Delve est accusée d’avoir trompé ses clients au moyen d’un système de « conformité fictive ».

Un article anonyme récent publié sur Substack accuse la startup spécialisée dans le respect des réglementations Delve d’avoir induit en erreur des centaines de clients en leur faisant croire qu’ils se conformaient aux règles de confidentialité et de sécurité, les exposant ainsi à des responsabilités pénales au titre du HIPAA ainsi qu’à d’importantes amendes prévues par le RGPD.

Delve, une startup soutenue par Y Combinator, a annoncé l’an dernier un financement de série A d’un montant de 32 millions de dollars, avec une évaluation de 300 millions de dollars (ce tour de financement était mené par Insight Partners). Vendredi, la startup a tenté de réfuter ces accusations sur son blog, qualifiant l’article de Substack d’« erroné » et affirmant qu’il contenait de nombreuses affirmations inexactes.

L’auteur de l’article de Substack se fait appeler « DeepDelver », qui se présente comme un ancien employé d’un client de Delve.

DeepDelver raconte avoir reçu en décembre un e-mail indiquant que la startup avait divulgué une feuille de calcul contenant des rapports confidentiels de clients. Bien que le PDG de Delve, Karun Kaushik, ait assuré aux clients dans un e-mail ultérieur qu’ils continuaient de se conformer aux règles et qu’aucune tierce partie n’avait accédé à des données sensibles, DeepDelver affirme que lui-même et d’autres clients ont commencé à se méfier.

« Comme nous étions tous déçus par l’expérience avec Delve et que nous avions des soupçons, nous avons décidé de mettre nos ressources en commun pour mener une enquête ensemble », écrit-il.

Leur conclusion ? Delve prétend être la plateforme la plus rapide grâce à la production de preuves falsifiées, à l’établissement de conclusions d’audit destinées à des organismes chargés de valider les rapports, ainsi qu’en omettant certaines exigences fondamentales tout en affirmant aux clients qu’ils respectent pleinement les réglementations.

DeepDelver développe ces allégations en accusant la startup de fournir aux clients des preuves fabriquées concernant des réunions du conseil d’administration, des tests et des processus qui n’ont jamais eu lieu, puis de les forcer à choisir entre accepter ces fausses preuves ou effectuer un travail principalement manuel, avec très peu d’automatisation ou d’intelligence artificielle réelle.

DeepDelver affirme également que presque tous les clients de Delve semblent avoir fait appel à deux cabinets d’audit, Accorp et Gradient, qu’il décrit comme faisant partie du même réseau, basé principalement en Inde avec une présence américaine purement nominale.

Ces cabinets, selon lui, se contentent de valider les rapports créés par Delve. Par conséquent, DeepDelver prétend que la startup inverse la structure normale du respect des réglementations : « En établissant des conclusions d’audit, des procédures de test et des rapports finaux avant toute étude indépendante, Delve se positionne à la fois en tant qu’implementeur et en tant qu’examinateur. Il ne s’agit pas d’une question technique ; c’est une fraude structurelle qui rend toute attestation invalide. »

En plus d’accuser Delve d’avoir induit en erreur ses clients, DeepDelver affirme que la startup aide également ces derniers à tromper le public en mettant en ligne des pages de transparence décrivant des mesures de sécurité qui n’ont jamais été mises en œuvre.

Quant à leur propre relation avec Delve, DeepDelver indique que son entreprise a retiré sa page de transparence et ne dépend plus de la startup pour assurer le respect des réglementations.

Delve a répondu aux accusations en affirmant qu’elle ne produit pas de rapports de conformité. Elle se présente plutôt comme une « plateforme d’automatisation » qui collecte les informations liées au respect des règles avant de permettre aux auditeurs d’y accéder.

« Les rapports finaux et les opinions sont émis exclusivement par des auditeurs indépendants et agréés, et non par Delve », déclare l’entreprise.

Delve précise également que ses clients peuvent choisir de travailler avec un auditeur de leur choix ou avec un membre du réseau de cabinets d’audit tiers indépendants et accrédités mis à disposition par la startup. Ces cabinets, selon elle, sont « des entreprises reconnues largement utilisées dans l’industrie, y compris par d’autres plateformes spécialisées dans le respect des réglementations ».

En réponse à l’accusation de fournir aux clients des preuves falsifiées, Delve affirme qu’elle propose simplement « des modèles visant à aider les équipes à documenter leurs processus conformément aux exigences en matière de conformité, comme le font d’autres plateformes spécialisées dans ce domaine ».

« Des modèles préliminaires ne sont pas identiques à des ‘preuves prédéfinies’ », précise l’entreprise.

Delve ajoute qu’elle mène « actuellement une enquête approfondie sur toute fuite d’informations » et qu’elle est « en train d’examiner l’article de Substack ».

TechCrunch a envoyé un e-mail demandant des commentaires supplémentaires à l’adresse de contact indiquée sur le site web de Delve, mais cet e-mail a été renvoyé. Nous avons également pris contact avec DeepDelver pour obtenir davantage d’informations.