Sécurité & confidentialité technique

• Application web : Vercel (région cdg1 — Paris, France).
• Base de données : Supabase / PostgreSQL (région eu-central-1 — Frankfurt, Allemagne).
• Stockage des fichiers (rapports PDF, logos partenaires) : Supabase Storage (Frankfurt).
• Analytics interne : Umami self-hosted (Vercel Paris + Neon Frankfurt) + Vercel Web Analytics — 100 % cookieless.
• Email : Resend (Frankfurt) + Zoho Mail (Paris). Aucun service Gmail/Outlook.

→ Aucune donnée client n'est transférée hors UE. Pas besoin de DPF, pas besoin de CCT.

• En transit : TLS 1.3 obligatoire (HSTS activé via Vercel, certificat Let's Encrypt renouvelé automatiquement).
• Au repos (PostgreSQL) : chiffrement AES-256 natif Supabase.
• Storage (PDF/logos) : chiffrement AES-256 + URLs signées avec expiration courte (1h pour les rapports).
• Mots de passe utilisateurs : hashage bcrypt via Supabase Auth.

• Row-Level Security (RLS) activée sur toutes les tables Supabase. Un utilisateur ne peut accéder qu'à ses propres données.
• Service role admin utilisé uniquement côté serveur (jamais exposé au navigateur).
• Aucun accès humain direct à la base : tout passe par l'application.
• Logs Vercel : conservés 30 jours, contiennent uniquement métadonnées techniques (pas de contenu utilisateur).

• Rapports d'audit : 12 mois après livraison, puis suppression automatique.
• Données de compte : actives tant que le compte existe + 30 jours après demande de suppression.
• Logs scans : 30 jours puis purge.
• Données de facturation : 10 ans (obligation légale comptable française).

• ❌ Aucune revente de données à des tiers.
• ❌ Aucun cookie publicitaire, aucun pixel tiers, aucun retargeting.
• ❌ Aucune intégration avec Google Analytics, Meta Pixel, ou outils de tracking.
• ❌ Aucune utilisation des contenus de rapports clients pour entraîner un modèle IA.
• ❌ Aucun partage des données avec un LLM externe en mode standard (notre sous-traitant IA opère en mode Zero Data Retention — voir ci-dessous).

Les rapports d'audit sont générés via un sous-traitant IA en mode Zero Data Retention (ZDR). Concrètement :

• 0 jour de rétention : les données envoyées au modèle sont supprimées dès la fin de la requête (vs 30 jours par défaut).
• Aucun entraînement : nos données ne sont jamais réutilisées pour entraîner ou améliorer le modèle.
• SOC 2 Type II : le sous-traitant est certifié sur les contrôles de sécurité.
• Transfert UE → US encadré par le Data Privacy Framework (sous-traitant certifié DPF).

L'identité précise du sous-traitant IA est listée dans notre politique de confidentialité (obligation RGPD Art. 13).

Soyons transparents : la génération des rapports repose sur un modèle d'IA tiers accessible par API. Comme tout service bâti sur un LLM, cela crée une dépendance que nous assumons et encadrons — au-delà de la seule protection des données.

• Risque identifié : une suspension d'accès au modèle (panne, décision réglementaire, contrôle des exportations) pourrait interrompre la génération des rapports.
• Réversibilité : notre chaîne de génération est conçue pour pouvoir basculer vers un modèle de substitution équivalent, y compris un modèle souverain européen, afin d'assurer la continuité.
• SLA protégé : en cas d'indisponibilité d'un sous-traitant, le délai de livraison 24 h est suspendu (cf. CGV Art. 5 & 12) — vous n'êtes jamais facturé pour un service non rendu.
• Information client : cette dépendance est documentée dans nos CGV (Art. 12.2) et notre politique de confidentialité.

Aucune donnée de rapport n'est conservée par le modèle (mode Zero Data Retention, voir ci-dessus) : un changement de fournisseur n'expose donc aucun historique client.

• Service indépendant : pas d'investisseurs, pas de VC. Je décide seule de la roadmap et des engagements.
• Pas d'acquisition prévue : pas de scénario où vos données seraient transférées à un nouveau propriétaire.
• Réponse personnelle à chaque email envoyé à contact@scanrgpd.fr — sous 24h ouvrées.
• Pas de chatbot IA au support : c'est moi qui réponds.

Si une violation de données est constatée :

1. Notification CNIL sous 72h (Art. 33 RGPD).
2. Notification individuelle aux clients concernés sous 72h si risque élevé (Art. 34).
3. Publication d'un post-mortem public sur ce site (avec délai si enquête CNIL en cours).

Vous représentez une agence ou un grand compte et vous voulez auditer la sécurité de ScanRGPD avant de signer ? Demandez la documentation détaillée (architecture, DPA, certificats) à contact@scanrgpd.fr — je vous l'envoie sous 48h.