Sécurité et Mesures Techniques & Organisationnelles

Dernière mise à jour : 20 mai 2026
Version : 1.0
Lien permanent vers cette version : bespokely.io/legal/security/v1.0

Cette page décrit les mesures techniques et organisationnelles ("TOMs") que Bespokely Inc. ("Bespokely") met en œuvre pour protéger les données personnelles traitées dans ses produits, conformément à l'Art. 32 RGPD et aux obligations équivalentes en vertu d'autres lois sur la protection des données.

Cette page s'applique à tous les produits exploités par Bespokely Inc. Lorsqu'un produit diffère matériellement de la base de la plateforme, cela est mentionné dans §13 Remarques spécifiques aux produits.

§1 Gouvernance de la sécurité de l'information

• Un programme de sécurité de l'information documenté, révisé au moins annuellement.
• Propriété de la sécurité au niveau du fondateur (Edgardo Romo, exécutif responsable).
• Politiques de sécurité couvrant : contrôle d'accès, utilisation acceptable, réponse aux incidents, gestion des fournisseurs, gestion des changements, continuité des activités.
• Tous les employés reconnaissent la politique de sécurité lors de leur embauche et à chaque mise à jour matérielle.

§2 Contrôle d'accès

§2.1 Identité et authentification

• Comptes individuels nommés pour chaque opérateur de Bespokely. Pas de credentials partagés.
• Authentification multi-facteurs obligatoire (TOTP minimum) pour tout accès administratif aux systèmes de production.
• Authentification unique via le fournisseur d'identité Bespokely pour tout opérateur ayant accès à la production.
• Les utilisateurs finaux authentifient via le système d'authentification du produit concerné (Supabase Auth), avec des mots de passe hachés bcrypt et un TOTP optionnel.

§2.2 Autorisation et moindre privilège

• Principe du besoin de savoir : l'accès aux données clients est accordé uniquement aux opérateurs qui en ont besoin pour une tâche spécifique.
• Contrôle d'accès basé sur les rôles au niveau de l'application.
• Politiques de sécurité au niveau des lignes (RLS) sur toutes les tables de base de données contenant des données personnelles.
• La clé service_role de Supabase est conservée uniquement dans des variables d'environnement côté serveur ; elle n'est jamais exposée aux bundles côté client.

§2.3 Processus d'intégration/mouvement/sortie

• Provisionnement par ticket contre le fournisseur d'identité.
• Revue d'accès trimestrielle par le responsable de la sécurité ; le personnel parti est retiré dans les 24 heures suivant le départ.

§3 Chiffrement des données

§3.1 Au repos

• Chiffrement AES-256 pour toutes les données clients stockées dans PostgreSQL, le stockage d'objets (Supabase Storage) et les sauvegardes.
• Sauvegardes de base de données chiffrées avec des clés gérées par le fournisseur ; rotation des clés selon la politique du fournisseur.
• Secrets sensibles (clés API, tokens OAuth, références de paiement) stockés dans des gestionnaires de secrets dédiés ou chiffrés au niveau des colonnes en utilisant pgsodium / pgcrypto.

§3.2 En transit

• TLS 1.2 minimum ; TLS 1.3 préféré. Les protocoles non sécurisés sont désactivés.
• HSTS activé sur tous les domaines accessibles aux clients.
• Les connexions à la base de données utilisent SSL avec sslmode=require minimum (verify-full préféré pour les connexions serveur-à-base de données).
• Les appels internes de service à service utilisent TLS terminé au niveau du service récepteur.

§4 Sécurité du réseau et de l'infrastructure

• Toute l'infrastructure fonctionne sur des fournisseurs gérés (Vercel, Supabase) avec leur posture de conformité sous-jacente (Vercel et Supabase s'appuient sur l'infrastructure AWS pour la région UE — AWS détient les certifications ISO 27001, SOC 2 Type II et d'autres).
• Protection DDoS à la périphérie via Vercel.
• Segmentation du réseau entre les environnements de production, de staging et de développement. Pas de bases de données partagées entre les environnements.
• Isolation des données par locataire : un projet Supabase par client pour les charges de travail de données clients.

§5 Sécurité des applications et cycle de vie du développement logiciel

• Tous les changements de code passent par une révision de demande de tirage.
• Analyse statique (linters, vérificateurs de type, analyse de dépendances) effectuée sur chaque changement.
• Dépendances suivies via des fichiers de verrouillage ; mises à jour examinées au moins mensuellement.
• Les déploiements en production sont immuables et versionnés ; le retour en arrière se fait en un clic.
• Les secrets ne sont jamais engagés dans le contrôle de version ; la détection de secrets avant engagement est activée.
• Les vulnérabilités Web sont atténuées par des protections au niveau du framework (tokens CSRF, encodage de sortie, requêtes paramétrées) et des protections au niveau de la plateforme (Vercel WAF, en-têtes CSP).

§6 Journalisation, surveillance et audit

• Le journal d'audit au niveau de l'application enregistre chaque mutation de données personnelles : acteur, horodatage, identifiant d'enregistrement, action. Les charges utiles du journal d'audit ne font référence qu'aux identifiants d'enregistrement — elles ne contiennent pas les données personnelles elles-mêmes.
• Journal d'audit de base de données activé au niveau de Supabase ; les requêtes des opérateurs contre les tables contenant des données personnelles sont enregistrées.
• Les journaux d'exécution de Vercel capturent les données au niveau des requêtes (adresse IP tronquée, horodatage, chemin, statut). Conservation : 30 jours.
• Sentry capture les erreurs d'application avec suppression des PII activée (les champs d'email et de texte libre sont masqués avant transmission).
• Les journaux d'audit sont conservés pendant 3 ans pour satisfaire à l'exigence de preuve de consentement de l'Art. 7 RGPD et aux besoins d'analyse judiciaire opérationnelle.

§7 Détection et réponse aux incidents

• Alertes 24×7 sur la disponibilité et les signaux de sécurité (pics d'échec d'authentification, volumes d'exportation de données inhabituels, pics d'erreurs).
• Plan de réponse aux incidents documenté avec classification de la gravité.
• Notification des clients : pour tout incident de sécurité confirmé affectant les données personnelles d'un client, Bespokely notifie le client (responsable) sans délai excessif et en tout état de cause dans les 24 heures suivant la confirmation. Cela est plus rapide que la fenêtre de 72 heures du responsable au DPA selon l'Art. 33 RGPD pour donner aux responsables un temps d'avance.
• Post-incident : rapport écrit dans les 14 jours, y compris les actions de remédiation et les mises à jour de la documentation de sécurité si applicable.

§8 Sauvegarde et continuité des activités

• Sauvegardes quotidiennes chiffrées de toutes les bases de données clients.
• Conservation des sauvegardes : 7 jours, avec récupération à un instant donné disponible dans cette fenêtre.
• Sauvegardes stockées dans la même région UE que les données principales (Francfort pour les produits de la région UE).
• Tests de restauration trimestriels pour au moins une base de données de production afin de valider la récupérabilité.
• Plan de reprise après sinistre documenté avec un RTO cible ≤ 4 heures et un RPO ≤ 24 heures pour les pannes régionales ; plus long pour les pannes à l'échelle de la région.

§9 Sécurité du personnel

• Vérifications des antécédents pour tous les opérateurs ayant accès à la production, sous réserve de la législation applicable.
• Obligations de confidentialité dans chaque contrat de travail et d'entrepreneur.
• Formation annuelle de sensibilisation à la sécurité, y compris simulation de phishing.
• Apport de votre propre appareil autorisé uniquement pour un accès non productif ; accès à la production uniquement à partir d'appareils gérés.

§10 Gestion des fournisseurs et des sous-traitants

• Chaque sous-traitant est soumis à un accord de traitement des données écrit qui inclut des clauses contractuelles types lorsque cela est applicable.
• Revue annuelle de la posture de sécurité de chaque sous-traitant et statut DPF / certification.
• Liste publique des sous-traitants maintenue à bespokely.io/legal/sub-processors, mise à jour avec un préavis de 30 jours des changements conformément au DPA client.
• Les clients conservent le droit de s'opposer à un nouveau sous-traitant.

§11 Localisation et souveraineté des données

• Les données clients pour les produits servant des clients de l'UE sont hébergées dans AWS eu-central-1 (Francfort, Allemagne).
• Pas de réplication multi-régionale des données clients en dehors de l'UE.
• Les sous-traitants d'inférence LLM (OpenAI, Anthropic) opèrent aux États-Unis et traitent les requêtes là-bas sous DPF / SCCs ; nous configurons ces fournisseurs pour se désinscrire de la formation sur le contenu client lorsque l'option existe.
• Les données de contenu client envoyées aux LLM sont minimisées et peuvent être masquées au niveau de l'application lorsque le cas d'utilisation le permet.

§12 Demandes des personnes concernées et assistance aux responsables

• Nous assistons les clients (responsables) dans l'exécution des demandes des personnes concernées en vertu des Art. 12–22 RGPD dans le SLA défini dans le DPA client (typiquement : réponse au responsable dans les 14 jours suivant la réception d'une demande routée).
• Nous fournissons aux responsables les outils nécessaires pour : exporter les données clients, supprimer des enregistrements sur demande et pseudonymiser des enregistrements lorsque la suppression n'est pas encore possible en raison des obligations de conservation légales du responsable.

§13 Remarques spécifiques aux produits

§14 Certifications et attestations

Les certifications suivantes sont détenues ou en cours. Lorsque Bespokely elle-même n'est pas encore certifiée, nous nous appuyons sur les certifications des fournisseurs d'infrastructure sous-jacents.

• AWS (infrastructure sous-jacente pour Vercel et Supabase région UE) : ISO 27001, ISO 27017, ISO 27018, SOC 1/2/3, PCI DSS Niveau 1, C5 (Allemagne).
• Vercel : SOC 2 Type II, ISO 27001.
• Supabase : SOC 2 Type II.
• Bespokely Inc. (direct) : SOC 2 Type II — en cours pour 2026 (prévu).

§15 Mises à jour de cette page

Les mises à jour matérielles sont versionnées (v1.0, v1.1, etc.) et notifiées aux clients actifs par email au moins 30 jours avant leur entrée en vigueur, sauf lorsqu'une mise à jour renforce (plutôt que relâche) une mesure, auquel cas elle entre en vigueur immédiatement et est notifiée dans les 30 jours suivant la publication.

Les versions précédentes sont conservées à bespokely.io/legal/security/v[VERSION].

Contact pour les questions de sécurité :
Bespokely Inc., 251 Little Falls Drive, Wilmington, DE 19808, USA · privacy@bespokely.io · +1 (512) 348-6588