Ce que Noa lit, où vont les données, qui l’autorise.
Les faits tels qu’ils sont en production, pour la DSI, le RSSI ou le DPO. Le détail est dans le dossier sécurité IT : quatre PDF, à transmettre tels quels.
Archive ZIP, 238 ko, version 1.0, 7 septembre 2026.
- Aucun appel Microsoft Graph
- Hébergé en Union européenne
- Tableau de bord agrégé, jamais nominatif
- Sans IA ni LLM
Le dossier sécurité IT
Noa est une application Microsoft Teams uniquement : un bot en conversation 1:1 et deux onglets, Config et Bibliothèque.
-
Fiche sécurité et protection des données
Le service, l’hébergement, les permissions Teams, les données, les droits et ce qui n’existe pas encore.
-
Modèle de DPA, article 28 RGPD
L’accord de sous-traitance et ses trois annexes, à faire relire par votre conseil avant signature.
-
Note DORA, premier échange
Ce que nous pouvons contractualiser aujourd’hui, et ce que nous ne pouvons pas tenir.
-
Annexe technique
Composants, identifiants de production, authentification, surfaces HTTP et flux de données.
Ce que Noa peut, et ne peut pas
Noa ne voit que ce que l’utilisateur échange avec Noa, et le profil Teams nécessaire au bot : nom, e-mail, identifiants techniques.
| Point | Situation |
|---|---|
| Microsoft Graph | Aucun appel. Pas de lecture d’annuaire, mail, fichiers, calendrier ni chat d’équipe. |
| Consentement spécifique (RSC) | Liste vide dans le manifeste. |
| SSO d’onglet | Non activé : la vérification éditeur Microsoft est en cours. |
| Authentification du bot | Jeton JWT émis par Azure Bot Service, validé à chaque message. |
| Onglets Config et Bibliothèque | Identification par le contexte Teams. Pas de mot de passe Noa. |
| Portée du bot | Conversation personnelle (1:1). Pas d’appels, pas de visio, pas de fichiers. |
| Publication | Listée sur le marketplace Microsoft (WA200008766). Ce n’est pas une certification Microsoft 365. |
| Attestation éditeur | Attestation éditeur Microsoft 365 (Publisher Attested) : les pratiques de sécurité, de conformité et de traitement des données de Noa sont déclarées et publiées sur Microsoft Learn. |
Un salarié peut installer Noa depuis le Microsoft Teams Store, sauf blocage des applications du Store : l’administrateur Microsoft 365 l’autorise alors ou le déploie. Accès complet le premier mois ; ensuite, pack de licences pris par l’entreprise, sinon version limitée.
Données
- Stockées. Identifiants Teams (userId, tenantId, nom, e-mail), préférences (horaires, fuseau, zones corporelles, matériel), historique d’usage, licences entreprise du tenant.
- Transitent. Jeton Bot Framework, adresse IP pour la limitation de débit, contenu des messages de la conversation avec Noa.
- Non collectées. E-mails, autres chats Teams, fichiers, calendrier et contacts, données de paiement, humeur.
Les zones corporelles sont des préférences fonctionnelles, pas une collecte de données de santé. L’employeur voit des indicateurs agrégés, jamais l’historique nominatif d’un salarié.
Hébergement et sous-traitants
TLS 1.2 et plus, HSTS 180 jours, CSP limitée aux origines Teams et Office.
| Prestataire | Rôle | Quand |
|---|---|---|
| Heroku (Salesforce) | PaaS et PostgreSQL managé, Union européenne, Irlande (eu-west-1) | Hébergement par défaut |
| Microsoft | Teams, Bot Service, Entra | Transport des messages, identité Teams |
| Brevo | E-mail transactionnel | Seulement si l’invitation calendrier est utilisée |
| YouTube, Vimeo | Lecteur vidéo | Seulement si l’utilisateur lance une vidéo |
Droits des personnes et conservation
Équipe de trois personnes. Référent données et sécurité : fabrice@movelytics.fr.
| Mécanisme | Règle |
|---|---|
| Accès et portabilité | Export JSON depuis l’onglet Config (« Mes données »), ou par e-mail sous 30 jours. |
| Effacement | Depuis le même écran, même si l’entreprise est encore cliente. |
| Arrêt des rappels | Arrête les notifications, n’efface pas les données. |
| Inactivité d’un salarié | Pas de purge tant que l’organisation a une licence active ou en essai. |
| Fin de contrat | 90 jours de grâce, puis suppression des comptes du tenant. |
Ce qui n’existe pas encore
Nous préférons le dire ici que le découvrir en fin de processus.
- Certification. Aucune certification de sécurité, ni certification Microsoft 365, à ce jour.
- Test d’intrusion. Aucun passé à ce jour.
- PRA autonome. Sauvegardes et continuité sont celles de PostgreSQL chez Heroku.
- SSO Entra sur les onglets. Prévu après la vérification éditeur Microsoft, en cours.
Un autre PaaS, une instance dédiée sur votre infrastructure, un test d’intrusion : nous sommes ouverts à discuter dans un cadre écrit. Transmettez vos exigences dès le premier échange.
Démo
Une question que le dossier ne couvre pas ?
Envoyez-nous votre référentiel ou votre questionnaire. Nous répondons par écrit : tenable, tenable sous conditions, ou non tenable.
- 30 minutes
- En visio
Ou par e-mail : fabrice@movelytics.fr.
Les questions des DSI, RSSI et DPO
Noa utilise-t-il Microsoft Graph ?
Non. Aucun appel Microsoft Graph, et la liste des consentements spécifiques aux ressources (RSC) est vide : pas de lecture d’annuaire, de mails, de fichiers, de calendrier ni de chats d’équipe.
Les zones corporelles sont-elles des données de santé (article 9) ?
Noa n’est pas un dispositif médical. Les zones corporelles sont des préférences fonctionnelles pour adapter les exercices, pas une collecte intentionnelle de données de santé. Si votre DSI les classe en article 9, un cadre supplémentaire est nécessaire : à discuter avant tout déploiement.
Des données peuvent-elles sortir de l’Union européenne ?
Les données applicatives sont hébergées en Irlande. Certains prestataires (Microsoft, support de l’hébergeur, lecteurs vidéo) peuvent impliquer un accès hors EEE, encadré par leurs DPA et des clauses contractuelles types.
Comment supprimer les données ?
Chaque collaborateur efface son compte depuis l’onglet Config, même si l’entreprise est encore cliente. À la fin du contrat, après 90 jours de grâce, les comptes du tenant sont supprimés ; vous pouvez demander avant une restitution ou une suppression anticipée.
Pouvez-vous déployer une instance dédiée ?
Ce n’est pas l’offre par défaut. Un autre PaaS accepté par vous, ou une instance sur vos serveurs et votre base, se discute dans un cadre écrit (avenant d’hébergement). Le canal Microsoft Teams reste nécessaire.
Avez-vous un DPA ?
Oui. Un modèle de DPA article 28 RGPD est dans le dossier, avec ses annexes. Il est à faire relire par votre conseil avant signature. Ouvrir le modèle de DPA