Sécurité et protection des données

L'application web est hébergée par Vercel dans la région cdg1 (Paris, France). Toutes les données métier sont stockées dans une instance PostgreSQL Supabase localisée dans la région AWS eu-west-3 (Paris, France).

Aucune donnée client n'est stockée durablement chez Vercel : les serveurs edge exécutent le code et transmettent les requêtes vers Supabase. Les deux prestataires sont des sociétés de droit américain, mais les données restent physiquement en Union européenne. Les accès techniques ponctuels depuis les États-Unis sont encadrés par les Clauses Contractuelles Types (CCT) de la Commission européenne et par les Data Processing Agreements (DPA) signés avec chaque prestataire.

En transit : toutes les connexions au service utilisent HTTPS avec TLS 1.2+ (négocié par Vercel). Le header HSTS est configuré sur 2 ans avec préchargement navigateur, ce qui signifie que même en tapant http://capimap.fr, aucun navigateur moderne ne se connectera en clair. Les cookies de session ne peuvent pas être interceptés.

Au repos : les données sont chiffrées au niveau de l'infrastructure Supabase (AES-256, TDE). Un chiffrement applicatif complémentaire des champs les plus sensibles des organigrammes est prévu (roadmap).

Le cœur de la protection repose sur les Row Level Security policies de PostgreSQL. Chaque requête SQL est filtrée par le moteur de base de données selon l'identité du demandeur : il est techniquement impossible pour un utilisateur d'accéder aux données d'un autre, même en cas de bug applicatif.

L'authentification est déléguée à Supabase Auth. Les mots de passe font 12 caractères minimum avec exigences de complexité. Les endpoints sensibles sont protégés par rate limiting anti-brute-force.

Sauvegardes quotidiennes automatiques avec rétention de 7 jours (plan Supabase actuel). Aucune procédure de restauration ne peut être déclenchée à la demande d'un tiers : elle nécessite une action manuelle de l'éditeur.

Les actions sensibles sont enregistrées dans un journal d'audit. Le logger applicatif masque automatiquement en production les mots de passe, jetons, emails et secrets, pour éviter toute fuite involontaire par les logs eux-mêmes.

Tous les headers de sécurité recommandés par l'OWASP sont configurés : HSTS, X-Frame-Options, X-Content-Type-Options, X-XSS-Protection, Referrer-Policy, Permissions-Policy, et une Content Security Policy en mode surveillance active.

CapiMap s'appuie sur les prestataires ci-dessous au sens de l'article 28 du RGPD. Chaque relation est encadrée par un DPA et, lorsque applicable, par les Clauses Contractuelles Types de la Commission européenne. Cette liste est mise à jour avant tout nouvel appel en production.

Le cadre juridique complet des traitements (bases légales, droits, durées de conservation) figure dans la politique de confidentialité. Les 8 droits RGPD (accès, rectification, effacement, limitation, portabilité, opposition, retrait du consentement, réclamation) sont exerçables sur simple demande à contact.capimap@gmail.com.

Aucun délégué à la protection des données n'a été désigné, cette désignation n'étant pas obligatoire au sens de l'article 37 du RGPD au regard de la nature et du volume actuels des traitements. L'autorité de contrôle compétente est la CNIL.

En cas de violation de données à caractère personnel avérée, l'éditeur s'engage à notifier la CNIL sous 72 heures à compter de la prise de connaissance (art. 33 RGPD). Les personnes concernées sont informées si l'incident est susceptible d'engendrer un risque élevé pour leurs droits et libertés (art. 34).

Un compte rendu factuel est publié sur cette page dans un délai raisonnable après résolution.

Si vous découvrez une vulnérabilité de sécurité, contactez l'éditeur à contact.capimap@gmail.com en précisant la description, les étapes de reproduction, l'impact estimé et vos coordonnées de retour.

Engagement de l'éditeur : accusé de réception sous 48 heures ouvrées. Aucune poursuite contre les personnes agissant de bonne foi et respectant les principes d'une divulgation responsable (pas d'exfiltration de données, pas d'atteinte à la disponibilité, pas de publication avant correctif).

Ces éléments sont des objectifs de l'éditeur, pas des engagements ni des certifications actuelles. Ils sont listés ici par transparence.