Un CRM français, hébergé en France, qui vous rend vos données à la demande

Où sont physiquement vos données (Strasbourg, Gravelines)

L'application et la base de données PostgreSQL de Cercla sont exploitées par nous sur des serveurs situés à Strasbourg, chez un hébergeur français. Les fichiers que vous téléversez (plaquettes, PDF figés, pièces jointes) sont au même endroit.

Chaque nuit, un jeu complet (base, fichiers, volume de données) est archivé, puis copié chiffré vers un stockage objet à Gravelines, chez un second fournisseur. Deux sites, deux fournisseurs, une rotation de quatorze jours par défaut, extensible en option.

Aucun service externe n'est requis pour faire tourner le CRM. Les intégrations (boîte mail, agenda, signature, fournisseur d'IA) sont des adaptateurs optionnels que vous activez, et chacun figure dans votre registre des traitements avec sa zone d'hébergement.

Hébergé en France ou « conforme RGPD » : la différence

« Conforme RGPD » est une phrase que tout éditeur peut écrire : le règlement s'applique à tous. Elle ne dit pas où sont les serveurs, ni quel droit s'y applique, ni qui peut y accéder.

« Hébergé en France » est vérifiable : une adresse, un hébergeur, un contrat. Chez Cercla, le RGPD est en plus outillé dans le produit : export complet d'une personne, anonymisation irréversible tracée, drapeau « ne pas contacter » partout où l'email s'affiche, suivi des demandes avec échéance d'un mois et preuve de réponse.

Les durées de conservation suivent le référentiel de la CNIL pour la gestion commerciale et se règlent par organisation. Un contact arrivé à échéance n'est jamais purgé automatiquement : il entre dans une file de revue où une personne décide.

Isolation par organisation, prouvée par des tests

Cercla est multi-organisations : plusieurs entreprises partagent la même version du logiciel, jamais les mêmes données. L'isolation est appliquée au niveau de la base de données (sécurité par ligne forcée sur le rôle applicatif) : une requête sans contexte d'organisation est refusée, et un jeton de l'organisation A ne peut structurellement pas lire une ressource de l'organisation B.

Cette isolation n'est pas déclarée, elle est rejouée : une suite de tests adversariale tente les accès croisés à chaque version, en mode strict, sur le chemin de production. Les identifiants humains (numéros de devis, de factures, séquences comptables) sont uniques par organisation.

Pour les clients qui l'exigent, une instance dédiée est disponible en option : le même logiciel, sur une base et un serveur qui n'appartiennent qu'à vous.

Sauvegardes qui servent : restauration rejouée

Une sauvegarde qu'on n'a jamais restaurée n'existe pas. Une restauration complète est déroulée au moins une fois par déploiement, et un script vérifie chaque archive. Après une restauration, les anonymisations RGPD sont rejouées : une donnée effacée ne revient pas par la porte de derrière.

La sauvegarde est quotidienne, chiffrée, hors site. Nous ne parlons pas de « sauvegarde continue » : la reprise à la minute existe sur un palier d'hébergement supérieur, activable à la souscription, et nous l'écrivons quand elle est effectivement en place chez vous.

Réversibilité : vous exportez toute votre organisation (données, fichiers, manifeste) quand vous le voulez, sans nous demander. Un export récurrent déposé chez vous est disponible en option.

Passkeys, rôles, journal des accès

Connexion par passkey (Touch ID, Face ID, gestionnaire de mots de passe) proposée directement dans le champ email, ou par mot de passe avec second facteur TOTP et codes de secours. Connexion Google ou Microsoft activable, sans jamais créer un compte inconnu : le CRM est fermé.

Cinq rôles (administrateur, manager, commercial, finance, intégration), une matrice de zones testée exhaustivement, des permissions par objet et un partage des enregistrements réglables dans les paramètres. Le rôle d'intégration ne peut jamais ouvrir de session interactive.

Un journal d'audit en lecture seule trace les modifications de champs, les exports, les impersonations et les gestes sur les applications connectées, avec une rétention de douze mois par défaut (de six à trente-six). Chaque fiche garde l'historique de ses champs, avec l'auteur et l'origine.

Aucun traceur, aucune mesure d'audience embarquée : seuls des cookies fonctionnels de session, donc pas de bannière de consentement.

Ce que nous ne certifions pas

Nous ne détenons aucune certification de sécurité (ni ISO 27001, ni qualification délivrée par l'État). Nous décrivons ce qui est en place et ce qui est testé ; nous ne revendiquons pas de label.

Le chiffrement des disques relève de l'hébergeur ; il n'y a pas de chiffrement applicatif champ par champ, ni de trace des simples consultations de fiche. L'authentification forte est proposée à chaque utilisateur, pas imposée à toute une organisation : ce réglage n'est pas livré.

La limitation du traitement (article 18) et la notification aux destinataires (article 19) suivent une procédure manuelle documentée, pas un bouton.