Politique de sécurité

Dernière mise à jour : 4 novembre 2026

Comment nos applis sont construites

Chaque appli Clearlane est construite sur Atlassian Forge et fonctionne sur l’infrastructure d’Atlassian (Runs on Atlassian). Nous n’exploitons aucun serveur.
Les enregistrements d’une appli sont gardés dans le stockage Forge d’Atlassian pour votre site, chiffrés au repos et en transit par Atlassian. La disponibilité suit celle de la plateforme d’Atlassian : voir notre page état des applis.
L’authentification et les autorisations sont gérées par Atlassian. Nos applis agissent avec les droits de la personne qui les utilise et ne voient rien qu’elle ne puisse voir. Une exception : Clearlane Budget lit les saisies de temps avec l’accès propre de l’appli, pour qu’un budget montre les mêmes chiffres à toutes les personnes autorisées ; seuls les administrateurs Jira et les gestionnaires qu’ils désignent créent des budgets, et seulement pour des projets qu’ils peuvent parcourir. Le passage quotidien de Clearlane CAPA lit le statut des tickets d’action et envoie au plus un e-mail de rappel par jour à chaque responsable, par Jira, avec l’accès propre de l’appli. Le passage horaire de Clearlane CRA vérifie une fois par jour que les tickets des dossiers existent toujours, fait envoyer par Jira un seul e-mail de rappel par jour à chaque responsable et met à jour les champs CRA cherchables, avec l’accès propre de l’appli. Le passage horaire de Clearlane Tests met à jour les champs de couverture cherchables des exigences et fait envoyer par Jira au plus un e-mail de rappel par jour à chaque testeur, avec l’accès propre de l’appli, après avoir vérifié que la personne peut parcourir le projet. Le passage horaire de Clearlane Breach & Incident Reporting met à jour les champs d’incident cherchables, vérifie une fois par jour que les tickets des incidents existent toujours et fait envoyer par Jira au plus un e-mail de rappel par jour à chaque responsable, avec l’accès propre de l’appli. La tâche quotidienne de Clearlane Read & Understood publie au plus un commentaire de rappel par jour et par lecteur, uniquement sur une page que ce lecteur peut ouvrir. Clearlane Risk Register ne lit avec l’accès propre de l’appli que les groupes de la personne, pour vérifier si elle gère les risques ; son passage horaire met à jour les champs de risque cherchables, vérifie que les tickets des risques existent toujours et fait envoyer par Jira au plus un e-mail de rappel par jour à chaque responsable, avec l’accès propre de l’appli. La partie Budget de Clearlane Delivery lit les saisies de temps avec l’accès propre de l’appli, exactement comme Clearlane Budget, et son passage horaire déclare à Atlassian les identifiants de compte qu’elle garde.
Les applis demandent le minimum d’autorisations. Clearlane Forecast ne fait que lire les tickets Jira ; Clearlane Pulse ne fait que lire Jira (tickets, changements de statut, statuts et projets) et garde des caches de courte durée dans le stockage d’Atlassian de votre site ; Clearlane Fresh lit les pages Confluence et leurs dates de modification ; Clearlane Controlled Documents ajoute seulement des restrictions de page, sans jamais retirer celles qui existent ; Clearlane Answers ne crée des pages et des commentaires que lorsqu’une personne pose une question ou répond, avec les droits de cette personne ; Clearlane Budget lit seulement les éléments Jira, les saisies de temps, les personnes et les groupes ; Clearlane CAPA ne crée des tickets, des liens et une propriété de ticket que pour les CAPA et leurs actions, avec les droits de la personne qui le demande, et ne montre une CAPA qu’aux personnes qui voient son ticket ; Clearlane CRA ne crée des tickets et des pièces jointes que pour ses dossiers, avec les droits de la personne qui le demande, n’ajoute une propriété de ticket qu’aux tickets de ses dossiers, n’envoie d’e-mails de rappel qu’aux responsables des dossiers, et ne montre un dossier qu’aux personnes qui voient son ticket ; Clearlane Tests ne crée des anomalies et des pièces jointes de preuve que lorsqu’une personne le demande, avec ses droits, n’ajoute une propriété de ticket qu’aux exigences couvertes par ses cas de test, et ne montre les tests d’un projet qu’aux personnes qui peuvent le parcourir ; Clearlane Breach & Incident Reporting ne crée des tickets et des pièces jointes que pour ses incidents, avec les droits de la personne qui le demande, n’ajoute une propriété de ticket qu’aux tickets de ses incidents, n’envoie d’e-mails de rappel qu’aux responsables des incidents, et ne montre un incident qu’aux personnes qui voient son ticket ; Clearlane Created vs Resolved, Clearlane Throughput, Cumulative Flow – Clearlane, Sprint Burndown – Clearlane et Velocity – Clearlane ne font que lire Jira, en tant que la personne qui consulte le tableau de bord ; Clearlane Read & Understood n’ajoute des commentaires que pour rappeler les lecteurs et une propriété de page que pour son bandeau, et ne montre qui a lu une page qu’au responsable de la demande, au demandeur et aux administrateurs de l’espace ; Clearlane Risk Register ne crée et ne relie des tickets que quand une personne le demande, avec ses droits, n’ajoute une propriété de ticket qu’aux tickets de ses risques et n’envoie d’e-mails de rappel qu’aux responsables des risques ; Clearlane Delivery utilise, partie par partie, les permissions des applis seules correspondantes, et une partie désactivée par un administrateur Jira refuse tout appel ; Clearlane Automation Steps & Cost ne lit que des nombres de résultats de recherche, la liste des projets et leurs autorisations, avec les droits de la personne qui l’utilise, et ne modifie rien ; Clearlane Planning Poker lit les tickets et écrit l’estimation retenue (Story Points, Story point estimate ou estimation initiale) seulement avec les droits de la personne qui l’utilise.
Aucun contenu client n’est copié, envoyé ou stocké hors d’Atlassian. Les données conservées par nos applis (confirmations de Clearlane Fresh, fiches documentaires et piste d’audit de Clearlane Controlled Documents, sujets et fiches de questions de Clearlane Answers, budgets, taux et chiffres de Clearlane Budget, fiches CAPA et piste d’audit de Clearlane CAPA, dossiers, produits, listes de composants des SBOM et piste d’audit de Clearlane CRA, cas de test, campagnes, résultats et historique de Clearlane Tests, incidents, registre des violations et piste d’audit de Clearlane Breach & Incident Reporting, les caches de 10 minutes de Clearlane Created vs Resolved et de Clearlane Throughput et les caches d’une heure de Cumulative Flow – Clearlane, Sprint Burndown – Clearlane et Velocity – Clearlane (ce qu’ils viennent d’afficher ou de lire), les demandes de lecture, confirmations, réponses aux questions et la piste d’audit de Clearlane Read & Understood, les caches gardés au plus 24 heures par Clearlane Pulse, WIP Aging – Clearlane et Cycle Time – Clearlane, sans identifiant de compte, et les risques, revues et historiques de Clearlane Risk Register, les données de Clearlane Delivery (chaque partie comme son appli seule, plus les parties activées et des compteurs d’usage sans identifiant de compte), l’offre et les totaux des 12 dernières analyses de Clearlane Automation Steps & Cost, les sessions, votes anonymes et tours de Clearlane Planning Poker (supprimés 45 jours après la dernière modification d’une session), et les compteurs d’usage et caches de courte durée avec lesquels Clearlane Fresh, Clearlane Created vs Resolved, Clearlane Throughput, Cumulative Flow – Clearlane, Sprint Burndown – Clearlane et Velocity – Clearlane partagent équitablement les limites de requêtes de Jira et de Confluence) restent dans le stockage d’Atlassian de votre site.
Résidence des données : les données que gardent nos applis sont dans le stockage Forge d’Atlassian de votre site. Si votre Jira ou votre Confluence est rattaché à une région, ces données stockées sont rattachées à la même région et suivent votre site (documentation d’Atlassian). Atlassian peut ponctuellement effectuer des traitements hors de votre région.
Clearlane CRA, CAPA, Tests, Budget, Forecast, Controlled Documents et Read & Understood ajoutent un agent Rovo dont les actions ne font que lire et ne renvoient que ce que la personne qui pose la question peut voir dans l’appli. Les réponses sont rédigées par Rovo, l’IA d’Atlassian, selon les conditions d’Atlassian ; nos applis n’appellent aucun modèle d’IA qui leur soit propre.
Les mots de passe de signature de Clearlane Controlled Documents, de Clearlane CAPA, de Clearlane CRA, de Clearlane Tests, de Clearlane Breach & Incident Reporting, de Clearlane Read & Understood et de Clearlane Risk Register ne sont conservés que sous forme de hachage scrypt salé, dans le stockage secret d’Atlassian, et la signature se bloque après des échecs répétés.
Les journaux ne contiennent que des compteurs techniques (par exemple le nombre de tickets traités), jamais de contenu client.
Nous ne demandons jamais de mot de passe, de jeton d’API ni d’autre secret.

Questionnaires de sécurité

Nos réponses complètes au CAIQ v4.1 sont inscrites au registre CSA STAR (niveau 1, auto-évaluation, pas un audit). Les réponses au CAIQ-Lite, notre évaluation fournisseur et notre avenant fournisseur DORA et NIS2 sont dans notre centre de confiance.

Signaler une vulnérabilité

Utilisez « Signaler un problème de sécurité » dans notre centre d’aide (ou écrivez à hello@clearlaneapps.com) en indiquant l’appli, les étapes pour reproduire et l’impact constaté. Nous vous tenons informé pendant l’analyse et corrigeons en priorité les problèmes confirmés. Merci de nous laisser un délai raisonnable avant toute divulgation publique et de ne pas accéder à des données qui ne sont pas les vôtres.

Nos engagements

Information en cas d’incident : Si nous prenons connaissance d’un incident de sécurité touchant des données traitées par nos applications, nous prévenons les clients concernés sans retard injustifié et au plus tard 72 heures après en avoir pris connaissance, en leur indiquant ce que nous savons, ce que nous faisons et les mesures que nous leur recommandons. Les précisions suivent dès qu’elles sont disponibles. Cet engagement complète notre DPA, qui prévaut.

Signalement de vulnérabilités : Nous accusons réception de chaque signalement envoyé via le contact indiqué sur cette page sous 2 jours ouvrés (du lundi au vendredi, hors jours fériés en France).

Pour une synthèse à reprendre dans une évaluation fournisseur, voir notre centre de confiance.