rondea

Sécurité et souveraineté

Vos réponses contiennent des photos de chantier, des noms de salariés et parfois des positions. Voici ce que nous faisons pour qu'elles restent les vôtres.

Où sont vos données

Hébergement en France, chez un fournisseur européen, avec des sauvegardes chiffrées conservées dans la même zone.

  • Serveurs et sauvegardes en France
  • Aucun transfert hors Union européenne pour les données de production
  • Sous-traitants listés et tenus à jour dans un registre public

Séparation entre clients

Chaque organisation est isolée au niveau de la base de données elle-même, pas seulement dans le code applicatif.

  • Isolation appliquée par PostgreSQL (row level security) et vérifiée par des tests automatisés à chaque livraison
  • Une requête sans organisation ne renvoie rien : c'est la base qui refuse, pas une condition oubliée
  • Les clés d'API et les webhooks sont limités à une organisation et à des portées explicites

Accès de notre équipe

Nous n'ouvrons pas votre console pour regarder. Quand le support en a besoin, l'accès est court, motivé et en lecture seule.

  • Trente minutes par défaut, deux heures au maximum, sur une seule organisation
  • Lecture seule : aucune écriture n'est possible à travers un accès de support
  • Le motif et l'ouverture apparaissent dans votre propre journal d'audit, à la seconde où ils ont lieu

Traçabilité et récupération

Ce qui est fait se voit, et ce qui est perdu se retrouve.

  • Journal d'audit consultable, en ajout seul
  • Historique des corrections d'une réponse, avec auteur et date
  • Sauvegardes avec restauration à un instant donné
  • Authentification à deux facteurs, gestion des appareils, révocation immédiate

Conformité

Nous sommes sous-traitant au sens du RGPD pour les données que vous nous confiez.

  • Contrat de sous-traitance (DPA) à l'article 28, disponible sur demande
  • Registre des sous-traitants ultérieurs tenu à jour
  • Export et suppression d'une organisation sur demande, avec délai de grâce
  • Géolocalisation des salariés : recueil explicite et rappel des règles de la CNIL dans l'application

Ce qui n'est pas fait

Un responsable de la sécurité des systèmes d'information cherche d'abord les trous. Les voici, nommés, plutôt que découverts pendant l'audit.

  • Aucun test d'intrusion externe n'a été mené à ce jour. Il est prévu et budgété ; nous publierons la date et la synthèse.
  • Aucune certification n'est détenue : ni ISO 27001, ni HDS, ni SecNumCloud. Nous n'en revendiquons aucune et n'en sous-entendons aucune.
  • L'audit d'accessibilité RGAA n'est pas mené. Le site et la console sont écrits en visant AA, sans qu'un tiers l'ait vérifié.
  • L'authentification unique fonctionne en OpenID Connect avec un fournisseur de test ; elle n'a pas été validée contre un annuaire d'entreprise réel.
  • Aucune preuve de charge en production : le produit tourne en préproduction, pas encore chez des clients.

Signaler une vulnérabilité

Si vous trouvez une faille, écrivez-nous : nous répondons, nous corrigeons, et nous vous disons quand c'est corrigé.

  • Écrivez à l'adresse de contact du site, avec « sécurité » en objet.
  • Nous accusons réception sous deux jours ouvrés et donnons un délai de correction.
  • Nous ne poursuivons pas une recherche menée de bonne foi et sans dégradation de service.
  • Aucun programme de prime n'existe à ce jour : le dire évite de laisser croire le contraire.

Posez les questions qui manquent

Contrat de sous-traitance, registre des sous-traitants, détail de l'hébergement, calendrier du test d'intrusion : écrivez-nous et nous répondons par écrit.

Essayer gratuitement