By · Last updated 2026-03-18

Retour au blogTechnique

Répondre aux questions les plus difficiles des...

Les questionnaires de sécurité des fournisseurs d'entreprise comptent en moyenne plus de 100 questions.

March 18, 20267 min de lecture
vendor security questionnaireenterprise procurementzero-knowledge architecturesales cycle accelerationCISO approval

Mis à jour pour 2026

Les audits sécurité ralentissent les ventes enterprise

Les deals enterprise suivent un schéma clair. Un fournisseur avec de bonnes fonctions perd des mois — ou tout le contrat — face à un audit de sécurité. Le processus existe pour de bonnes raisons. Les équipes enterprise sont responsables de chaque outil qui touche leurs données. Les secteurs régulés ont des règles strictes sur les fournisseurs.

Les établissements de santé doivent suivre la gestion des PHI par les fournisseurs. Les entreprises financières doivent prouver leurs protections aux régulateurs. Les équipes juridiques doivent protéger les dossiers clients. L'audit est légitime. Mais pour les fournisseurs sans architecture zero-knowledge, il devient une longue barrière qui avance rarement vite.

Questions qui bloquent ou accélèrent les deals

Les questionnaires de sécurité enterprise couvrent 100 à plus de 200 questions. La plupart ont des réponses solides pour tout fournisseur compétent. Plans de correctifs, formation du personnel, gestion des incidents — ces points demandent juste une bonne documentation.

Un petit groupe de questions crée une vraie friction pour les fournisseurs cloud sans conception zero-knowledge. Ce sont ces questions qui décident des contrats.

« Votre personnel peut-il accéder aux données clients ? »

Pour les fournisseurs avec chiffrement côté serveur : oui, dans certains cas. Le support technique peut consulter les données pour résoudre des problèmes. Des ordres légaux peuvent forcer la divulgation. Cette réponse déclenche plus d'examen. Elle nécessite souvent une escalade vers l'équipe des risques.

Pour les fournisseurs zero-knowledge : non. Le personnel ne peut jamais lire les données en clair. La conception rend le déchiffrement impossible sans la clé du client. Cette réponse clôt la question. Elle fait avancer l'audit.

« Qu'expose une violation totale de vos serveurs ? »

Pour les fournisseurs côté serveur : des données chiffrées, peut-être avec du matériel de clé. Les auditeurs posent des questions complémentaires. La réponse n'est pas nette.

Pour les fournisseurs zero-knowledge : du texte chiffré AES-256-GCM, sans clés. Une violation totale du serveur n'expose rien d'exploitable.

« Pouvez-vous remettre des données en clair sous assignation ? »

Pour les fournisseurs côté serveur : oui, sous procédure légale. C'est une préoccupation directe pour les entreprises avec des données sensibles.

Pour les fournisseurs zero-knowledge : nous ne pouvons produire que du texte chiffré. Nous ne détenons pas les clés. Aucune ordonnance légale ne peut nous contraindre à remettre ce que nous ne possédons pas.

Consultez les documents de conformité et la page de protection pour tous les détails.

Le détail du paramètre Argon2id

Les audits des secteurs régulés demandent des paramètres cryptographiques précis. Méthode de dérivation de clé, nombre d'itérations et coût mémoire sont des questions fréquentes dans les deals santé, finance et gouvernement. Chaque détail manquant ralentit le processus.

Argon2id avec 200 000 itérations est 4 fois le minimum OWASP pour la dérivation de clé par mot de passe. Des réponses précises font avancer les audits. Les réponses vagues — « nous utilisons un chiffrement standard » — déclenchent des demandes de documents supplémentaires et ralentissent le deal.

ISO 27001 et le bonus de certification

La conformité ISO 27001 traite une autre catégorie de friction. Les plus de 100 contrôles de l'Annexe A d'ISO 27001:2022 couvrent les questions organisationnelles dans la plupart des audits. Contrôle d'accès, gestion des clés, protections physiques, gestion des incidents.

Les entreprises qui exigent ISO 27001 peuvent éviter de tester chaque contrôle individuellement. La certification est une preuve. Elle montre que les contrôles existent et ont été audités par un tiers. Dans les achats enterprise, cela transforme un examen de six mois en un contrôle de trois à six semaines.

La conception zero-knowledge plus la conformité ISO 27001 forme un ensemble d'achat solide. Les questions de protection les plus difficiles obtiennent des réponses claires. Les contrôles organisationnels sont documentés. Pour les deals d'outils de protection des données dans les marchés régulés, ce duo produit des approbations plus rapides. Les fournisseurs qui doivent construire leur dossier depuis zéro dans chaque audit attendent plus longtemps et perdent plus de contrats.

Le calcul d'achat

Pour les acheteurs enterprise, l'audit fournisseur n'est pas de la bureaucratie. C'est une vraie gestion des risques.

Les questions ciblent les fournisseurs dont la posture de protection expose l'acheteur à un risque légal.

Pour les fournisseurs dans les marchés régulés, l'audit est à la fois un centre de coûts et un signal de qualité.

Les fournisseurs qui répondent clairement aux questions les plus difficiles ont moins de longs cycles de vente.

Ceux qui peinent avec la gestion des clés font face à des audits plus longs et des taux de perte de deals plus élevés.

L'avantage de la conception zero-knowledge est mesurable.

Les questions qui éliminent les fournisseurs avec gestion de clés côté serveur sont les mêmes que les fournisseurs zero-knowledge répondent clairement dès la première soumission.

Ce n'est pas un argument marketing. C'est un résultat d'achat réel et mesurable, avec une piste documentaire.

Apprenez-en plus dans le hub FAQ et découvrez comment la dé-identification d'entités fonctionne de bout en bout.

Sources

Prêt à protéger vos données ?

Commencez à anonymiser les PII avec plus de 285 types d'entités dans 48 langues.

About this page

We update this page when our platform or the law changes.

Read our founder note for how we work.

Each change shows up in the timestamp at the top.

Related reading

We follow these rules

  • GDPR (EU 2016/679).
  • ISO/IEC 27001:2022.
  • NIS2 (EU 2022/2555).
  • HIPAA safe harbor under 45 CFR § 164.514(b)(2).

Our promise

We do not sell your data.

We do not train models on your text.

We store your files in Germany.

You can delete your account at any time.

You own your work.

Where we run

Our servers live in Falkenstein, Germany.

We use Hetzner. They hold ISO 27001 certification.

All data stays in the EU.

Backups run every day.

Need help?

Email support@anonym.legal.

We reply within one business day.

How we test

We run a full check suite on every release.

Each surface gets its own sweep script and report.

Human reviewers spot-check the output each week.

We track recall and precision on a labelled set.

Bad runs block the deploy.

What we never do

  • We never sell your information to third parties.
  • We never train models on what you upload.
  • We never keep your work after you delete it.
  • We never share keys with any outside firm.
  • We never run ads inside the product.

Plans in plain words

We sell credits, not seats.

One credit covers one short job.

Long jobs use a few credits each.

You can top up at any time.

Unused credits roll over each month.

Read the plans page for current rates.

Who built this

A small team of engineers and lawyers built this.

We ship from Europe and work in the open.

Our founder note spells out why we started.

Where to start

How the parts fit

A browser add-on cleans text inside Chrome.

A Word plug-in handles drafts in Office.

A small desktop tool works on whole folders.

An agent protocol link feeds large models safely.

All four share one core engine and one rule set.

Words from our team

We started this work after a lunch about cookies.

One friend kept getting odd ads on her phone.

We asked why a court file leaked through a draft.

We sketched the first build on a napkin that week.

By month three we had a tiny demo for a friend.

She used it on her first case the next day.

Common questions we hear

Can the tool read scanned PDFs? Yes, with OCR.

Does it work on long files? Yes, in small chunks.

Can I roll my own rule set? Yes, save it as a preset.

Does it run offline? The desktop build runs offline.

Do you keep my files? No, the cloud build wipes after each run.

Will it learn from my work? No, we never train on inputs.

A short tour of the workflow

Upload a file or paste a snippet of prose.

Pick the entities you want gone from the draft.

Choose a method: replace, mask, hash, encrypt, or redact.

Press run and watch the side panel show each hit.

Skim the result and tweak any rule that misfired.

Save the cleaned file or send it to a teammate.