Sécurité et confiance
Vos documentssont des coffres.
Chiffrés en transit, chiffrés au repos, chiffrés de bout en bout quand il le faut. Hébergés en France, hors de portée du Cloud Act. Voici, en détail, comment nous protégeons ce que vous nous confiez.
Six couches, aucune suffisante seule.
Partout, tout le temps
TLS 1.3 pour chaque échange, AES-256 pour chaque fichier stocké, clés de signature protégées dans un service de gestion de clés dédié.
Chiffré (Vault)
Pour les documents sensibles, chiffrement dans le navigateur : nous ne détenons ni la clé, ni le contenu en clair.
En France
Infrastructure OVHcloud dans des centres de données français. Vos documents ne quittent pas l'Union européenne.
Moindre privilège
Connexion Google, double authentification, rôles fins par workspace. Côté équipe, accès nominatifs, limités et journalisés.
Sauvegardes
Base de données sauvegardée à chaque mise en production, documents chiffrés sur le stockage redondant d'OVHcloud, retour arrière immédiat.
Contrôles continus
Tests d'intrusion, revues de code et contrôles de sécurité automatiques à chaque livraison : secrets, dépendances, cloisonnement des demandes chiffrées (Vault). ISO 27001 : démarche engagée.
Le Cloud Act ne passe pas par ici.
La loi américaine de 2018, dite Cloud Act, permet aux autorités des États-Unis d'exiger les données détenues par une entreprise américaine, même lorsqu'elles sont stockées en Europe. C'est pourquoi aucun fournisseur soumis à cette loi n'a accès au contenu de vos documents.
- Infrastructure : OVHcloud, société française
- Intelligence artificielle : Mistral AI, modèles européens
- Liste des sous-traitants communiquée sur simple demande
Une preuve qu'on ne peut pas réécrire.
La sécurité d'une signature électronique, c'est aussi l'inaltérabilité de sa preuve. Chaque document signé est scellé au format PAdES, horodaté par une autorité tierce, et son journal d'événements est figé dans le dossier de preuve.
- Empreinte SHA-256 de chaque document
- Horodatage RFC 3161 par une autorité de temps tierce
- Conservation des preuves pendant 10 ans
Les textes, et ce que nous en faisons.
Règlement 910/2014
Signatures simples et avancées conformes ; signature qualifiée bientôt, avec un prestataire de confiance qualifié.
Sous-traitant art. 28
Accord de traitement des données, registre, analyse d'impact, délégué à la protection des données.
Politique publique
Durées définies par type de donnée, purge automatique et vérifiable.
RGAA
Parcours de signature accessible au clavier et aux lecteurs d'écran.
Vous avez trouvé une faille ?
Écrivez-nous à contact@validature.com avec une description et les étapes de reproduction. Nous accusons réception sous 48 heures, vous tenons informé de la correction et vous remercions publiquement si vous le souhaitez.
- Ne consultez ni ne modifiez les données d'autres utilisateurs
- Laissez-nous un délai raisonnable avant toute publication
- Pas de test de déni de service ni d'ingénierie sociale
Pour votre questionnaire sécurité.
Oui. Envoyez-le à contact@validature.com ou via la page Contact ; nous y répondons avec notre documentation technique et organisons un échange si besoin.
Un nombre restreint de personnes habilitées, uniquement pour le support que vous avez demandé ou une obligation légale, avec journalisation. Pour les documents chiffrés (Vault) : personne, techniquement.
Nous suivons une procédure de gestion d'incident documentée. En cas de violation de données personnelles, vous êtes notifié dans les meilleurs délais, et au plus tard 48 heures après que nous en avons connaissance, pour vous permettre de respecter vos propres obligations (72 heures pour notifier la CNIL).
Non. Vos documents ne sont jamais utilisés pour entraîner un modèle, et les journaux de requêtes IA sont supprimés après 30 jours.
