Sécurité de l’information
Dernière mise à jour : 15 août 2026.
Cette page s’adresse à qui doit approuver l’usage de Walkstamp dans une entreprise : comment il fonctionne,
ce qui sort de votre machine, et ce que nous n’avons pas.
En une ligne : l’outil n’a pas de serveur de traitement et ne reçoit ni votre vidéo, ni votre audio, ni vos captures. Cela vaut dans toutes les offres, et vous n’avez pas à nous croire — cela se vérifie en trente secondes, avec le navigateur que vous avez déjà ouvert. Qui souscrit une offre payante obtient un compte, et il y a une seule chose qu’il peut conserver, par votre choix ; elle est décrite ci-dessous, en toutes lettres.
Pourquoi la question change de forme ici
L’évaluation d’un fournisseur de logiciel suit d’ordinaire une liste : où sont les données, qui y a accès, quelle certification, quel contrat de sous-traitance. Cette liste présuppose que le fournisseur reçoit quelque chose.
Dans Walkstamp, tout le traitement a lieu dans l’onglet de votre navigateur. La vidéo est lue depuis votre disque par le navigateur lui-même, les images sont extraites là, l’audio est transcrit là, et le PDF, le Word, le ZIP et le JSON sont montés dans la mémoire de l’onglet et enregistrés par le navigateur. Il n’y a d’upload à aucune étape. Il n’y a pas de copie temporaire de notre côté, parce qu’il n’y a pas de côté à nous impliqué dans le traitement.
Cela ne rend pas Walkstamp automatiquement approuvable — cela rend la conversation différente. Au lieu de « faites confiance à leur contrôle d’accès », la question devient « est-ce que cela n’envoie vraiment rien ? », et c’est une question à laquelle vous pouvez répondre seul.
Comment vérifier, sans avoir à nous faire confiance
C’est la partie la plus importante de cette page. Cela prend moins de temps que de la lire :
- Ouvrez l’outil et appuyez sur
F12pour ouvrir les outils de développement. - Allez dans l’onglet Réseau (Network) et laissez-le enregistrer.
- Chargez une grosse vidéo — exprès, une de plusieurs gigaoctets — et générez le PDF.
- Regardez la colonne de ce qui a été envoyé. Elle reste à zéro. Aucune requête ne transporte la vidéo, les images ou le texte.
Un test que l’équipe de sécurité exécute elle-même vaut plus que n’importe quelle déclaration de notre part, et c’est pour cela qu’il est ici à la place d’un label.
La version hors ligne, pour quand même cela ne suffit pas
Il existe un fichier HTML unique avec l’outil entier dedans. Vous le téléchargez, vous coupez le réseau, vous ouvrez le fichier et il fonctionne. Rien dedans ne parle à un serveur.
Et ce n’est pas une promesse de texte : le processus qui produit ce fichier échoue s’il reste la moindre adresse de mesure à l’intérieur. C’est un verrou dans le build, pas une intention. Cela se vérifie en cherchant « supabase » ou « insights » dans le fichier téléchargé — il n’y a aucune occurrence.
Dans la version hors ligne, vous perdez la transcription automatique (le modèle de reconnaissance vocale est téléchargé à la demande), la lecture du texte dans l’image et le bouton Google Drive. Le reste fonctionne pareil. Elle peut aussi être rangée dans un dépôt interne, analysée par votre équipe et distribuée sans dépendre de nous.
Ce qui sort de votre machine, et quand
Rien de votre contenu ne sort sans un geste de votre part.
La vidéo, l’audio et la transcription ne sortent jamais — aucun geste ne les envoie ailleurs, parce qu’il n’existe aucun serveur pour les recevoir. Tout le reste ne sort que lorsque vous l’envoyez, et voici la liste complète de ce qui sort, quand, et de ce qui part avec.
| Vers où | Quand cela sort | Ce qui part avec | Ce qui ne part jamais |
|---|---|---|---|
| Vercel (hébergement) | Toujours, à l’ouverture de la page | La requête du fichier de la page, avec IP et navigateur — comme sur tout site. | Votre contenu |
| Mesure d’usage | Ouvrir la page | À quinze jalons — onze dans l’outil et quatre dans le compte —, le nom du jalon, la langue de la page, l’origine de la vidéo, le format téléchargé, une tranche (« 4-10 », jamais le nombre exact) et l’offre. Sans cookie et sans identifiant persistant. Respecte Do Not Track et Global Privacy Control. | Identifiant de personne ou de session ; nom de fichier, taille, durée, contenu |
| Le menu du compte | Ouvrir la page | La langue de la page, pour dessiner la barre du compte. Rien d’autre. | Quoi que ce soit à vous |
| La bibliothèque qui produit le PDF | Cliquer sur « Générer le PDF » | Rien. Elle est servie par la MÊME adresse que cette page, et seulement quand vous demandez le PDF — ouvrir l’outil ne va rien chercher. jsdelivr n’intervient que si notre fichier manque, et même alors c’est un téléchargement : il apprend que quelqu’un a demandé un PDF, et rien de plus. Dans le paquet hors ligne, elle est intégrée. | Votre audio, votre image, votre texte |
| Le modèle vocal | Choisir « transcrire pendant l’enregistrement » | Rien ne sort. Le modèle est TÉLÉCHARGÉ et tourne sur votre ordinateur ; l’audio n’est envoyé nulle part. | Votre audio |
| La lecture du texte de l’image | Cliquer sur « lire le texte de l’image » | Rien ne sort. Le lecteur est TÉLÉCHARGÉ et tourne sur votre ordinateur ; l’image n’est pas envoyée. | Votre image |
| Votre compte · emporte du contenu à vous | Se connecter et enregistrer une liste de cas | Du contenu à vous : l’e-mail du compte et la liste de cas que vous enregistrez — noms de cas, système, ticket, remarques et les fichiers que vous joignez. Jamais de vidéo, d’audio ni de transcription. | Vidéo, audio et transcription |
| Google Drive · emporte du contenu à vous | Cliquer sur « envoyer vers Google Docs » | Du contenu à vous : le document assemblé dans votre navigateur — texte et images —, pour que Google en fasse un document Drive. L’authentification utilise la portée la plus restreinte qui existe (drive.file). Seulement après que vous ayez confirmé l’avis. | Le reste de votre Drive ; et le fichier va de votre navigateur directement à Google, sans passer par nous |
| Partager un lien | Cliquer sur partager | L’adresse du site, et rien d’autre. Aucune partie de votre document ne part avec. Dans le paquet hors ligne, ce bouton devient un e-mail. | Toute partie de votre document |
Aucune de ces connexions ne transporte de vidéo, d’audio, d’image ou de transcription. La bibliothèque PDF vient de jsDelivr avec la page ; c’est le paquet hors ligne qui l’intègre.
Il y a une exception, et elle est dans le tableau plutôt que cachée : le bouton Envoyer vers Google Docs est la seule fonction où le document généré sort de l’ordinateur. Il existe parce que beaucoup d’équipes relisent la preuve dans le Drive, et il demande une confirmation explicite avant d’envoyer — qui n’en veut pas ne clique pas, et rien ne change. Si votre politique interdit d’emmener le contenu chez Google, le bouton n’apparaît que lorsque les identifiants du Drive sont configurés, et la version hors ligne ne l’a pas.
Un cas mérite d’être signalé, parce qu’il surprend souvent : la traduction de la transcription ne sort pas d’ici non plus. Elle utilise le traducteur que le navigateur lui-même embarque et qui tourne sur votre appareil — pas l’API Google Cloud, qui exigerait une clé à nous dans le code et enverrait votre texte vers un serveur. Là où ce traducteur n’existe pas, ce que l’outil propose, c’est le modèle de reconnaissance vocale qui traduit pendant qu’il écoute, également sur votre ordinateur. Dans aucun des deux chemins le texte n’est transmis.
Le compte payant, et l’unique exception
Utiliser l’outil n’exige pas de compte, et cela n’a pas changé : sans identifiant, /app enregistre,
transcrit et génère le document exactement pareil. Qui souscrit une offre payante obtient un compte, et
il y reste l’e-mail d’accès, les factures, les tickets de support, les sièges de l’équipe et — si vous
utilisez l’écran de liste de cas de test — la liste des cas à exécuter.
Sur cet écran, marquer un cas comme terminé enregistre un reçu : le code du cas, le système, le ticket, la date, le nom du fichier généré et l’empreinte de chaque capture. Ce sont des nombres. Il n’y a pas d’image, pas de transcription, pas le texte des étapes. C’est ce qui permet de reprendre un PDF des mois plus tard et de vérifier que c’est bien le même — et c’est pour cela qu’il existe.
L’exception, et elle est à vous : au moment de confirmer le terminé, il existe un champ optionnel pour
joindre le .json complet de la session. Ce fichier contient les images des captures
à l’intérieur. Le joindre est la seule chose de ce produit qui place du contenu à vous sur un serveur à nous, il ne
part jamais tout seul, le champ arrive fermé, et l’avertissement de ce que cela signifie est à côté du champ — pas dans une
page de conditions. Chaque pièce jointe a un bouton de suppression, et supprimer supprime le fichier, pas seulement la ligne qui
pointe vers lui. La vidéo et l’audio continuent de ne jamais sortir de votre navigateur, avec pièce jointe ou sans.
Ce qui reste dans votre navigateur
Rien de votre contenu n’est conservé entre les visites. Parmi les données d’identification de la preuve, seuls
système et exécuté par restent dans le sessionStorage — que le navigateur efface à la
fermeture de l’onglet — pour ne pas les retaper à chaque cas ; il y a un bouton qui les efface sur-le-champ. Le cas de test, le ticket,
le résultat et les annotations ne sont pas conservés, même pas tant que l’onglet vit. Rien de tout cela n’est un cookie, rien de tout cela n’est
lu par nous, et rien de tout cela ne sort de votre appareil.
À côté du modèle reste une note de configuration : quelle combinaison de bibliothèque et de format de fichier arrive à ouvrir le modèle sur cette machine. Des noms de version, rien de contenu — et le bouton qui efface le modèle efface la note avec.
Les écrans d’un enregistrement en cours restent dans le stockage privé du navigateur (OPFS), sur votre ordinateur, pour qu’un plantage de l’onglet n’efface pas le travail — auparavant, un plantage à 110 minutes d’un enregistrement de deux heures effaçait les deux heures. Ils sont supprimés dès qu’un document est généré, et de toute façon au bout de sept jours ; et le bouton « jeter », que l’étape 1 propose dès qu’un enregistrement est stocké, efface sur-le-champ ce qui s’y trouve. Rien de tout cela n’est envoyé nulle part — le test du F12 affiche toujours zéro octet envoyé.
À part cela, ce qui persiste, c’est le modèle de transcription, gardé en cache par le navigateur lui-même pour ne pas être téléchargé à nouveau. Il reste sur votre appareil, sous votre contrôle, et disparaît en effaçant les données de navigation. Nous n’utilisons pas de cookies — ni les nôtres, ni ceux de tiers.
Ce que nous n’avons pas
C’est la partie que presque aucun fournisseur n’écrit, et c’est justement celle dont votre équipe a besoin. Nous ne possédons aucune certification de sécurité, et nous ne sommes en cours d’obtention d’aucune. Ci-dessous, ce que chacune signifie et pourquoi elle s’applique — ou non — à un outil qui ne reçoit pas de données.
| Norme ou certification | L’avons-nous ? | Ce que cela veut dire ici |
|---|---|---|
| ISO/IEC 27001 | Non | Certifie le système de management de la sécurité d’une organisation qui conserve des données. Nous ne conservons pas les vôtres. Si votre politique exige l’ISO 27001 de tout fournisseur qui reçoit des données, il vaut la peine de noter qu’ici il n’y a pas de réception — mais celui qui décide si l’exception tient, c’est votre équipe, pas nous. |
| SOC 2 (Type I ou II) | Non | Audite les contrôles d’un prestataire de service qui traite les données du client. Il n’y a pas de service qui traite quoi que ce soit : le traitement est sur votre ordinateur. |
| 21 CFR Part 11 (FDA) | Non | Exige un système fermé et validé, une piste d’audit et une signature électronique. Un générateur de document dans le navigateur n’y répond pas et ne peut pas y répondre seul. Dans un environnement régi par la Part 11, Walkstamp peut produire l’image, mais l’enregistrement contrôlé doit vivre dans votre système validé. |
| CSV / GAMP 5 | Non | La validation d’un système informatisé a lieu dans votre environnement, sur votre usage. Ce n’est pas quelque chose qu’un fournisseur livre tout fait. |
| SOX / ITGC | Ne s’applique pas comme certification | Walkstamp n’est pas un contrôle informatique. Il produit la preuve qui entre dans votre contrôle. Celui qui répond du contrôle, c’est toujours vous. |
| HIPAA — accord de business associate | Nous n’en signons pas | Nous ne recevons pas de données, donc la relation que l’accord formaliserait n’existe pas. Si votre politique exige un accord avec tout outil qui touche une donnée de santé, même localement, parlez-en à votre équipe conformité — nous n’allons pas dire que tout va bien dans une décision qui n’est pas la nôtre. |
| LGPD / RGPD | Ce n’est pas une certification | Il n’existe pas de « certificat LGPD ». Notre position, les bases légales et les durées sont décrites dans la Politique de confidentialité. |
| Rapport de test d’intrusion | Nous n’en avons pas | Il n’y a pas d’infrastructure à tester au-delà de l’hébergement de fichiers statiques. Ce qui existe, c’est le code qui tourne sur votre machine — et il est lisible. |
| Assurance de responsabilité cyber | Non | Nous sommes une petite entreprise et il ne serait pas honnête de laisser entendre une couverture qui n’existe pas. |
Ce qui existe à la place
- Le code qui tourne dans votre navigateur peut être lu : c’est une page, et
Ctrl+Umontre tout. Il n’y a pas de code côté serveur parce qu’il n’y a pas de serveur. - La version hors ligne peut être téléchargée, analysée, versionnée et distribuée par votre équipe.
- La vérification que rien ne sort prend trente secondes et ne dépend pas de la confiance que vous nous accordez.
Ce qui reste de votre responsabilité
- Le document généré contient ce qui était sur votre écran. Si vous avez enregistré de la donnée de production, le fichier qui en est sorti contient de la donnée de production — et où il va ensuite, c’est votre décision.
- Partager l’écran capture tout ce qui s’y trouve, y compris la fenêtre restée ouverte derrière. Préférez partager une fenêtre précise quand le contenu est sensible.
- La transcription automatique télécharge un modèle de reconnaissance vocale depuis un CDN public la première fois. Si votre politique interdit les CDN externes, utilisez la version hors ligne et écrivez les annotations à la main.
- Walkstamp produit la preuve visuelle. La piste d’approbation reste dans votre système de gestion des changements.
Qui répond
Walkstamp est proposé par Produtize Produtos e Serviços Inteligentes Ltda., CNPJ 48.417.292/0001-99.
Pour signaler un problème de sécurité, demander un éclaircissement dans le cadre d’une évaluation de fournisseur, ou demander la version hors ligne : privacidade@walkstamp.com. Il n’y a pas de programme de récompense pour vulnérabilité, mais nous répondons.
Cette page décrit le fonctionnement à la date ci-dessus. Si quelque chose change d’une façon qui affecte ce qui est écrit ici, cette page change avec — et la date en haut est votre moyen de le vérifier.
Comment cela fonctionne à l’intérieur
- Vous demandez. Vous écrivez l’e-mail ici. Rien n’est décidé à ce moment-là : il ne part qu’un message vers votre boîte.
- Vous cliquez sur ce qui est arrivé. C’est cela qui prouve que l’adresse est à vous — et c’est le seul moment où il existe quelque chose qui ressemble à une session.
- Vous revenez avec le lien prêt. La clé est signée sur le serveur, avec votre e-mail à l’intérieur, et livrée déjà à l’intérieur d’une adresse de Walkstamp.
- À partir de là, plus rien qui passe par le réseau. La clé est vérifiée à l’intérieur du navigateur, contre une clé publique qui se trouve dans le HTML même de l’outil. Elle fonctionne dans l’avion, sur la machine du client avec internet verrouillé, et sur l’ordinateur que la DSI ne laisse pas parler avec notre hébergement.
Pourquoi la validité est courte
Chaque clé émise vaut 21 jours dans une équipe et 45 sur l’offre individuelle (14 pour l’essai), et la suivante arrive par e-mail avant que la précédente n’expire. L’administrateur peut raccourcir ce délai, de 1 à 90 jours, dans le portail de l’équipe. Ce n’est pas de la bureaucratie : c’est ce qui fait qu’un lien fuité meurt tout seul. Comme aucun serveur ne vérifie quoi que ce soit pendant l’usage, il n’existe pas de bouton de révocation — la durée est la révocation. C’est l’arbitrage choisi exprès : nous préférons une fuite qui expire à un produit payant qui cesse de fonctionner quand internet tombe.
Avant de décider
D’ici, les deux chemins qui suivent d’ordinaire : vérifier un document produit par l’outil, ou voir les offres et ce qui change de l’une à l’autre.