Conformité et normes
Notre situation actuelle. Rien n'est présenté comme certifié tant qu'un certificat n'existe pas — les matrices de préparation sont communiquées sur demande.
- RGPD art. 28Disponible
Modèle de DPA v1.0 avec les annexes A–C, en anglais et en italien.
- Résidence des données dans l'UEEn place
Hébergement dans l'EEE. Transferts sous CCT Module 2.
- ISO 27001:2022En préparation
Matrice de préparation tenue à jour ; feuille de route de certification archivée.
- SOC 2 Type IIPlanifié
Évaluation Type I planifiée ; aucune mission encore engagée.
- ISO 42001:2023Préparation
38 mesures de l'annexe A et 7 clauses cartographiées.
- Divulgation des vulnérabilitésPubliée
security.txt RFC 9116, avec accusé de réception sous 24 heures.
Documents et politiques
Les documents publics s'ouvrent directement. Le reste est communiqué sur demande, sous NDA lorsqu'il contient des détails d'audit.
- Modèle d'accord de traitement des données (EN / IT)RGPD art. 28, v1.0 — annexe A périmètre, annexe B mesures, annexe C sous-traitants ultérieursSur demandeDemander
- Politique de confidentialitéVersionnée, avec historique des acceptationsPublicOuvrir
- Conditions d'utilisationY compris les clauses de l'art. 1341 pour les clients italiensPublicOuvrir
- Politique relative aux cookiesVersionnée ; chaque cookie et technologie similaire que nous utilisons, sa fonction, sa durée de conservation et comment modifier votre choixPublicOuvrir
- security.txt (RFC 9116)Contact de divulgation des vulnérabilités, lisible par machinePublicOuvrir
- Matrice de préparation ISO 4200138 mesures de l'annexe A et 7 clauses du corps principal, mesure par mesureSous NDADemander
Contrôles de sécurité
Les mesures techniques et organisationnelles de l'annexe B du DPA, regroupées comme les demande un questionnaire de sécurité. Chacune correspond à un contrôle réel dans la plateforme.
Sécurité des données
- Chiffrement au reposAES-256 (infrastructure Hetzner) + Fernet par champ pour les secrets sensibles (core/encryption.py)
- Chiffrement en transitTLS 1.2+ sur tous les points de terminaison ; éligible au préchargement HSTS
- Sauvegardespg_dump quotidien + conservation sur l'hôte de 30 jours au maximum + les 7 derniers instantanés pré-déploiement
Contrôle d'accès
- AuthentificationHachage des mots de passe PBKDF2/Argon2 + MFA TOTP (django_otp) + SSO SAML (Enterprise)
- AutorisationIsolation des tenants au niveau des lignes via TenantAwareManager (1 318 lignes de tests d'isolation dédiés)
- Piste d'auditAuditLog en ajout seul, immuable au niveau de la base de données (conservation minimale de 10 ans pour les lignes relevant du règlement sur l'IA)
Sécurité applicative
- Analyses de sécurité automatiséesLes analyses de conteneurs et de dépendances s'exécutent à chaque exécution du pipeline ; une analyse dynamique s'exécute chaque semaine
- Analyse des secretsChaque commit est contrôlé à la recherche d'identifiants avant d'être accepté (gate pré-commit detect-secrets)
- Gestion des dépendancesMises à jour automatiques des dépendances sur un fichier de verrouillage figé et reproductible
Exploitation
- Réponse aux incidentsRunbook documenté (docs/deploy-recovery.md) + engagement de notification des violations sous 72 h dans le DPA §6.6
- Gouvernance des sous-traitants ultérieursPréavis de 30 jours avant toute modification des sous-traitants ultérieurs, avec droit d'opposition documenté (DPA §6.3)
- HébergementUniquement des centres de données dans l'UE, en Allemagne et en Finlande
Sous-traitants ultérieurs
Préavis de 30 jours avant toute modification, engagé dans la DPA §6.3. Les tenants peuvent s'y opposer pendant le préavis; les oppositions non résolues entraînent la fin du traitement concerné.
| Sous-traitant ultérieur | Finalité | Localisation | Mécanisme de transfert |
|---|---|---|---|
| Hetzner Online GmbH | Hébergement principal (UE) | Helsinki, Finlande — Hetzner Online GmbH (Allemagne) | Natif RGPD (intra-EEE) |
| Anthropic, PBC | Fournisseur LLM (offre avec clé propre) | États-Unis | Clauses contractuelles types (CCT), module 2 |
| OpenAI, OpCo, LLC | Fournisseur LLM (offre avec clé propre) | États-Unis | Clauses contractuelles types (CCT), module 2 |
| Brevo SAS | E-mails transactionnels | France | Natif RGPD (intra-EEE) |
| Functional Software, Inc. (Sentry) | Suivi des erreurs | États-Unis | Clauses contractuelles types (CCT), module 2 |
Divulgation des vulnérabilités
Nous suivons RFC 9116. Le contact machine-lisible et les métadonnées de chiffrement sont publiés à /.well-known/security.txt. Divulgation coordonnée: signalez à ip@landingred.com; nous accusons réception sous 24 heures.
/.well-known/security.txtContact
Pour les questions liées aux achats, aux DPA ou à la sécurité: privacy@landingred.com. Pour le signalement de vulnérabilités, consultez la section dédiée ci-dessous et notre point d'accès RFC 9116 /.well-known/security.txt.
Écrivez-nous