Trusty Whistleblowing : fiche technique pour l'évaluation des fournisseurs
Cette page répond aux questions qu’une équipe achats, conformité, sécurité informatique ou juridique pose avant de choisir un dispositif d’alerte. Des faits, pas de marketing, tenus à jour par Trusty AG. Dernière révision : 15 octobre 2026.
Page produit : outil lanceur d’alerte Trusty. Tarifs : Tarifs. Contrats : Conditions générales d’utilisation, Conditions additionnelles Whistleblowing, Document tarifaire, Accord de traitement des données, Addendum DORA. Questions sans réponse ici : réservez une démonstration.
Le produit en bref
| Élément | Fait |
|---|---|
| Produit | Trusty Whistleblowing : un site public de signalement pour les lanceurs d’alerte, une messagerie pseudonyme pour le dialogue bidirectionnel et une suite de gestion de dossiers pour les référents |
| Fournisseur | Trusty AG, Hünenberg (canton de Zoug), Suisse, fondée en 2022 |
| Type | Logiciel en tant que service, utilisé dans le navigateur, rien à installer, ni application ni e-mail professionnel nécessaires pour signaler |
| Conçu pour | Les organisations de 50 salariés et plus qui doivent disposer d’un canal de signalement interne selon la directive (UE) 2019/1937 et ses lois nationales (en France la loi Waserman), et toute organisation qui en souhaite un |
| Normes | Développé selon les exigences de l’ISO 37002 (systèmes de management de l’alerte) et de la directive (UE) 2019/1937 |
| Clients | Plus de 1 000 entreprises, de la PME de 50 salariés aux groupes de plus de 13 500 salariés |
| Offres | LITE, Standard, Advanced (en libre-service, SaaS mutualisé, opérationnel en minutes) ; Premium (déployé individuellement, sur devis) |
| Délai de mise en place | Quelques minutes pour les offres en libre-service ; Premium est généralement opérationnel dans le mois suivant la signature |
| Essai | 7 jours, toutes les fonctionnalités débloquées (le sélecteur d’offre est préréglé sur Advanced), carte débitée seulement après l’essai, facture possible, résiliation pendant l’essai sans engagement |
| Modèle tarifaire | Un prix fixe par organisation, salariés illimités, signalements et stockage illimités, facturation annuelle d’avance, les langues ne sont jamais facturées en plus |
| Hébergement | Allemagne (UE) pour LITE, Standard et Advanced. Suisse, États-Unis ou votre propre infrastructure avec Premium |
Offres et fonctionnalités
| Fonctionnalité | LITE | Standard | Advanced |
|---|---|---|---|
| Prix (facturation annuelle) | 49 € par mois, 588 € par an | 69 € par mois, 828 € par an | 99 € par mois, 1 188 € par an |
| Administrateurs | 1 | 2 | Illimités, rôles Superuser, Admin, User, Limited User |
| Langues de signalement | 1 | 2 | Toutes les langues prises en charge |
| Site de signalement sécurisé, 24h/24, adapté au mobile, URL de signalement dédiée | Oui | Oui | Oui |
| Signalement anonyme ou nominatif, passage de l’anonyme au nominatif à tout moment | Oui | Oui | Oui |
| Paramètres d’anonymat configurables | Non | Non | Oui |
| Messagerie du lanceur d’alerte avec dialogue bidirectionnel sécurisé (identifiant et mot de passe aléatoires, aucune donnée personnelle requise) | Oui | Oui | Oui |
| Pièces jointes | Oui | Oui | Oui |
| Formulaire de signalement | Formulaire simple | Formulaire structuré et guidé | Formulaire structuré et guidé, textes personnalisés |
| « Poser une question » en plus des signalements | Non | Non | Oui |
| Message vocal dans le navigateur (signalement oral), transcription relue par l’auteur, enregistrement conservé ou supprimé à son choix | Non | Non | Oui |
| Signalements de la chaîne d’approvisionnement (p. ex. LkSG) | Non | Non | Oui |
| Canal NIS2 de signalement des vulnérabilités de cybersécurité | Non | Non | Oui |
| Charte graphique | Modèle prédéfini | Modèle prédéfini | Logo, couleurs, police et textes juridiques propres |
| Traitement des dossiers | Basique : statut, note, dialogue | Standard : statut, traitement, suivi | Standard plus workflows et rappels automatiques |
| Accusé de réception automatique dans la messagerie (et par e-mail si une adresse est fournie) | Oui | Oui | Oui |
| Compte à rebours de 90 jours pour le retour, par dossier | Oui | Oui | Oui |
| Notifications par e-mail des nouveaux signalements | Non | Oui | Oui |
| Gestion des durées de conservation avec rappel de suppression | Non (suppression définitive du dossier possible) | Non | Oui |
| Accès granulaire : visibilité par catégorie ou dossier, utilisateurs limités, administrateurs techniques sans accès aux dossiers, exclusion en cas de conflit d’intérêts | Non | Non | Oui |
| Dossiers liés, modèles, notes privées, attributions, analyse des causes, e-mails à des destinataires externes, documentation des signalements reçus par d’autres canaux | Non | Non | Oui |
| Rapports, tableaux de bord, export des statistiques, génération de rapports | Non | Non | Oui |
| Recherche par mot-clé dans tous les dossiers | Non | Non | Oui |
| Traduction automatique DeepL | Non | Non | Oui |
| Piste d’audit infalsifiable, chaînée cryptographiquement, de chaque saisie, consultation et modification | Oui | Oui | Oui |
| Authentification unique via votre fournisseur d’identité (Microsoft Entra ID ou SAML 2.0) | Oui | Oui | Oui |
| Authentification à deux facteurs | Non | Oui, activée par utilisateur | Oui, activée par utilisateur |
| Médiateur externe ou cabinet d’avocats comme utilisateur | Non (1 utilisateur) | Oui, comme l’un des 2 utilisateurs | Oui |
| Support | Support en ligne, sans délai de réponse garanti ; erreurs critiques traitées 24h/24 | Support en ligne, réponse sous 48 heures ; erreurs critiques 24h/24 | Support en ligne, réponse sous 24 heures ; erreurs critiques 24h/24 |
| Formation en ligne gratuite des salariés à l’alerte professionnelle | 30 jours à partir du début payant | 30 jours à partir du début payant | 30 jours à partir du début payant |
Premium (groupes, grandes entreprises, clients réglementés, partenaires) : déploiement individuel sur un serveur privé dédié dans la région de votre choix ou sur votre propre infrastructure, avec votre propre domaine. Formulaires entièrement configurables : catégories de signalement, champs obligatoires et en texte libre, textes d’aide et dépôts de fichiers peuvent différer par entité juridique ou par pays, avec une sélection de l’entité ou du pays avant le formulaire. L’organisation définit elle-même les rôles et les permissions, en nombre illimité, y compris la visibilité par entité juridique. Plusieurs entités juridiques dans un même environnement, chacune avec son propre canal, des dossiers séparés et une vue consolidée au niveau du groupe. Durées de conservation configurables par catégorie de données, rapports de revue des accès pour les revues périodiques, MFA obligatoire, SLA contractuel de 99 %, ligne téléphonique en option, avenant DORA pour les entités financières. Frais de mise en place uniques plus licence annuelle, sur devis. Réservez une démonstration.
Tarifs, facturation et conditions contractuelles
| Élément | Fait |
|---|---|
| Contrat | Conditions générales d’utilisation en ligne plus Conditions additionnelles Whistleblowing et Document tarifaire (pas de contrat individuel pour les offres en libre-service) ; droit suisse, tribunaux de Zoug |
| Période de facturation | 12 mois d’avance, en EUR |
| Moyens de paiement | Carte ou virement sur facture (paiements traités par Stripe) ; la première facture est payable sous 7 jours |
| Frais de mise en place, frais par utilisateur, frais par langue | Aucun |
| TVA | Prix hors TVA |
| Évolution des prix | Indexation annuelle sur l’indice des prix à la consommation de l’UE (Eurostat) ; toute autre hausse ne s’applique qu’au renouvellement suivant |
| Durée et renouvellement | Jusqu’à résiliation ; résiliation à tout moment depuis l’application, effective à la fin de la période payée, accès complet jusque-là, sans préavis |
| Résiliation immédiate | Possible avant la fin de la période, sous forme de demande de service manuelle payante |
| Essai | 7 jours gratuits, toutes les fonctionnalités débloquées ; résiliation pendant l’essai sans aucun débit ; sans changement, l’abonnement annuel démarre sur l’offre choisie le jour 8 |
| Ce qui se passe à la fin | Compte verrouillé pendant 30 jours avec export et gestion du compte disponibles, puis suppression définitive de la production ; la suppression des sauvegardes suit la rotation habituelle |
| Responsabilité | Plafonnée à 30 000 EUR selon les conditions générales |
| Changement d’offre en cours de période | Montée en gamme à tout moment, la différence est facturée au prorata de la période restante ; une descente en gamme prend effet au renouvellement suivant |
Exigences légales couvertes
Directive (UE) 2019/1937 et ses transpositions nationales, en France la loi Waserman. Trusty est un éditeur de logiciel, pas un cabinet d’avocats : le client reste responsable de sa propre conformité, le tableau indique quelle fonctionnalité soutient quelle obligation.
| Obligation (article de la directive) | Comment Trusty y répond |
|---|---|
| Protéger l’identité de l’auteur du signalement et de toute personne mentionnée ; accepter les signalements par écrit ou oralement (art. 9, par. 1, a), 9, par. 2, 16) | Site public de signalement et messagerie pseudonyme pour le suivi confidentiel ; l’auteur décide s’il reste anonyme ; messages vocaux dans le navigateur avec Advanced et Premium |
| Désigner une personne ou un service impartial pour le suivi et le contact avec l’auteur (art. 9, par. 1, c), d)) | Les rôles d’utilisateur contrôlent qui voit un dossier ; exclusion en cas de conflit d’intérêts et visibilité granulaire avec Advanced ; un médiateur externe peut être utilisateur |
| Accuser réception sous 7 jours, donner un retour sous 3 mois ; ne pas conserver les dossiers plus longtemps que nécessaire (art. 9, par. 1, b), f) ; art. 18, par. 1) | Accusé de réception automatique sur toutes les offres, compte à rebours de 90 jours par dossier, durée de conservation avec rappel de suppression avec Advanced, suppression définitive avec entrée d’audit sur toutes les offres |
| Exploiter les canaux de manière sécurisée ; traiter les données personnelles conformément au RGPD (art. 9, par. 1, a) ; art. 17) | Hébergement certifié ISO 27001 en Allemagne, chiffrement en transit et au repos, tests d’intrusion externes, aucune adresse IP ni horodatage des lanceurs d’alerte stockés, accord de traitement selon l’art. 28 du RGPD |
| Seuil de 50 salariés et obligation de canal interne transposés par chaque État membre (art. 8, 26) | Site et formulaires de signalement dans toutes les langues prises en charge ; durées de conservation réglées selon la loi locale |
| Suivi diligent ; information claire sur le signalement externe (art. 9, par. 1, d), g)) | Tableaux de bord et export des statistiques ; dépôt de documents, tels que les canaux de signalement externes, sur la page de signalement |
Lois nationales les plus souvent demandées : loi Waserman et Sapin II (France), Hinweisgeberschutzgesetz (Allemagne), Ley 2/2023 (Espagne), D.Lgs. 24/2023 (Italie), Lei 93/2021 (Portugal). Signalements de la chaîne d’approvisionnement pour la LkSG allemande avec Advanced. Sociétés cotées aux États-Unis : canal anonyme et confidentiel pour les questions comptables et d’audit selon la section 301 de la loi Sarbanes-Oxley. Directive NIS2 2022/2555 : canal de signalement des vulnérabilités avec Advanced. DORA : addendum pour les entités financières, Trusty agit comme prestataire tiers de services TIC non critique.
Sécurité et protection des données
| Élément | Fait |
|---|---|
| Lieu d’hébergement | Serveurs virtuels chez Hetzner Online GmbH à Nuremberg, Allemagne, centres de données certifiés ISO 27001 ; les données restent dans l’UE |
| Autres régions d’hébergement | Suisse (CloudSigma, Zurich), États-Unis (DigitalOcean, Californie) ou infrastructure propre du client, avec Premium ; les sauvegardes des environnements suisse et américain sont conservées dans l’UE Un environnement n’est jamais déplacé vers une autre région sans l’accord du client. |
| Architecture | SaaS multi-locataire, un compte par organisation, données isolées logiquement ; Premium sur un serveur virtuel privé dédié |
| Chiffrement en transit | TLS 1.2 / 1.3 sur toutes les connexions |
| Chiffrement au repos | Contenu des signalements et dialogue avec le lanceur d’alerte chiffrés en AES (CBC, OpenSSL) ; fichiers chiffrés en AES-256 CTR ; mots de passe hachés avec bcrypt |
| Protection applicative | Pare-feu applicatif (ModSecurity, OWASP Core Rule Set) et pare-feu Linux iptables ; fichiers déposés validés côté serveur, limités par type et stockés hors de la racine web publique ; développement selon les principes OWASP avec requêtes paramétrées et politique de sécurité du contenu ; revue de code à quatre yeux avant chaque mise en production |
| Gestion des vulnérabilités | Analyse automatisée continue avec délais de correction échelonnés (critique : 1 jour) ; test d’intrusion externe annuel avec contre-test, résultats disponibles sous NDA |
| Protection des données dès la conception | Aucune adresse IP ni horodatage des lanceurs d’alerte stockés, cookies de session uniquement, identifiant aléatoire par auteur |
| Contrôle d’accès | SSO (Microsoft Entra ID ou SAML 2.0) sur tous les plans ; 2FA à partir de Standard, MFA obligatoire avec Premium ; permissions basées sur les rôles. Administration des serveurs uniquement par clés SSH, y compris clés matérielles/FIDO2, sans connexion par mot de passe ni en root ; MFA sur tous les systèmes contenant des données clients ou personnelles |
| Piste d’audit | Journal chaîné cryptographiquement de chaque saisie, consultation et modification, sur toutes les offres ; avec Premium, rapports de revue des accès (listes d’utilisateurs et rapports d’accès) pour les revues périodiques |
| Sauvegardes et reprise | Sauvegardes quotidiennes chiffrées chez deux prestataires indépendants de l’UE (France) ; objectif de point de reprise 24 heures, objectif de délai de reprise 4 heures ; plan de reprise d’activité testé chaque année ; processus formel de réponse aux incidents avec niveaux d’escalade définis et exercices annuels |
| Disponibilité | 99 % par mois civil, efforts commercialement raisonnables, mesurée de minuit à minuit maintenance comprise ; avoir au prorata en cas de non-respect ; maintenance planifiée annoncée 2 jours ouvrés à l’avance et en dehors de 08h00 à 17h00. SLA contractuel de 99 % avec Premium |
| RGPD | Traitement uniquement dans l’UE/EEE (hébergement en Allemagne, sauvegardes en France), aucun transfert vers un pays tiers en fonctionnement normal ; accord de traitement des données selon l’art. 28 du RGPD, copie signée sur demande ; notification de violation au client sous 24 heures, à l’autorité sous 72 heures lorsque requis La Suisse et l’UE/EEE se reconnaissent mutuellement un niveau de protection des données adéquat. Accords au titre de l’art. 28 avec tous les prestataires et registre de tous les sous-traitants avec l’état de leur accord ; contact désigné pour la protection des données ; auto-évaluation annuelle en matière de protection des données |
| Concept de conservation | Concept documenté de conservation et de suppression par catégorie de données ; durée de conservation sélectionnable par dossier clos sur Advanced, configurable par catégorie de données avec Premium |
| Sous-traitants (whistleblowing, configuration UE standard) | Hetzner Online GmbH, Allemagne (hébergement) ; AWS EMEA SARL, Luxembourg (relais des e-mails de notification). Liste complète dans l’accord de traitement ; préavis de 30 jours avant tout changement |
| Export et suppression des données | Export depuis l’application pendant les 30 jours de conservation après résiliation ; puis suppression définitive de la production et, selon la rotation habituelle, des sauvegardes |
| Certifications | Les centres de données d’hébergement sont certifiés ISO 27001. Trusty AG ne détient pas elle-même de certificat ISO 27001 ; son dispositif de sécurité de l’information et de gestion des risques est aligné sur l’ISO/IEC 27001. Les questionnaires de sécurité, y compris les formulaires bancaires, sont remplis sur demande ; les politiques peuvent être consultées sous NDA |
| Cadre de politiques | Ensemble complet de politiques internes versionnées, revues au moins une fois par an, sous la responsabilité du Head of IT / Information Security Officer : politiques de sécurité de l’information, de contrôle d’accès, de mots de passe, d’utilisation acceptable, anti-malware, de gestion des vulnérabilités et de développement sécurisé ; rôles et responsabilités en matière de protection des données, registre des sous-traitants et politique de conservation et de suppression ; plan de réponse aux incidents de cybersécurité et plan de reprise d’activité ; politique de gestion des risques tiers avec registre des fournisseurs, politique d’arrivée et de départ des utilisateurs, registre des risques de sécurité de l’information. Confidentielles, disponibles pour une due diligence sous NDA |
| Gouvernance des accès et risques | Accès selon le principe du moindre privilège avec un processus encadré d’arrivée, de changement et de départ ; architecture informatique cible documentée et registre de tous les services cloud utilisés ; depuis août 2026, une deuxième personne participe à la revue de code, au triage des vulnérabilités, à la suppléance de la réponse aux incidents et aux revues des fournisseurs ; registre des risques revu chaque trimestre |
| Accessibilité | WCAG 2.1 AA / EN 301 549 : partiellement conforme, améliorations en cours ; une déclaration d’accessibilité sera publiée dans le Legal Center (trusty.report/documents) |
Mise en œuvre et support
| Élément | Fait |
|---|---|
| Effort de mise en œuvre (offres en libre-service) | Pas de projet informatique : choisir une offre, ajouter logo, couleurs et langues, inviter les référents, publier le lien ou le QR code de signalement, le jour même |
| Mise en œuvre (Premium) | Projets de textes fournis par Trusty, relecture du client, déploiement de test sous une semaine, atelier de 1 à 2 heures, tests du client, mise en production ; généralement dans le mois |
| Intégration des salariés | 30 jours de formation en ligne gratuite des salariés à l’alerte professionnelle, inclus dans chaque abonnement |
| Intégrations | SSO via Microsoft Entra ID ou SAML 2.0 ; lien ou intégration de la page de signalement sur votre site ou intranet ; lien depuis un hub Compliance App ; option ligne téléphonique avec Premium. Pas d’intégration avec les systèmes RH |
| Canal de support | support@trusty.report ; les erreurs critiques (plateforme indisponible ou perte de fonctionnalités essentielles) sont traitées 24h/24 sur toutes les offres |
| Délai de réponse du support | Standard 48 heures, Advanced 24 heures, Premium 8×5 (lundi à vendredi, 09h00 à 17h00 heure de Zoug) ; LITE sans délai de réponse garanti |
| Langues du support | Toutes les langues prises en charge |
| Technologie | Pile open source (Linux, Apache, MySQL, Laravel), aucun programme tiers sous licence |
Société
| Élément | Fait |
|---|---|
| Entité juridique | Trusty AG, Bösch 82, 6331 Hünenberg, Suisse (canton de Zoug) |
| Création | 2022 |
| Produits | Whistleblowing, Compliance App (politiques, formation, alerte professionnelle), QuickScreen360 pour le contrôle des tiers, EUDR Passport, Trusty Compliance App, MiCA Booster Pack |
| Clients | Plus de 1 000 entreprises utilisent les logiciels Trusty |
| Modèle partenaires | Déploiement en marque blanche pour les cabinets d’avocats, consultants et médiateurs au service de leurs propres clients |
| Site web | trusty.report ; connexion des référents sur trusty-compliance.com |
Cette page est tenue à jour par Trusty AG et revue à chaque changement de produit, de prix ou de contrat.