Sécurité et confiance
Comment nous protégeons votre voix, vos contenus et votre compte
Une description claire de ce que Vocla fait aujourd'hui, de ce qui est disponible sur demande et de ce que nous n'avons pas encore fait. Aucun badge que nous n'avons pas mérité.
- En place
Chiffrement en transit
Les connexions à voclalabs.com, à l'application Vocla et à l'API passent par HTTPS (TLS). Les cookies de session sont HTTP-only et marqués Secure en HTTPS, et les requêtes du navigateur qui modifient des données sont protégées contre la falsification de requêtes intersites (CSRF).
- HTTPS pour le site, l'application et l'API
- Cookies de session HTTP-only et sécurisés
- Protection CSRF sur les actions du compte
- En place
Stockage des fichiers
Les fichiers importés et l'audio généré sont stockés sur Cloudflare R2, qui chiffre tous les objets au repos. Les fichiers privés ne sont jamais publics : l'application fournit des liens signés qui expirent, par défaut au bout de 15 minutes.
- Stockage sur Cloudflare R2
- Chiffrement au repos par le fournisseur de stockage
- Liens de téléchargement signés à courte durée de vie
- En place
Sécurité des comptes
Les mots de passe ne sont stockés que sous forme de hachages Argon2. Vous pouvez activer l'authentification à deux facteurs avec une application d'authentification, consulter et déconnecter les sessions actives, et recevoir une alerte par e-mail à chaque nouvelle connexion. Changer de mot de passe déconnecte vos autres sessions.
- Hachage des mots de passe avec Argon2
- Authentification à deux facteurs facultative (TOTP)
- Liste des sessions, déconnexion à distance et alertes de connexion
- En place
Contrôle d'accès et journaux d'audit
Chaque requête est vérifiée par rapport à l'espace de travail auquel elle appartient : un client ne peut jamais lire les fichiers d'un autre. Chez Vocla, l'accès du personnel repose sur des rôles (support, finance, contenu, opérations) avec le minimum d'accès nécessaire à chacun, et chaque modification administrative est inscrite dans un journal d'audit non modifiable.
- Isolation des espaces de travail à chaque requête
- Permissions du personnel par rôle
- Journal d'audit immuable des actions d'administration
- Accès du support limité dans le temps, en lecture seule et notifié
- En place
Clés API
Les espaces de travail Business et Entreprise peuvent créer des clés API à portée définie (par exemple, uniquement les générations ou les voix). La clé complète n'est affichée qu'une fois, à sa création ; Vocla n'en conserve qu'un hachage. Les clés peuvent être révoquées à tout moment.
- Clés à portée limitée
- Affichées une seule fois, stockées sous forme de hachage
- Révocables par les administrateurs de l'espace
- En place
Traitement par les fournisseurs d'IA
Pour générer de la voix, de la musique ou des transcriptions, le texte et l'audio que vous soumettez sont traités par des fournisseurs d'IA tiers, comme Google Cloud, via le moteur de Vocla. Les identifiants des fournisseurs restent sur nos serveurs et n'atteignent jamais votre navigateur. Les clients Entreprise peuvent demander la liste des fournisseurs concernés.
- Traitement limité à la production de ce que vous avez demandé
- Clés des fournisseurs conservées côté serveur
- Liste des fournisseurs disponible sur demande
- En place
Paiements
Les paiements sont gérés par Dodo Payments, qui agit en tant que marchand officiel (merchant of record) et traite vos informations de carte ou de portefeuille sur sa propre page de paiement. Vocla ne reçoit ni ne stocke jamais votre numéro de carte complet. Les événements de paiement nous parviennent via des webhooks signés.
- Page de paiement hébergée par Dodo Payments
- Aucun numéro de carte stocké par Vocla
- Webhooks de paiement signés
- En place
Prévention des abus et traçabilité
Le texte est vérifié par rapport à des motifs bloqués avant la génération, et l'API applique des limites de débit. Nous tenons un registre d'empreintes de l'audio généré sur Vocla, qui nous aide à déterminer si un extrait a été créé chez nous. Le clonage de voix repose sur le consentement : vous ne pouvez cloner que votre propre voix ou celle d'une personne qui vous a donné son autorisation explicite ; les voix clonées restent privées à votre espace, et nous supprimons les voix et suspendons les comptes qui enfreignent les règles. Le design vocal crée de nouvelles voix à partir d'une description, et ses références de style ne copient jamais l'identité d'une personne réelle.
- Modération avant génération
- Limites de débit
- Registre d'empreintes de l'audio généré
- Clonage de voix fondé sur le consentement
- En place
Vos données et vos droits
Vous pouvez télécharger ou supprimer vos générations à tout moment, exporter les données de votre compte depuis les paramètres et supprimer votre compte. La durée de conservation de l'historique dépend de votre offre ; avec l'offre Free, l'historique des générations est conservé 30 jours.
- Export des données en libre-service
- Suppression du compte
- Conservation selon l'offre
Certifications et conformité
Vocla ne détient actuellement aucune certification de sécurité tierce comme SOC 2 ou ISO 27001, et nous n'en afficherons aucune avant la fin d'un audit. Nous travaillons à notre alignement avec les lois saoudienne et émirienne sur la protection des données personnelles ; la revue formelle est en cours. Notre Politique de confidentialité explique comment les données personnelles sont utilisées aujourd'hui.
- SOC 2Pas encore
- ISO 27001Pas encore
- Revue PDPL Arabie saoudite et EAUPas encore
Pour les équipes sécurité et achats
Les clients Entreprise peuvent demander les éléments suivants. Certains sont préparés au cas par cas : prévoyez ce délai dans votre calendrier d'achat.
- Sur demande
Questionnaire de sécurité
Nous répondons honnêtement à votre questionnaire standard, y compris sur les points que nous ne remplissons pas encore.
- Sur demande
Accord de traitement des données
Un DPA qui encadre la façon dont nous traitons les données personnelles pour votre compte.
- Sur demande
Liste des sous-traitants
Les fournisseurs d'infrastructure et d'IA qui interviennent dans le service de votre espace de travail.
- Sur demande
Échange sur la localisation des données
Où sont stockés vos fichiers et vos données, et quelles options existent pour vos exigences.
Divulgation responsable
Si vous pensez avoir découvert une vulnérabilité dans Vocla, signalez-la-nous en privé afin que nous puissions la corriger avant qu'elle ne soit exploitée.
- 1
Envoyez par e-mail une description, les étapes pour reproduire le problème et l'impact constaté.
- 2
Ne testez qu'avec votre propre compte et vos propres données. N'accédez pas aux données d'autrui, ne les modifiez pas et ne les supprimez pas.
- 3
N'effectuez pas de tests de déni de service, de spam ou d'ingénierie sociale.
- 4
Laissez-nous un délai raisonnable pour corriger le problème avant de le rendre public.
Nous visons un accusé de réception sous trois jours ouvrés et vous tiendrons informé pendant la correction. Nous ne proposons pas de programme de bug bounty rémunéré pour le moment.
Signaler une vulnérabilité par e-mail
legal@voclalabs.comDes questions sur la sécurité ?
Parlez-nous avant d'acheter. Nous préférons vous dire ce que nous ne faisons pas encore plutôt que vous le laisser découvrir plus tard.