TLS que votre ordinateur a ouvert vers l'extérieur, et votre ordinateur établit la connexion finale avec WhatsApp. Comme le tunnel est ouvert vers l'extérieur, rien n'a besoin d'être exposé sur votre réseau : ni redirection de port, ni règle de pare-feu entrante.
Ce que transporte le relais
Du trafic de la passerelle WhatsApp chiffré par TLS, relayé en temps réel. Le relais est un simple transmetteur : il ne stocke pas le trafic qui le traverse.
Comment il est sécurisé
Trois identifiants distincts par configuration (les identifiants de proxy utilisés par la passerelle, les identifiants de tunnel utilisés par votre ordinateur et un jeton de pulsation), si bien qu'une fuite d'un côté ne compromet pas les autres. Les relais s'authentifient auprès de la plateforme avec leurs propres jetons bearer hachés, comparés en temps constant.
Pour que les responsables puissent voir pourquoi un canal s'est interrompu, le programme du « Proxy personnel » indique aussi sur quel réseau se trouve son ordinateur : le type de connexion, le nom du réseau Wi-Fi lorsque le système d'exploitation permet de le lire, une empreinte à sens unique de l'adresse matérielle du routeur (l'adresse elle-même n'est pas stockée) et l'adresse internet publique. Spun n'enregistre un événement que lorsque le réseau change, et le montre aux responsables de l'organisation dans « Historique des proxy » dans les paramètres. Lorsqu'un responsable lance une vérification de connexion, ou que la liaison échoue, Spun ouvre aussi une connexion de test depuis cet ordinateur vers son propre site et vers WhatsApp Web, et n'enregistre que le résultat et le nom de tout produit de filtrage qui a répondu à la place du site. Lorsqu'un filtre répond à la place de WhatsApp Web, Spun conserve aussi la chaîne de certificats publics du filtre (des certificats uniquement, jamais une clé) afin de pouvoir demander à son fournisseur WhatsApp de faire confiance à ce filtre, et prévient une fois sa propre équipe ; le responsable voit à l'écran que l'équipe a été prévenue. Lorsque le produit de filtrage est l'un de ceux que Spun reconnaît, Spun peut autoriser automatiquement cette inspection pour l'ordinateur afin que la vérification du pays puisse aboutir ; un responsable peut la désactiver à tout moment dans la « Vérification de la connexion sécurisée » de l'ordinateur, dans les paramètres. Il ne collecte ni les réseaux enregistrés, ni les listes de réseaux à proximité, ni les adresses propres de l'ordinateur, et les téléphones ne transmettent aucun nom de réseau. Lorsque le « Proxy personnel » tombe en panne, Spun collecte aussi des diagnostics de panne pour le support : les données de connexion de l'ordinateur (état, adresse de sortie et résultats des tests) et le journal du programme agent lui-même, conservés 30 jours et consultés uniquement par le personnel de support de Spun.
Les relais fonctionnent à Nuremberg et Manassas, et le plus proche de votre ordinateur ou routeur est utilisé. Des contrôles de santé interrogent chaque configuration en continu et la marquent comme dégradée, puis hors ligne, lorsqu'elle cesse de répondre ; lorsque c'est le relais lui-même qui est en panne, la situation est distinguée d'une panne de votre ordinateur, pour vous éviter une fausse alerte. Spun ne fait jamais passer de lui-même une ligne entre le « Proxy personnel » et la connexion gérée : une organisation sur le « Proxy personnel » y reste, sa ligne attend au lieu de basculer ailleurs lorsque tous les ordinateurs sont hors ligne, et le dernier ordinateur portant une session liée ne peut pas être retiré tant qu'un autre ne prend pas le relais ou que WhatsApp n'est pas déconnecté.
Assistants IA
Ce à quoi un assistant IA connecté peut accéder
Un responsable d'organisation peut connecter un assistant IA externe (Claude, Cursor ou tout client compatible MCP) à l'espace de travail Spun par un point de terminaison MCP hébergé sur api.spun.com. L'accès est authentifié à chaque requête avec une clé API de l'organisation, stockée uniquement sous forme d'empreinte, et chaque appel d'outil s'exécute sous la même sécurité au niveau des lignes de la base de données que le reste du produit : une clé appartient à exactement une organisation et ne peut jamais lire les lignes d'une autre.
Les capacités sont déterminées par les portées de la clé : une clé ne voit que les outils que ses portées autorisent, et la lecture, l'écriture, le calcul et l'envoi sont des portées distinctes. L'envoi est régi par une posture au niveau de l'organisation : par défaut, un message proposé par l'IA attend dans une file d'approbation de la boîte de réception de l'équipe, où la carte d'approbation est générée par le serveur à partir du contenu réel, du canal d'envoi et du destinataire, jamais à partir de la description de l'IA elle-même, et seul un coéquipier qui pourrait envoyer ce message depuis la boîte de réception peut l'approuver. Il existe aussi un mode plus strict « brouillons uniquement » et un mode autonome à activer explicitement (qui exige à la fois un réglage à l'échelle de l'organisation et une autorisation distincte, volontairement contraignante, pour chaque clé).
Confinement
L'organisation peut cacher à l'IA des numéros WhatsApp entiers (liste de canaux autorisés), restreindre l'accès aux conversations par étiquette (y compris un mode « inclusion seule »), retirer les discussions de groupe d'un seul interrupteur et définir des heures calmes en dehors desquelles les envois sont retenus ou refusés. Des quotas stricts côté serveur s'appliquent à chaque clé ; des envois vers un nombre anormal de destinataires distincts en peu de temps désactivent automatiquement la clé. Deux coupe-circuits existent : l'interrupteur général propre à l'organisation et un interrupteur au niveau de la plateforme du côté de Spun.
Audit et télémétrie
Chaque requête MCP est enregistrée avec la clé utilisée, l'action, les métadonnées du logiciel client et l'adresse IP ; les décisions d'approbation enregistrent quelle personne a approuvé. Ces enregistrements sont conservés 180 jours, et les adresses IP sont traitées comme des données personnelles. Révoquer une clé met fin à l'accès immédiatement et invalide ses envois encore en attente d'approbation. MCP fonctionne sur l'infrastructure propre de Spun : il n'ajoute aucun nouveau sous-traitant ultérieur.
Une limite dite clairement : Spun bloque structurellement les envois non autorisés, et tout ce qu'un client a écrit est marqué comme contenu non fiable avant que le modèle ne le lise, mais aucun serveur MCP ne peut empêcher un modèle victime d'une injection de prompt de répéter des données qu'il a légitimement le droit de lire. C'est à cela que servent les portées, la liste de canaux autorisés et la restriction par étiquettes : donnez à chaque clé le minimum dont elle a besoin.
Fournisseurs
Qui d'autre traite vos données
34 sous-traitants ultérieurs, publiés dans une seule liste avec ce que fait chacun, ce qu'il peut voir et où il opère. Les catégories :
Infrastructure et hébergement
3 fournisseursHetzner Online GmbH, Cloudflare, Inc., netcup GmbH
Passerelle WhatsApp
1 fournisseurWhapi.cloud
Fournisseurs d'IA
12 fournisseursOpenAI, LLC, Anthropic, PBC, Sofer.ai, AssemblyAI, Deepgram, Groq, Inc., Speechmatics, Google Cloud (Speech-to-Text and Text-to-Speech), Microsoft Azure (Cognitive Services Speech), Sarvam AI, ElevenLabs, Speechify
Voix et vidéo
2 fournisseursLiveKit Cloud, Cloudflare TURN
Téléphone et SMS
4 fournisseursTextGrid, VitalPBX, BulkVS, Twilio (Programmable Voice)
Authentification et notifications push
3 fournisseursGoogle (Gmail send, your own account), Google (Sign-In with Google), Firebase Cloud Messaging (Google)
Paiements et facturation
1 fournisseurStripe, Inc.
E-mail et support
2 fournisseursSendGrid (Twilio), Chatwoot
Acheminement WhatsApp (proxy)
2 fournisseursSpun relay servers (Self Proxy), Infatica
Surveillance et fiabilité
1 fournisseurAxiom, Inc.
Mesure d'audience
2 fournisseursGoogle Analytics, PostHog
Enrichissement des contacts
1 fournisseurPeople Data Labs
L'une de ces catégories mérite d'être signalée, car elle envoie des coordonnées hors de Spun : Enrichissement des contacts. Lorsqu'une organisation l'active, un utilisateur peut demander un profil professionnel public pour un contact enregistré à la fois. Seuls le nom de ce contact, son numéro de téléphone et le pays du numéro quittent Spun, jamais le contenu des messages et jamais une liste de vos contacts. La réponse brute du fournisseur est supprimée dans un délai de sept jours, seuls les champs professionnels d'une liste autorisée sont conservés, et un responsable peut supprimer à tout moment tout ce que le fournisseur a renvoyé pour un contact. Un numéro attribué aux États-Unis est un critère d'éligibilité à la fonction, pas une preuve du lieu où vit quelqu'un.
Spun n'interroge jamais WhatsApp pour rechercher le numéro d'une personne. Il n'enregistre que les identifiants qui arrivent avec le trafic normal des messages, et une conversation sans numéro fonctionne comme n'importe quelle autre.
Voir la liste complète des sous-traitants ultérieursCertifications
Ce que nous ne revendiquons pas
Spun ne détient aucune attestation SOC 2, aucun certificat ISO 27001 et aucune certification HIPAA, et n'est pas un business associate au sens de la HIPAA. Vous ne trouverez pas ces badges sur ce site, parce que nous ne les avons pas. Quiconque vous en montre un devrait pouvoir vous montrer le rapport qui le justifie.
Ce qui existe à la place figure sur cette page : une isolation des clients imposée par la base de données, avec un garde-fou du dépôt de code qui échoue lorsqu'elle est contournée, des rôles déterminés à partir de la base de données plutôt qu'affirmés par un jeton, un contrôle par service de ce qui parvient à un fournisseur d'IA, un parcours d'export et de suppression vérifié par e-mail avec une piste d'audit, un chemin unique et audité pour chaque appel WhatsApp sortant, et une liste publiée de chaque fournisseur qui peut voir vos données.
Si vous avez un questionnaire de sécurité, envoyez-le à [email protected] et nous y répondrons au regard de ce qui est réellement construit.
Statut par référentiel
SOC 2
De quoi s'agit-il
Référentiel de l'AICPA couvrant les contrôles de sécurité, de disponibilité, de confidentialité, d'intégrité du traitement et de protection de la vie privée des organisations de services. Le Type I porte sur un instant donné ; le Type II porte sur une période de 6 à 12 mois.
Notre position
Nous ne détenons pas d'attestation SOC 2 et n'en revendiquons pas. Ce que nous exploitons réellement (isolation des clients imposée dans la base de données, accès audité à l'API de WhatsApp, export et suppression contrôlés par le client) est documenté concrètement sur cette page. Une attestation figure sur la feuille de route ; nous publierons un calendrier lorsqu'un audit sera programmé, pas avant.
RGPD (UE/EEE)
De quoi s'agit-il
Règlement de l'UE qui encadre les données personnelles des résidents de l'UE/EEE. Spun agit généralement en tant que sous-traitant ; le client est le responsable du traitement des données de ses utilisateurs finaux. Le RGPD est une obligation, pas une certification : aucune autorité de contrôle n'« approuve » une entreprise comme conforme au RGPD.
Notre position
Ce qui fonctionne aujourd'hui : un hébergement principal dans l'UE (Allemagne), une liste publiée des sous-traitants ultérieurs, un export et une suppression contrôlés par le client avec un parcours de demande vérifié, des contrôles de confidentialité de l'IA fonction par fonction, et une isolation des données au niveau de l'organisation imposée dans la base de données. Un DPA est disponible sur demande et fait actuellement l'objet d'une revue juridique, et les documents de transfert pour nos sous-traitants ultérieurs américains sont en cours de finalisation avec nos conseils juridiques : nous le disons plutôt que de prétendre que c'est fait.
ISO/IEC 27001
De quoi s'agit-il
Norme internationale pour les systèmes de management de la sécurité de l'information (SMSI). Largement reconnue dans les achats des grandes entreprises et à l'international.
Notre position
Sur la feuille de route après SOC 2 Type II. Une grande partie des contrôles sous-jacents recoupe nos travaux de préparation à SOC 2, si bien que l'effort supplémentaire est important mais ne part pas de zéro.
AI Act de l'UE
De quoi s'agit-il
Règlement de l'UE en vigueur depuis le 1er août 2024, dont la plupart des règles s'appliquent à partir du 2 août 2026. Des obligations graduées selon le risque : systèmes d'IA interdits / à haut risque / à risque limité / à risque minimal.
Notre position
Les fonctions d'IA de Spun (rédiger, résumer, transcrire, traduire, réponses intelligentes, classification) relèvent par défaut du risque limité : elles servent à la communication professionnelle courante, pas à des décisions lourdes de conséquences concernant des personnes. Nous fournissons une information sur l'usage de l'IA, des interrupteurs client par fonction, des modes d'approbation humaine, la liste des fournisseurs et un masquage des données personnelles configurable par fonction d'IA (vous choisissez le niveau ; voir les paramètres de sécurité). Nos sous-traitants ultérieurs d'IA indiquent dans les conditions de leur API que les contenus des clients ne servent pas à l'entraînement des modèles. Si vous utilisez Spun dans un cas d'usage qui devient à haut risque au sens du règlement (décisions de recrutement, crédit, santé, éducation, conseil juridique, identification biométrique), contactez-nous.
Contrats
Accord de traitement des données
Pour les données de vos clients, vous êtes le responsable du traitement et Spun est le sous-traitant. Un Accord de traitement des données (DPA) est disponible sur demande. Il couvre la liste des sous-traitants ultérieurs ci-dessus, les transferts internationaux et les deux limites indiquées sur cette page : l'engagement de localisation s'applique aux données stockées par Spun, et non aux copies propres de la passerelle WhatsApp ou de Meta, et les conversations entre deux organisations sont hébergées de manière centralisée en Allemagne.
Un point n'est pas assez détaillé ?
Les détails du chiffrement, les règles de la plateforme WhatsApp et la liste complète des contrôles de confidentialité ont chacun leur propre page. Pour tout le reste, écrivez à [email protected].