La page de confiance
Où sont hébergées vos données, qui y accède, comment elles sont protégées et combien de temps elles sont conservées. Les engagements de Dativo SAS.
Sur cette page
Un dossier technique Cyber Resilience Act (CRA) contient la description de votre produit, ses composants, ses failles et vos décisions. Ce sont des informations sensibles, et vous avez le droit de savoir où elles vont avant de les saisir.
Cette page dit où elles sont, qui les touche, comment elles sont protégées et pendant combien de temps elles sont gardées. Elle ne remplace pas la politique de confidentialité, qui est le document juridique de référence.
Où sont hébergées vos données
Les données saisies dans le diagnostic et dans les dossiers sont hébergées par OVHcloud, sur des serveurs situés en France. Cette information ne change pas sans que cette page change.
| Élément | Valeur |
|---|---|
| Hébergeur | OVH SAS, société par actions simplifiée au capital de 10 174 560 EUR |
| Immatriculation | RCS Lille Métropole 424 761 419 00045 |
| Adresse | 2 rue Kellermann, 59100 Roubaix, France |
| Téléphone | 1007, ou +33 9 72 10 10 07 |
| Pays d'hébergement | France |
Les mêmes coordonnées figurent aux mentions légales. Les deux pages disent la même chose, et elles bougent ensemble.
Le serveur est situé au centre de données OVHcloud de Gravelines, dans le Nord. Les sauvegardes sont conservées sur ce même serveur, et nous l'écrivons plutôt que de le taire : une copie qui vit sur la machine qu'elle protège ne protège pas de la perte de cette machine. Elle protège d'une erreur humaine, d'une migration ratée et d'une corruption de données, ce qui couvre la très grande majorité des incidents réels, mais pas tous. Une copie hors de cette machine est un prérequis de l'ouverture de l'étape payante, et elle sera annoncée ici avant, pas après.
Qui intervient sur ces données
En dehors de Dativo SAS, seuls des prestataires techniques nécessaires au fonctionnement du service peuvent traiter ces données. Chacun est lié par un contrat de sous-traitance au sens de l'article 28 du règlement général sur la protection des données, et la liste en est tenue à jour ici.
| Sous-traitant | Fonction | Pays | Hors Union européenne |
|---|---|---|---|
| OVH SAS (OVHcloud) | Hébergement du site, de la base et des sauvegardes | Gravelines, France | Non |
| Infomaniak Network SA | Acheminement de nos courriels | Suisse | Oui, sous décision d'adéquation |
Deux lignes, et c'est un constat. Une liste plus longue serait une liste à moitié anticipée : ni le paiement, ni la mesure d'audience, ni la protection anti-robot ne traitent de données aujourd'hui. La politique de confidentialité explique chacune de ces absences.
Le seul traitement hors de l'Union est l'acheminement du courriel, en Suisse. Ce pays bénéficie d'une décision d'adéquation de la Commission européenne, la décision 2000/518/CE du 26 juillet 2000, toujours en vigueur, ce qui signifie qu'aucune garantie supplémentaire n'est requise au titre du chapitre V du règlement.
Comment elles sont protégées
Les mesures de sécurité appliquées au service sont écrites, et elles sont décrites ici plutôt qu'affirmées en bloc. Un éditeur qui vend de la conformité doit pouvoir nommer ses mesures.
Deux règles ont présidé à cette liste, et elles expliquent ce qui y figure comme ce qui n'y figure pas. Aucune mesure n'est écrite parce qu'elle est usuelle : chacune a été constatée dans le code ou sur l'infrastructure avant d'être publiée. Et aucune mesure n'est écrite au futur : ce qui est prévu n'est pas une protection, et une mesure annoncée qui n'existe pas encore vaut moins qu'un silence.
Le transport est chiffré, sans exception.
Le site n'est accessible qu'en HTTPS, et
il demande au navigateur de ne plus jamais l'appeler en clair pendant un an, y compris
sur ses sous-domaines. Une adresse tapée en http:// est corrigée avant même qu'une
requête parte.
La base est chiffrée au repos.
Les espaces de stockage de la base et son journal de transactions sont chiffrés par le moteur, en AES, avec une clef qui ne vit pas dans la base. Quelqu'un qui repartirait avec les fichiers de données n'aurait pas les données.
Les sauvegardes, elles, ne sont pas chiffrées, et nous l'écrivons.
Ce sont des archives compressées, lisibles par qui peut les lire. Ce qui les protège est l'accès au serveur : elles vivent dans un répertoire réservé au compte d'administration de la machine, sur un serveur dont l'accès distant n'accepte aucun mot de passe. C'est une protection réelle, ce n'est pas du chiffrement, et écrire « sauvegardes chiffrées » serait plus flatteur et faux. Le chiffrement des sauvegardes est un chantier ouvert ; il sera écrit ici quand il sera fait, pas avant.
Les sauvegardes sont vérifiées, pas seulement produites.
La base est sauvegardée chaque nuit, et chaque archive est contrôlée à la production : intégrité, taille minimale, présence des tables qui portent vos données, et marque de fin d'écriture qui distingue une sauvegarde complète d'une sauvegarde interrompue. Une archive refusée est mise à part et signalée, jamais remplacée en silence. Elles sont conservées trente jours au quotidien, douze semaines à l'hebdomadaire et vingt-quatre mois au mensuel.
Et un second contrôle surveille le premier.
Un contrôle indépendant s'exécute chaque matin et échoue si la dernière sauvegarde a plus de quarante-huit heures ou si elle est illisible. Il est séparé du script de sauvegarde parce que celui-ci est muet dans le cas qui compte le plus : celui où il ne s'exécute plus du tout.
Les environnements sont séparés.
Le développement et la production ont des bases distinctes et des identités d'accès distinctes. Le développement n'a aucun moyen d'écrire dans la base de production. Cette séparation a été éprouvée : elle s'est manifestée comme une panne d'accès, et nous avons choisi de la garder plutôt que de la lever pour faire disparaître un message d'erreur.
L'accès au serveur se fait par clef, jamais par mot de passe.
L'authentification par mot de passe est refusée, la connexion directe au compte d'administration est interdite, et le service d'accès distant n'écoute pas sur son port habituel.
Les correctifs de sécurité du système s'installent automatiquement.
La liste des paquets est rafraîchie chaque jour et les mises à jour de sécurité sont appliquées sans intervention.
Votre mot de passe n'est jamais stocké.
Seule une empreinte l'est, produite par l'algorithme de hachage recommandé par la plateforme, et elle est recalculée automatiquement si cette recommandation évolue. Il en va de même des liens de connexion envoyés par courriel : la base n'en porte que l'empreinte, donc une base lue ne rend aucun lien utilisable.
Les tentatives de connexion sont limitées
, à dix par quart d'heure. Le compteur ne conserve aucune adresse réseau en clair : il travaille sur une empreinte, qui suffit à compter et ne permet pas de remonter.
Le navigateur reçoit les en-têtes qui restreignent ce que la page peut faire
: politique de sécurité du contenu, refus de l'interprétation de type, cadrage limité à notre propre domaine, politique de référent restreinte, et désactivation de la géolocalisation, du microphone et de la caméra.
Aucun secret ne vit dans le dépôt de code.
Mots de passe de base et identifiants d'envoi sont résolus à l'exécution depuis un coffre, par une identité propre à chaque instance. Le dépôt ne porte que des références, jamais des valeurs.
Le panneau d'administration est fermé en production
, et il répond comme une page inexistante. Ce n'est pas encore une authentification d'administrateur : c'est une fermeture. Nous préférons l'écrire ainsi plutôt que d'appeler « accès protégé » ce qui est un accès absent, et l'authentification viendra avec l'ouverture du back-office.
Ce qui n'est pas dans cette liste n'y est pas par omission.
Il n'y a pas de test de restauration périodique : les sauvegardes sont vérifiées lisibles et complètes, elles ne sont pas rejouées dans une base d'essai à intervalle régulier, et tant que ce n'est pas le cas nous ne l'écrivons pas. Il n'y a pas de chiffrement du disque du serveur. Il n'y a pas d'authentification d'administrateur, pour la raison dite ci-dessus. Ces trois points sont des chantiers, et ils apparaîtront ici le jour où ils seront constatables.
Combien de temps elles sont conservées
C'est le point sur lequel l'engagement est déjà pris, et il est écrit ici pour que vous puissiez le tenir contre nous.
Les données d'un dossier sont conservées pour une durée rattachée à votre produit, et non pour une durée indéfinie. Cette durée est celle de la période d'assistance déclarée dans le dossier, majorée du délai de conservation de la documentation technique. Ce délai n'est pas choisi par nous : le règlement demande que la documentation technique et la déclaration UE de conformité soient tenues à disposition des autorités de surveillance du marché pendant au moins dix ans après la mise sur le marché du produit, ou pendant la période d'assistance si celle-ci est plus longue (art. 13, paragraphe 13).
Autrement dit, nous gardons vos données aussi longtemps que vous pouvez en avoir besoin pour répondre à un contrôle sur ce produit, et pas au-delà. Une conservation « tant que le compte existe » serait plus commode pour nous et indéfendable pour vous.
Les données qui ne relèvent pas d'un dossier ont leurs propres durées
, et elles sont courtes.
| Donnée | Durée | Point de départ |
|---|---|---|
| Réponses au diagnostic non transformées en dossier, et rapport de qualification | 3 ans | Dernier contact |
| Preuve du consentement au recontact | 3 ans | Retrait ou expiration du consentement |
| Messages reçus par le formulaire de contact | 3 ans | Dernier échange |
| Compte d'accès resté sans connexion | 24 mois, avec un avertissement au 23e mois | Dernière connexion |
| Pièces comptables et factures | 10 ans | Clôture de l'exercice, article L. 123-22 du code de commerce |
| Journaux système d'exploitation | 30 jours | Enregistrement |
| Journaux d'accès au service (adresse IP incluse) | 6 mois | Enregistrement |
| Journal des accès des administrateurs aux données | 12 mois | Enregistrement |
La preuve du consentement dure plus longtemps que le consentement lui-même, et ce n'est pas une coquille : une preuve qui s'efface avec ce qu'elle prouve ne prouve rien le jour où on en a besoin.
Le détail, avec les bases légales, figure dans la politique de confidentialité. Les deux pages disent la même chose ; en cas d'écart, c'est une erreur, et la politique de confidentialité fait foi.
Ce sur quoi nous nous engageons
Trois engagements sont déjà tenables et ne dépendent d'aucune vérification.
Vos réponses ne sont pas revendues, et elles ne sont pas utilisées pour alimenter un service tiers. Un dossier appartient à celui qui l'a rempli, et il est exportable. Et ce que le site publie sur le règlement est écrit depuis les textes, avec le renvoi d'article qui permet de le vérifier.
Trois engagements chiffrés s'y ajoutent.
Ils sont écrits parce qu'ils sont tenables par une structure de notre taille, et pas parce qu'ils sonnent bien. Un engagement public non tenu coûte plus cher qu'une absence d'engagement.
Violation de données touchant les données de votre dossier : nous vous prévenons dans les quarante-huit heures suivant notre prise de connaissance.
Sur ces données, vous êtes le responsable du traitement et nous sommes votre sous-traitant : l'article 33, paragraphe 2, du règlement nous oblige à vous informer « dans les meilleurs délais », sans chiffre. Nous mettons un chiffre, parce que c'est ce délai-là qui détermine si vous, vous tiendrez le vôtre.
Violation touchant les données dont nous sommes responsables : notification à l'autorité de contrôle dans les soixante-douze heures
, conformément à l'article 33 du règlement. Nous ne surenchérissons pas sur ce délai : il est déjà celui du texte, et le raccourcir n'ajouterait rien qu'un risque de ne pas le tenir.
Suppression sur demande : exécutée dans un délai d'un mois
à compter de la réception de la demande, conformément à l'article 12, paragraphe 3, du règlement. Nous n'annonçons pas mieux. Une structure d'une personne qui promet soixante-douze heures se met en faute le jour où elle est en déplacement.
Signaler un problème de sécurité sur ce site
Si vous repérez une faiblesse sur ce site, nous voulons le savoir, et vous ne serez pas inquiété pour l'avoir signalée de bonne foi.
Ce n'est pas une formalité pour nous. Le règlement (UE) 2024/2847 impose aux fabricants une politique de divulgation coordonnée des vulnérabilités, à l'annexe I, partie II. Nous vendons l'accompagnement sur ce point : il serait difficile de le vendre sans en avoir une.
Où écrire.
À securite@resilience-act.fr. Cette adresse ne sert qu'à cela.
Ce que nous nous engageons à faire.
Nous accusons réception sous cinq jours ouvrés. Nous vous disons ce que nous retenons du signalement et ce que nous en faisons. Nous ne vous demandons pas le silence comme condition, et nous ne publions pas votre nom sans votre accord.
Ce que nous nous engageons à ne pas faire.
Nous n'engagerons aucune poursuite contre une recherche menée de bonne foi qui respecte le périmètre ci-dessous, et nous ne la signalerons pas comme une attaque. C'est un engagement, pas une tolérance.
Le périmètre.
Les domaines du service et son instance de développement.
Sont hors périmètre, explicitement : le déni de service et le test de charge, l'ingénierie sociale visant nos personnes ou nos prestataires, l'intrusion physique, et tout test portant sur les données d'un tiers. Ces exclusions ne sont pas des échappatoires : ce sont les cas où le test lui-même cause le dommage qu'il cherche, ou touche quelqu'un qui n'a rien demandé. Un test hors périmètre sort de l'engagement de non-poursuite.
Et la même adresse est publiée à l'endroit normalisé, dans le fichier security.txt, pour qu'un outil la trouve sans lire cette page.
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.