Présentation de la sécurité

Cette page résume la posture de sécurité de Ferndesk en ce qui concerne l’accès à GitHub, le traitement du code source des clients, le traitement par l’IA, la conservation des données, le statut de conformité et les prestataires de services tiers.

Contrôles de sécurité

• Les données sont chiffrées en transit.

• Les identifiants d’intégration sont chiffrés avant leur stockage.

• Les charges utiles brutes des messages de tickets d’assistance sont stockées sous forme chiffrée.

• Les données personnelles identifiables contenues dans les tickets d’assistance sont masquées pendant le traitement

• Les signatures des webhooks GitHub sont validées avant l’acceptation des événements webhook.

• L’accès à Ferndesk est limité aux utilisateurs authentifiés et aux rôles d’espace de travail autorisés.

Traitement des données

• Ferndesk stocke les données de compte, de configuration, de centre d’aide, de facturation et de service nécessaires au fonctionnement du service.

• Si un client connecte des systèmes d’assistance, Ferndesk peut traiter les conversations d’assistance et les métadonnées associées afin d’identifier les lacunes de la documentation et de rédiger des mises à jour.

• Si un client connecte GitHub, les données des dépôts sont traitées uniquement pour les flux de travail liés à la documentation que le client active.

Accès au code source

Ferndesk prend en charge l’installation d’une application GitHub et l’accès à GitHub basé sur OAuth lorsqu’un client active cette intégration.

• L’accès à GitHub est en lecture seule.

• Ferndesk utilise un accès en lecture seule aux dépôts pour analyser leur contenu, l’historique des commits et le contexte des pull requests dans le cadre des flux de travail de documentation.

• Ferndesk n’a pas besoin d’autorisations d’écriture, d’administration, de gestion des dépôts ou d’administration de l’organisation.

• L’installation de l’application GitHub peut être limitée à certains dépôts uniquement.

• Ferndesk utilise des webhooks de pull request pour détecter les changements fusionnés et déclencher les flux de travail de révision de la documentation.

Ferndesk n’utilise pas l’accès à GitHub pour réécrire dans les dépôts, fusionner des pull requests, modifier les paramètres des dépôts ou effectuer des opérations d’administration des dépôts.

Traitement du code source

• Ferndesk ne stocke pas le code source des clients dans ses bases de données produit.

• Ferndesk ne crée ni ne maintient d’index persistant de recherche ou d’embeddings du code source des clients.

• Les systèmes de recherche persistants de Ferndesk sont utilisés pour le contenu de connaissances publié et les données de recherche associées, et non pour le code source des clients.

• Lorsqu’une analyse du code est nécessaire, Ferndesk utilise des espaces de travail de dépôt temporaires et limités dans le temps, qui sont automatiquement nettoyés.

• Ferndesk ne conserve que les métadonnées limitées des dépôts nécessaires à la gestion des flux de travail de documentation, telles que le nom du dépôt, la référence de la pull request, l’horodatage de la fusion et les résumés des changements générés.

En pratique, Ferndesk peut traiter temporairement le contenu des dépôts afin de rédiger ou d’évaluer des mises à jour de la documentation, mais Ferndesk ne transforme pas le code source des clients en enregistrement persistant dans une base de données produit ni en index de recherche de code conservé à long terme.

Traitement par l’IA

Ferndesk utilise des services d’IA tiers pour générer des brouillons, des résumés et des embeddings utilisés dans les flux de travail de documentation.

• OpenRouter est utilisé pour le routage des modèles, la génération, les embeddings et le reclassement des résultats de recherche.

• Ces services traitent les entrées nécessaires à l’exécution du flux de travail demandé.

• Ferndesk n’utilise pas le code source des clients pour entraîner ses modèles.

Les fonctionnalités d’IA de Ferndesk servent à faciliter la génération, la synthèse et la classification de la documentation, ainsi que la recherche. Elles ne servent pas à constituer un corpus d’entraînement réutilisable à partir du code source des clients.

Conservation et suppression des données

• Le contenu client est conservé pendant la durée de l’abonnement.

• Le contenu client est supprimé dans les 30 jours suivant la résiliation ou la demande de suppression, sauf si un délai de suppression plus court s’applique.

• Les copies de sauvegarde sont remplacées dans un délai de 60 jours.

• Les journaux de facturation, d’audit et de sécurité peuvent être conservés plus longtemps lorsque cela est nécessaire à des fins juridiques, comptables ou de sécurité.

• La suppression d’un espace de travail supprime les données de recherche gérées associées utilisées par Ferndesk.

Les charges utiles brutes des messages de tickets d’assistance sont traitées séparément des résultats de documentation conservés à long terme. Lorsque Ferndesk stocke des données brutes de messages d’assistance à des fins de traitement, ces charges utiles sont chiffrées.

Statut de conformité

• Ferndesk n’est actuellement pas certifié SOC 2.

• La certification SOC 2 Type I est prévue en octobre ou novembre 2026. La certification SOC 2 Type II est en cours et prévue au quatrième trimestre 2026 ou au premier trimestre 2027.

• Ferndesk ne publie actuellement pas de centre de confiance public.

• Ferndesk ne dispose actuellement d’aucun rapport SOC à partager dans le cadre d’un accord de confidentialité.

Sous-traitants et prestataires de services

Prestataires de services principaux

Ces prestataires prennent en charge le produit hébergé et peuvent traiter les données des clients ou du service dans le cadre du fonctionnement principal de Ferndesk.

Prestataires supplémentaires et à portée limitée

Ces prestataires sont utilisés pour des fonctions plus ciblées telles que les embeddings, les analyses produit, les contenus intégrés, les widgets de journal des modifications et l’attribution sur le site web.

Les intégrations activées par le client, telles que GitHub, Zendesk, Intercom, Help Scout, Slack et les systèmes similaires, sont distinctes des sous-traitants de Ferndesk et ne sont utilisées que lorsqu’elles sont activées par le client.

Demandes d’examen de sécurité

Pour les examens de sécurité, les vérifications préalables des fournisseurs ou les demandes de DPA, contactez [email protected].