Annexe de sécurité

Cette annexe décrit les mesures appliquées au service Nerira. Elle complète les conditions générales et l'accord de traitement des données sans constituer un engagement de niveau de service chiffré.

• responsable : Adrien Gaillet, exploitant de Nerira ;
• contact sécurité et vie privée : contact@nerira.com (security@nerira.com et privacy@nerira.com redirigent vers la même boîte) ;
• environnements de développement, test et production séparés ;
• données réelles interdites dans les environnements de démonstration et test.

• authentification centralisée sans mot de passe (lien ou code à usage unique) ;
• contrôle des rôles et permissions par organisation ;
• moindre privilège pour les opérations internes ;
• MFA de niveau AAL2 pour les opérations sensibles de la plateforme ;
• validation à double contrôle pour les actions plateforme prévues à cet effet ;
• révocation des accès et jetons lors d’un départ ou d’un incident ;
• revue des accès privilégiés chaque trimestre et avant chaque lancement majeur, consignée dans le journal d’exploitation.

• chaque donnée métier est rattachée à son organisation et, lorsque nécessaire, à son établissement ;
• politiques PostgreSQL RLS et FORCE RLS sur les périmètres critiques ;
• contrôles d’autorisation côté serveur en complément du masquage de l’interface ;
• clés de service réservées au backend et protégées par des garde-fous ;
• tests automatisés d’isolation, de rôles et de refus d’accès direct.

• TLS pour les communications publiques ;
• chiffrement au repos fourni par les plateformes d’hébergement selon leurs conditions et configurations en vigueur ;
• secrets stockés dans les coffres des plateformes, hors du dépôt source ;
• environnements et identifiants de production séparés ;
• rotation immédiate en cas de suspicion de compromission ou de départ d’une personne habilitée, et rotation préventive annuelle des secrets de production.

• journaux d’audit organisation et plateforme pour les actions sensibles ;
• journalisation des tâches planifiées avec identifiant, état, résumé et erreur ;
• suivi des webhooks, paiements, files de notification et échecs de fournisseur ;
• collecte d’erreurs applicatives dans Sentry (Union européenne, Francfort, rapports assainis) ;
• contrôles de fraîcheur des tâches de 15 minutes, horaires, quotidiennes et hebdomadaires ;
• conservation selon la politique de rétention : journaux d’audit des organisations 2 ans, journaux techniques 90 jours, audit plateforme 36 mois.

• revue du code et contrôles automatisés de typage, lint, tests et construction ;
• audits des accès privilégiés, fonctions SECURITY DEFINER et politiques RLS ;
• surveillance des dépendances et mises à jour de sécurité ;
• migrations versionnées et stratégie corrective sans réécriture destructive de l’historique appliqué ;
• objectifs internes de correction, non contractuels : vulnérabilité critique sous 72 heures, élevée sous 7 jours, moyenne sous 30 jours. Aucun délai contractuel n’est promis tant que l’équipe se limite à une personne.

• sauvegardes quotidiennes de production assurées par le plan d’hébergement Supabase (projet en région Paris) ; récupération ponctuelle dans le temps non activée à date ;
• procédure documentée de sauvegarde avant migration et de retour arrière Vercel ;
• exercice local de restauration automatisé et contrôlé ;
• exercice de restauration d’une sauvegarde managée dans un projet isolé requis avant lancement commercial ;
• objets Storage (signatures de bons de livraison, images) : sauvegarde séparée à mettre en place avant l’activation des pièces jointes de support ;
• objectifs de reprise indicatifs et non contractuels : perte de données maximale visée de 24 heures, délai de reprise selon les meilleurs efforts, à réviser après l’exercice de restauration managée.

• qualification, confinement, correction, restauration et retour d’expérience ;
• conservation des preuves utiles et inscription au registre d’incidents ;
• information du Client sans retard injustifié et au plus tard 48 heures après la prise de connaissance d’une violation affectant les données traitées pour son compte, avec les informations disponibles et des mises à jour progressives ;
• assistance au Client pour satisfaire ses obligations réglementaires ;
• canal d’alerte : contact@nerira.com, traité par l’exploitant ; aucune astreinte contractuelle n’est promise.

• registre des sous-traitants tenu à jour, disponible sur demande, avec les régions de chaque fournisseur (Supabase Paris, Vercel Paris, Resend Irlande, Upstash et Sentry Francfort) ;
• DPA archivés pour chaque fournisseur ; mécanismes de transfert documentés (certification Data Privacy Framework ou clauses contractuelles types) ;
• changements traités selon la procédure de l'accord de traitement des données (préavis de 30 jours, objection pour motif légitime).

• minimisation des données collectées ;
• exports et demandes de droits encadrés par des procédures documentées et intégrées au produit ;
• legal holds empêchant une purge incompatible avec un litige ou une obligation ;
• purge automatique maintenue en simulation tant que les durées ne sont pas validées juridiquement et comptablement ;
• restitution pendant 30 jours après la fin du contrat, suppression sous trois mois, conformément à l'accord de traitement des données et à la politique de conservation.

Nerira tient à disposition du Client les informations raisonnablement nécessaires pour démontrer le respect de l’article 28 du RGPD. Les audits du Client suivent l’article 13 de l'accord de traitement des données : documentation d’abord, puis au plus un audit par période de douze mois sauf violation avérée, sur préavis de 30 jours, par un auditeur indépendant tenu à la confidentialité, aux frais du Client, sans accès aux données d’autres clients ni aux environnements de production partagés.

Cette annexe est revue lors d’un changement majeur de l’architecture, d’un incident significatif et au minimum une fois par an.

• CNIL, sécurité et sous-traitance : https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
• CNIL, bonnes pratiques responsable et sous-traitant : https://www.cnil.fr/fr/responsable-de-traitement-et-sous-traitant-6-bonnes-pratiques-pour-respecter-les-donnees
• CNIL, article 28 du RGPD : https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4