Sécurité
Vos données restent les vôtres.
Echo lit les réponses de l'IA sur votre marque, pas les données privées de vos clients. Les données que vous fournissez sont stockées en Europe occidentale, séparées de chaque autre espace de travail, et transmises uniquement aux services nécessaires. Voici précisément comment.
- Stored in Western EuropeDatabase and files in Cloudflare's Western Europe region.
- No passwordsSign in with Google or a one-time email link.
- GDPR compliantRun from Berlin, with a public data processing agreement.
- EU AI Act compliantAI writes drafts; a person approves before anything goes live.
Hébergement et données.
Echo fonctionne entièrement sur Cloudflare, et vos données sont stockées en Europe occidentale.
- Cloudflare, de bout en boutL’application fonctionne sur Cloudflare Workers, la base de données sur Cloudflare D1 et les fichiers sur Cloudflare R2. Aucun autre hébergement.
- Stocké en Europe occidentaleLa base de données et les fichiers sont hébergés dans la région Europe de l’Ouest de Cloudflare. Les requêtes sont traitées par le centre de données le plus proche, conformément à l’accord de traitement des données de Cloudflare.
- Chiffré en transit et au reposToutes les connexions utilisent exclusivement HTTPS. Cloudflare chiffre la base de données et les fichiers au repos.
- Clés chiffrées deux foisLes clés et jetons que vous connectez sont chiffrés une nouvelle fois par Echo avec AES-256-GCM et ne sont plus jamais affichés. Les clés API de l'API d'Echo ne sont conservées que sous forme d'empreinte.
- Sauvegardes conservées 30 joursLa base de données conserve des sauvegardes automatiques permettant une restauration à un instant précis pendant 30 jours, en cas d’erreur ou de panne.
Accès.
Seules les bonnes personnes accèdent à un espace de travail, sans avoir besoin de mot de passe.
- Aucun mot de passeConnectez-vous avec Google ou avec un lien à usage unique envoyé par e-mail. Aucun mot de passe à divulguer ou à réutiliser.
- Sessions qui se terminentLes sessions expirent après 7 jours d'inactivité. Les liens de connexion et les invitations expirent, et les e-mails de connexion sont soumis à une limite de fréquence.
- Propriétaires et membresSeuls les propriétaires gèrent la facturation, les clés API, les webhooks et la suppression de l’espace de travail. Les invités dans les ressources de marque ne voient que ce qui est partagé avec eux.
- Espaces de travail séparésChaque requête vérifie que les données demandées appartiennent à l'espace de travail de la personne connectée. Des tests automatisés le vérifient à chaque modification.
- Votre propre clé OpenAIUn espace de travail peut exécuter les brouillons et l'agent avec son propre compte OpenAI. La clé est chiffrée ; la retirer la supprime immédiatement.
- Aucune recherche dansPersonne chez Echo n'ouvre votre espace de travail, sauf si vous demandez de l'aide, si la sécurité l'exige ou si la loi l'impose.
L'IA et le règlement européen sur l'IA.
Echo est conforme à l'AI Act de l'UE : l'IA rédige des brouillons, une personne décide.
- API d'IA professionnelles uniquementEcho utilise les modèles d'OpenAI, Anthropic, Google, Perplexity et xAI via leurs API professionnelles. Aucun ne peut s'entraîner sur les données envoyées par Echo.
- Pas un système à haut risqueEcho lit des réponses publiques de l'IA et rédige des brouillons marketing. Il ne prend aucune décision concernant des personnes.
- Brouillons, clairement identifiésTout contenu rédigé par Echo passe d'abord en révision et indique ses sources. Les chiffres qu'il ne peut pas relier à vos données portent la mention « À vérifier ».
- Une personne valideLes pages arrivent dans votre outil de création de site web sous forme de brouillons, et vous envoyez vous-même les messages de prospection. Echo ne publie, ne poste et n’envoie jamais d’e-mails hors de votre espace de travail de sa propre initiative.
- Chaque appel à l'IA est enregistréLes fonctionnalités des agents et de l’IA indiquent qu’elles utilisent l’IA. Chaque appel à l’IA est enregistré avec son coût, pour que vous sachiez ce qui a été exécuté.
RGPD.
Echo est conforme au RGPD et opère depuis Berlin, sous le droit européen de la protection des données.
- Des rôles clairsPour votre compte, Echo est responsable du traitement. Pour les données que votre espace de travail ajoute sur d'autres personnes (prospects, contacts, visiteurs), votre entreprise est responsable du traitement et Echo est son sous-traitant.
- Un accord de traitement des données publicL’accord de traitement des données (art. 28 du RGPD) s’applique à chaque espace de travail, sans signature nécessaire.
- Exporter et supprimerExportez la plupart des tableaux en CSV. Supprimez votre compte dans Paramètres → Compte. Les espaces de travail dont vous êtes le seul utilisateur sont supprimés immédiatement avec lui.
- Le moins possibleAucune adresse IP collectée par le tag Echo, aucun cookie sur les appareils de vos visiteurs et aucune donnée personnelle pour les visites des robots d'exploration IA.
- Vos droits, par e-mailDemandez à tout moment l'accès à vos données, leur rectification ou leur suppression. Vous pouvez aussi déposer une plainte auprès d'une autorité de protection des données.
Services utilisés par Echo.
Ces prestataires traitent des données pour Echo dans le cadre d’accords de traitement des données. Les outils que vous connectez vous-même (Google Analytics, HubSpot, Attio, Framer, Webflow, WordPress, Slack, Claude ou ChatGPT) ne reçoivent des données qu’une fois connectés, selon les conditions que vous avez acceptées avec eux.
| Provider | What for | What it receives | Where |
|---|---|---|---|
| CloudflareCloudflare, Inc., USA | Hosting, database, file storage, email forwarding, protection against attacks | Everything stored in Echo: accounts, workspaces and their data, files | Worldwide network; EU-US Data Privacy Framework and Standard Contractual Clauses |
| ResendResend, Inc., USA | Sending Echo's emails (sign-in links, reports, alerts, invites) | Recipient's email address and the email's content | USA; Standard Contractual Clauses |
| OpenAIOpenAI, L.L.C., USA | ChatGPT's answers, analysis of answers and websites, drafts, the Echo agent | Brand details, prompts, website text; for the agent, the chat and members' names (never email addresses). Not used for training | USA; Standard Contractual Clauses |
| AnthropicAnthropic PBC, USA | Claude's answers to the prompts | The prompts and the country they're asked from, nothing about people | USA; Standard Contractual Clauses |
| PerplexityPerplexity AI, Inc., USA | Perplexity's answers to the prompts | The prompts and the country they're asked from, nothing about people | USA; Standard Contractual Clauses |
| GoogleGoogle Ireland Ltd., Ireland | Gemini's answers (paid Gemini API); Sign in with Google | The prompts and their country; for sign-in, name, email address and profile picture | EU and USA; EU-US Data Privacy Framework |
| xAIX.AI LLC, USA | Grok's answers to the prompts | The prompts, nothing about people | USA; Standard Contractual Clauses |
| DataForSEODataForSEO (dataforseo.com) | Google's AI Overviews and AI Mode, SEO data, competitors' Google ads, Google searches for Mentions, Google listings and reviews | Prompts, keywords, website addresses and their country and language, nothing about people | Standard Contractual Clauses where data leaves the EU |
| Brave SearchBrave Software, Inc., USA | Whether Brave's search has the brand's pages, and where the brand ranks there for its tracked keywords | Website addresses, page titles and tracked keywords; nothing about people | USA; Standard Contractual Clauses |
| StripeStripe Payments Europe, Ltd., Ireland | Payments, invoices and VAT | Billing name, email and address, VAT ID; card details go straight to Stripe | EU and USA; EU-US Data Privacy Framework and Standard Contractual Clauses |
- CloudflareCloudflare, Inc., USA
- What for
- Hosting, database, file storage, email forwarding, protection against attacks
- What it receives
- Everything stored in Echo: accounts, workspaces and their data, files
- Where
- Worldwide network; EU-US Data Privacy Framework and Standard Contractual Clauses
- ResendResend, Inc., USA
- What for
- Sending Echo's emails (sign-in links, reports, alerts, invites)
- What it receives
- Recipient's email address and the email's content
- Where
- USA; Standard Contractual Clauses
- OpenAIOpenAI, L.L.C., USA
- What for
- ChatGPT's answers, analysis of answers and websites, drafts, the Echo agent
- What it receives
- Brand details, prompts, website text; for the agent, the chat and members' names (never email addresses). Not used for training
- Where
- USA; Standard Contractual Clauses
- AnthropicAnthropic PBC, USA
- What for
- Claude's answers to the prompts
- What it receives
- The prompts and the country they're asked from, nothing about people
- Where
- USA; Standard Contractual Clauses
- PerplexityPerplexity AI, Inc., USA
- What for
- Perplexity's answers to the prompts
- What it receives
- The prompts and the country they're asked from, nothing about people
- Where
- USA; Standard Contractual Clauses
- GoogleGoogle Ireland Ltd., Ireland
- What for
- Gemini's answers (paid Gemini API); Sign in with Google
- What it receives
- The prompts and their country; for sign-in, name, email address and profile picture
- Where
- EU and USA; EU-US Data Privacy Framework
- xAIX.AI LLC, USA
- What for
- Grok's answers to the prompts
- What it receives
- The prompts, nothing about people
- Where
- USA; Standard Contractual Clauses
- DataForSEODataForSEO (dataforseo.com)
- What for
- Google's AI Overviews and AI Mode, SEO data, competitors' Google ads, Google searches for Mentions, Google listings and reviews
- What it receives
- Prompts, keywords, website addresses and their country and language, nothing about people
- Where
- Standard Contractual Clauses where data leaves the EU
- Brave SearchBrave Software, Inc., USA
- What for
- Whether Brave's search has the brand's pages, and where the brand ranks there for its tracked keywords
- What it receives
- Website addresses, page titles and tracked keywords; nothing about people
- Where
- USA; Standard Contractual Clauses
- StripeStripe Payments Europe, Ltd., Ireland
- What for
- Payments, invoices and VAT
- What it receives
- Billing name, email and address, VAT ID; card details go straight to Stripe
- Where
- EU and USA; EU-US Data Privacy Framework and Standard Contractual Clauses
Tous les détails, y compris la durée de conservation de chaque élément, figurent dans politique de confidentialité.
Signaler un problème.
Found a security problem? Write to security@echo-aeo.com with what you found and how to see it. We answer within two working days, fix what's real and credit you if you like. Please give us time to fix it before telling others, and don't access other people's data or disrupt the service while testing.
FAQ
Questions.
Echo est-il certifié SOC 2 ou ISO 27001 ?
Pas encore. Echo est une jeune entreprise et ne prétend pas détenir des certifications qu'elle n'a pas. Cette page décrit ce que fait réellement Echo. Écrivez-nous pour obtenir un questionnaire de sécurité ou organiser un appel.
Où mes données sont-elles stockées ?
Dans la région Europe de l'Ouest de Cloudflare (base de données et fichiers). Cloudflare traite les requêtes depuis son centre de données le plus proche. Les fournisseurs d'IA qui répondent aux prompts se trouvent aux États-Unis, dans le cadre des clauses contractuelles types de l'UE et, lorsqu'ils sont certifiés, du cadre UE-États-Unis de protection des données.
Les fournisseurs d'IA entraînent-ils leurs modèles avec nos données ?
Non. Echo utilise des API professionnelles dont les conditions excluent les données de l'API de l'entraînement. Les prompts qu'Echo pose ne contiennent aucune donnée personnelle, et l'agent n'envoie jamais d'adresses e-mail.
Pouvons-nous signer un accord de traitement des données ?
Oui. L’accord de traitement des données d’Echo est public sur /dpa et s’applique à chaque espace de travail sans signature. Écrivez-nous si vous avez besoin d’un exemplaire signé.
Echo peut-il publier sur notre site web ?
Uniquement lorsqu’un membre de votre espace de travail clique sur Publier et confirme. Tout le reste arrive dans votre outil de création de site web sous forme de brouillon.