Vos données : hébergées en France, jamais revendues

Hébergement

Vos données sont hébergées en France, chez OVHcloud

Diagnostic et dossiers sont sur un serveur du centre de données de Gravelines, dans le Nord.

Ce lieu ne change pas sans que nous l'écrivions ici.

Les mêmes coordonnées figurent aux mentions légales, et les deux pages bougent ensemble.

Les sauvegardes sont chiffrées. Elles sont conservées sur ce même serveur, et une copie chiffrée part après chaque sauvegarde sur un second serveur de DATIVO, chez le même hébergeur, où elle est gardée trente jours.

Elles protègent d'une erreur humaine, d'une migration ratée, d'une corruption de données et de la perte du serveur. Les deux serveurs sont dans le même centre de données : elles ne protègent pas de la perte du site lui-même.

Sous-traitance

Quatre prestataires techniques, et aucun autre

En dehors de DATIVO, l'éditeur de ce site, seuls des prestataires techniques nécessaires au service peuvent traiter ces données.

Ce sont des sous-traitants : ils traitent des données pour notre compte, sous contrat. Nous tenons leur liste à jour ici. Le prestataire de paiement agit en deux qualités, expliquées sous le tableau.

• Stripe, sous-traitant et responsable à la fois

  Pour encaisser votre paiement, Stripe agit pour notre compte. Pour prévenir la fraude et respecter ses propres obligations de prestataire de paiement, il agit pour son compte : c'est son contrat qui le fixe. Les données de votre carte ne passent pas par nos serveurs.

• Une mesure d'audience qui reste chez nous

  Une instance Matomo que nous hébergeons nous-mêmes, sans cookie et sans transmission à un tiers. Ce n'est donc pas une sous-traitance.

• Du diagnostic, nous comptons seulement les étapes franchies : commencé, terminé.

  Vos réponses et votre rapport ne sont jamais transmis à l'outil de mesure.

Trois traitements ont lieu hors de l'Union. La réception de vos courriels se fait en Suisse, la protection des formulaires et le paiement aux États-Unis. Aucun ne porte votre dossier.

Stripe reçoit ce qu'un paiement demande : le libellé et le montant de la commande, le numéro SIREN et la raison sociale de votre entreprise, votre adresse électronique, et ce que vous saisissez sur sa page de paiement.

Les deux pays bénéficient d'une décision d'adéquation de la Commission européenne. Pour les États-Unis, elle vaut pour les organisations certifiées au cadre de protection des données UE - États-Unis.

C'est le cas de Cloudflare, Inc. et de Stripe, LLC, et aucune garantie supplémentaire n'est requise. Ce qui est transmis, et ce qui ne l'est pas, figure dans la politique de confidentialité.

Mesures constatées

Nos mesures de sécurité sont écrites, et chacune est constatée

Chaque mesure ci-dessous a été constatée dans le code ou sur l'infrastructure avant d'être publiée.

Aucune n'est écrite parce qu'elle est usuelle, ni au futur.

Le transport est chiffré, sans exception. Le site n'est accessible qu'en HTTPS. Il demande au navigateur de ne jamais l'appeler en clair pendant un an, sous-domaines compris. Une adresse tapée en http:// est corrigée avant même qu'une requête parte.

La base est chiffrée au repos. Les fichiers de la base et son journal de transactions sont chiffrés en AES par le moteur. La clef ne vit pas dans la base. Quelqu'un qui repartirait avec les fichiers de données n'aurait pas les données.

Les sauvegardes sont chiffrées. Chaque archive est chiffrée en AES-256. Une archive copiée sans sa clef ne livre rien.

Les sauvegardes sont vérifiées, pas seulement produites. La base est sauvegardée chaque nuit. Chaque archive est contrôlée dès sa production : intégrité, taille minimale, présence des tables qui portent vos données. Une marque de fin d'écriture distingue une sauvegarde complète d'une sauvegarde interrompue.

Une archive refusée est mise à part et signalée, jamais remplacée en silence. Elles sont conservées trente jours au quotidien, douze semaines à l'hebdomadaire et vingt-quatre mois au mensuel. Une restauration d'essai sur une base jetable vérifie régulièrement qu'une archive se relit vraiment.

Et un second contrôle surveille le premier. Un contrôle indépendant s'exécute chaque matin. Il échoue si la dernière sauvegarde a plus de quarante-huit heures ou si elle est illisible. Il est séparé du script de sauvegarde, pour une raison simple : un script qui ne s'exécute plus ne peut pas le signaler lui-même.

Les environnements sont séparés. Le développement et la production ont des bases distinctes et des identités d'accès distinctes. Le développement n'a aucun moyen d'écrire dans la base de production. Cette séparation a déjà été mise à l'épreuve : elle a provoqué une panne d'accès. Nous l'avons gardée, plutôt que de la lever pour faire disparaître un message d'erreur.

L'accès au serveur se fait par clef, jamais par mot de passe. L'authentification par mot de passe est refusée et la connexion directe au compte d'administration est interdite.

Les correctifs de sécurité du système s'installent automatiquement. La liste des paquets est rafraîchie chaque jour et les mises à jour de sécurité sont appliquées sans intervention.

Votre mot de passe n'est jamais stocké. Seule une empreinte l'est, produite par l'algorithme de hachage recommandé par la plateforme. Elle est recalculée automatiquement si cette recommandation évolue.

Il en va de même des liens à usage unique envoyés par courriel, pour confirmer une adresse ou renouveler un mot de passe. La base n'en porte que l'empreinte : une base lue ne rend aucun lien utilisable.

Les tentatives de connexion sont limitées, par fenêtre de quelques minutes. Le compteur ne conserve aucune adresse réseau en clair : il travaille sur une empreinte, qui suffit à compter et ne permet pas de remonter.

Le navigateur reçoit les en-têtes qui restreignent ce que la page peut faire. Ils imposent une politique de sécurité du contenu, refusent l'interprétation de type et limitent le cadrage à notre propre domaine. Ils restreignent aussi le référent, et désactivent la géolocalisation, le microphone et la caméra.

Aucun secret ne vit dans le dépôt de code. Mots de passe de base et identifiants d'envoi sont résolus à l'exécution depuis un coffre, par une identité propre à chaque instance. Le dépôt ne porte que des références, jamais des valeurs.

Le panneau d'administration n'est pas exposé en production, et une requête vers son adresse répond comme une page inexistante.

Des chantiers de sécurité sont ouverts, suivis et datés en interne. Ils apparaîtront ici quand ils seront constatables. Nous ne les détaillons pas en public : l'inventaire de ce qui manque à un service est un mode d'emploi pour l'attaquer.

Vous en avez besoin ? Vous l'obtenez sous accord de confidentialité, au titre du droit d'audit prévu par l'accord de sous-traitance. C'est la seule chose que nous taisons ici.

Conservation

Nous gardons votre dossier tant qu'un contrôle peut vous le demander

La durée dépend donc de votre produit, et non de votre compte.

C'est la période d'assistance déclarée dans le dossier, majorée du délai de conservation de la documentation technique.

La période d'assistance est la durée pendant laquelle vous assurez le suivi de sécurité du produit. Ce délai n'est pas choisi par nous, car le CRA vous demande de tenir votre documentation à disposition au moins dix ans après la mise sur le marché. Nous ne gardons donc pas vos données « tant que le compte existe ».

Cette durée par défaut reste la vôtre. Pour les données personnelles de votre dossier, vous êtes responsable du traitement, et nous sommes votre sous-traitant. Vous pouvez raccourcir la durée à tout moment, par instruction, et exporter votre dossier quand vous le voulez.

Les données qui ne relèvent pas d'un dossier ont leurs propres durées, et elles sont courtes.

La preuve du consentement est gardée après son retrait, parce que c'est elle qu'un contrôle demandera. Les bases légales figurent dans la politique de confidentialité. En cas d'écart entre les deux pages, c'est une erreur, et la politique de confidentialité fait foi.

Nos engagements

Vos réponses ne sont ni revendues, ni utilisées pour entraîner un modèle

Elles n'alimentent aucun service tiers, et votre dossier reste exportable.

Un dossier appartient à celui qui l'a rempli. Ce que nous publions sur le règlement est écrit depuis les textes, avec le renvoi d'article qui permet de le vérifier.

S'y ajoutent trois engagements chiffrés, choisis parce qu'une structure de notre taille peut les tenir.

• Violation sur votre dossier

  Une violation touche les données de votre dossier : nous vous prévenons dans les quarante-huit heures suivant notre prise de connaissance. Le RGPD dit « dans les meilleurs délais », sans chiffre. Nous mettons un chiffre : votre propre délai en dépend.

• Violation sur nos propres données

  Nous faisons la notification à l'autorité de contrôle dans les soixante-douze heures. C'est déjà le délai du RGPD. Le raccourcir n'ajouterait qu'un risque de ne pas le tenir.

• Suppression sur demande

  Nous l'exécutons dans un délai d'un mois à compter de la réception de votre demande. C'est le délai du RGPD, et nous le tenons.

quarante-huit heures

suivant notre prise de connaissance

soixante-douze heures

notification à l'autorité de contrôle

un mois

Suppression sur demande

Divulgation coordonnée

Vous trouvez une faille sur ce site ? Écrivez à securite@resilience-act.fr

Si vous repérez une faiblesse sur ce site, nous voulons le savoir.

Vous ne serez pas inquiété pour l'avoir signalée de bonne foi.

Le CRA impose aux fabricants une politique de divulgation coordonnée des vulnérabilités, c'est-à-dire une façon organisée de recevoir les failles qu'on leur signale. Nous accompagnons nos clients sur ce point, et nous appliquons la nôtre.

Écrivez à securite@resilience-act.fr, l'adresse qui ne sert qu'à cela. Nous accusons réception sous cinq jours ouvrés.

sous cinq jours ouvrés

Nous accusons réception

• Ce que nous faisons

  Nous vous disons ce que nous retenons du signalement, et ce que nous en faisons. Nous ne vous demandons pas le silence comme condition. Nous ne publions pas votre nom sans votre accord.

• Ce que nous ne faisons pas

  Nous n'engagerons aucune poursuite contre une recherche menée de bonne foi qui respecte le périmètre, et nous ne la signalerons pas comme une attaque.

• Le périmètre

  Les domaines du service et son instance de développement.

• Hors périmètre

  Le déni de service et le test de charge. L'ingénierie sociale visant nos personnes ou nos prestataires. L'intrusion physique. Tout test portant sur les données d'un tiers.

Dans ces cas exclus, le test cause lui-même le dommage, ou touche quelqu'un qui n'a rien demandé. Un test hors périmètre sort de l'engagement de non-poursuite.

La même adresse est publiée dans le fichier normalisé security.txt, pour qu'un outil la trouve seul.

Vous voulez savoir si le CRA concerne votre produit ? Faites le diagnostic, sans frais et sans compte. Le dossier qui suit, à 490 € HT par produit, est hébergé aux mêmes conditions.