SÉCURITÉ · CONFORMITÉ
Tes accès Azure. Chiffrés, et expliqués ici.
Deux façons de te connecter : un Service Principal, qui ne reçoit avec nos commandes que des rôles Azure intégrés en lecture seule, ou ton compte Microsoft (OAuth). Le secret ou le jeton est conservé chiffré dans notre base jusqu'à ce que tu le supprimes. Le scan gratuit, lui, ne garde aucun secret, sauf si tu choisis le rapport mensuel : il est alors chiffré de la même façon, et supprimé à son arrêt.
- Aligné sur le RGPD
- Base et serveurs hébergés dans l'UE
- Accès chiffrés
CE QU'ON FAIT DE TES DONNÉES
Rien de caché. Voici ce qu'on stocke.
Avec un Service Principal, tu attribues deux rôles Azure intégrés en lecture seule : Reader et Cost Management Reader, plus un troisième, optionnel et lui aussi en lecture seule, pour suivre tes réservations : Reservations Reader. Avec ton compte Microsoft, Finozio agit avec tes propres droits. Dans les deux cas, il ne fait que lire, sauf sur l'offre Custom : les règles d'automatisation définies par ton admin peuvent alors arrêter, redimensionner ou supprimer des ressources, avec le compte connecté à la souscription — ton compte Microsoft, ou un Service Principal auquel tu as toi-même donné des droits d'écriture (celui de nos commandes n'en a aucun). Les coûts sont relevés chaque nuit (Pilot et au-delà). Les données sont stockées dans une base PostgreSQL commune, cloisonnée par tenant à chaque requête ; le secret du Service Principal et le jeton Microsoft y sont chiffrés.
Accès à ton Azure
Ce que Finozio peut, et ne peut pas faire.
Ce qu'il lit, ce qu'il ne fait jamais, et comment lui retirer l'accès en une commande. Les mêmes réponses que notre dossier sécurité.
Ce qu'il lit, en lecture seule
- Par souscription, deux rôles Azure intégrés en lecture seule : Reader et Cost Management Reader. Aucun rôle personnalisé.
- En option, pour tes réservations et tes Savings Plans : Reservations Reader (sur /providers/Microsoft.Capacity) et Savings plan reader (sur /providers/Microsoft.BillingBenefits), en lecture seule eux aussi.
- Pour Microsoft 365 : des permissions Microsoft Graph de type Application, en lecture seule — Organization.Read.All, Reports.Read.All et Directory.Read.All ; en option, AuditLog.Read.All, pour la date de dernière connexion.
- Rien n'est installé : Finozio lit les API d'Azure et de Microsoft Graph.
Ce qu'il ne fait jamais
- Aucune écriture dans Azure ni dans Microsoft 365 : aucune ressource créée, modifiée ou supprimée, aucune licence retirée.
- Seule exception, le module d'exécution de l'offre Custom : il applique les règles que ton administrateur active (désallouer ou redimensionner une machine virtuelle, supprimer un disque orphelin, libérer une adresse IP publique), avec le compte connecté à la souscription — ton compte Microsoft, ou un Service Principal auquel tu as toi-même donné des droits d'écriture.
- À la connexion rapide avec ton compte Microsoft, Finozio attribue à sa propre application, avec ton accord et sur les seules souscriptions que tu choisis, Reader et Cost Management Reader : jamais un rôle d'écriture.
- Les scripts de correction (Azure, retrait de licences Microsoft 365) sont relus et lancés par ton administrateur : Finozio ne les exécute jamais.
- Aucun contenu de boîte aux lettres, de fichier ni de conversation n'est lu.
Lui retirer l'accès, à tout moment
Dans Finozio, un clic dans ton espace client efface l'accès et son secret chiffré.
Chez Microsoft, sans passer par Finozio, avec Azure CLI :
Retirer ses rôles d'une souscription
az role assignment delete --assignee <APPLICATION_ID> --scope /subscriptions/<SUBSCRIPTION_ID>Supprimer le Service Principal que tu as créé, avec son application
az ad app delete --id <APPLICATION_ID>Retirer de ton tenant l'application Finozio de la connexion rapide
az ad sp delete --id <APPLICATION_ID>
OÙ VONT TES DONNÉES
Ce qui reste dans l'UE, et ce qui en sort.
Ta base de données et nos serveurs sont dans l'Union européenne. Mais plusieurs prestataires sont des sociétés américaines, et certains traitent des données hors de l'UE. Pour chacun : ce qu'il reçoit, pourquoi, et le cadre du transfert. C'est la liste de notre politique de confidentialité, sans rien en retirer.
Hébergé dans l'UE
Base de données et authentification · Supabase, Paris (France)
Toutes les données de la plateforme. Supabase Pte. Ltd. est une société singapourienne : tout accès depuis l'extérieur de l'UE est encadré par les clauses contractuelles types (CCT) de son accord de traitement des données.
Site et plateforme · Railway, Amsterdam (Pays-Bas)
L'interface, le serveur applicatif et son cache. Railway Corporation est une société américaine : base de transfert, Data Privacy Framework UE–États-Unis, CCT à défaut.
Traces d'erreurs · Sentry, Francfort (Allemagne)
Nettoyées avant envoi : ni corps des requêtes, ni secrets, ni adresses e-mail, ni cookies, ni adresses IP. Functional Software, Inc. (Sentry) est une société américaine : Data Privacy Framework UE–États-Unis, complété par des CCT.
Sauvegardes · Microsoft Azure, France Centre
La copie hors site de la sauvegarde de chaque nuit, chiffrée avant envoi : Microsoft n'en a pas la clé. Cadre : accord de traitement des données (DPA) de Microsoft.
Hors de l'UE, en tout ou en partie
Cloudflare (États-Unis) · relais et protection
Tout le trafic du site et de la plateforme passe par son réseau, qui le protège (pare-feu, déni de service) : il voit ton adresse IP, les en-têtes et le contenu des échanges, déchiffrés pour être relayés puis rechiffrés vers nos serveurs. Aussi : le CAPTCHA de l'inscription, de la connexion et du mot de passe oublié. Cadre : Data Privacy Framework UE–États-Unis, CCT à défaut.
Anthropic (Irlande, traitement aux États-Unis) · Aurora, l'assistant IA
À partir de l'offre Pilot seulement ; le détail est juste en dessous. Cadre : CCT (modules 2 et 3) de l'accord de traitement d'Anthropic Ireland.
Resend (États-Unis) · e-mails
L'adresse du destinataire et le contenu de chaque e-mail transactionnel : alertes de coûts, invitations, rappels, rapport PDF d'un scan gratuit, envoyés depuis l'Irlande (UE). Cadre : Data Privacy Framework UE–États-Unis, CCT à défaut.
Stripe (États-Unis) · paiement
Ton adresse e-mail, ton nom et ton adresse de facturation, ton numéro de TVA et l'offre achetée. Ta carte est saisie chez Stripe, certifié PCI DSS, et ne passe jamais par Finozio. Cadre : CCT.
Microsoft (UE et international) · source des données
Les API Azure et Microsoft Graph, lues chez Microsoft ; la messagerie contact@finozio.com ; le calendrier de prise de rendez-vous, seulement quand tu l'ouvres. Cadre : accord de traitement des données (DPA) de Microsoft.
Google, LinkedIn, Apollo · seulement avec ton accord
Sur les pages publiques du site uniquement (Google Analytics aussi sur l'inscription et le choix de l'offre), jamais dans ton espace client : mesure d'audience (Google), mesure des campagnes (LinkedIn), identification de l'entreprise qui visite le site (Apollo). Cadre : Data Privacy Framework UE–États-Unis complété par des CCT (Google, Apollo), CCT (LinkedIn).
Aurora et Anthropic : ce qui part, ce qui ne part jamais
- Ce qui part : tes questions et les réponses d'Aurora ; le nom et l'offre de ton organisation ; tes coûts Azure agrégés (total, par service, par groupe de ressources et par souscription, avec son nom ou, à défaut, son identifiant) et leur prévision ; tes recommandations ; le nom, le type, le groupe de ressources, la région, la référence (SKU) et l'état des ressources inutilisées ; le nom, la taille et les métriques d'usage de tes VM ; pour Microsoft 365, des nombres et des montants agrégés.
- Ce qui ne part jamais : tes secrets de connexion, les étiquettes (tags) de tes ressources, et aucune donnée nominative de tes utilisateurs Microsoft 365 (ni nom, ni e-mail, ni UPN).
- Free, scan gratuit et Audit Spring : rien n'est envoyé à Anthropic. Ces offres n'ont pas Aurora, et le serveur vérifie l'offre avant tout appel.
La liste complète, avec les durées de conservation, est dans notre politique de confidentialité.
CONTRÔLES
Les réglages par défaut qu'un RSSI n'aura pas à défendre.
Accès chiffrés, jamais en clair
Le secret du Service Principal ou le jeton Microsoft est chiffré avant d'entrer en base, avec une clé gardée hors de la base. Tu le supprimes quand tu veux ; le scan gratuit ne le conserve jamais, sauf si tu choisis le rapport mensuel : il est alors chiffré de la même façon, et supprimé à son arrêt.
Chiffrement au repos
Secrets et jetons chiffrés champ par champ (Fernet : AES-128 + HMAC-SHA256). La clé peut être changée sans interruption : l'ancienne reste acceptée pendant la bascule.
Chiffrement en transit
HTTPS partout, HSTS d'un an sur le site et l'application, Content-Security-Policy à nonce, cookies httpOnly et Secure.
Isolation des tenants
Base commune, cloisonnée par tenant : chaque requête est filtrée côté serveur, et toute demande sur un autre tenant est refusée.
Conservation du journal d'audit
Qui a fait quoi, quand et depuis quelle adresse IP : conservé 24 mois. Le journal est réservé à l'équipe Finozio, qui t'en fournit un extrait sur demande.
Réponse aux incidents
Disponibilité surveillée en continu, erreurs remontées automatiquement à l'équipe. En cas de violation de données personnelles : notification à la CNIL sous 72 h et information des clients concernés, comme l'exige le RGPD.
- RGPD
- Base et serveurs hébergés dans l'UE
- Accès chiffrés (AES-128)
- Double authentification
POUR TON RSSI
Le dossier sécurité, prêt à transmettre.
Les réponses aux questions des questionnaires de sécurité fournisseurs : hébergement, sous-traitants, chiffrement, accès Azure, authentification, journaux, sauvegardes, incidents, fin de contrat, RGPD. Chacune vérifiée dans notre code, y compris les « non » et les « pas encore ».
Version 1.1 du 27 octobre 2026 · contact : contact@finozio.com
SIGNALER UNE FAILLE
Signaler une vulnérabilité
Tu as trouvé une faille dans Finozio ? Écris-nous à contact@finozio.com. On te répond sous 5 jours ouvrés. Le même contact figure dans le fichier de signalement standard (RFC 9116) : /.well-known/security.txt.
LA SÉCURITÉ D'ABORD
Lance un scan gratuit. Rien ne quitte ton tenant non chiffré.
Scan gratuit : rôles en lecture seule · aucun agent installé · secret conservé seulement si tu choisis le rapport mensuel