Comment nous traitons votre code et vos données
Tout ce dont vos équipes sécurité, protection des données et achats ont besoin pour évaluer CRYPTAGION, au même endroit. S’il vous manque quelque chose, demandez-le ci-dessous : nous répondons sous un jour ouvré.
Où votre code est traité
CRYPTAGION s’utilise de deux façons, qui ne traitent pas votre code source de la même manière. Nous décrivons clairement les deux pour que votre revue porte sur celle que vous utiliserez.
Votre code ne quitte jamais votre périmètre
- S’exécute sur vos serveurs, en ligne de commande, dans votre CI/CD, ou entièrement hors ligne (isolé).
- Analyse statique, lecture des certificats, handshakes TLS, score de risque, CBOM et rapport : tout s’exécute localement.
- Votre code source ne nous est jamais envoyé. Seuls des résultats agrégés sont produits.
- La synthèse pour la direction, facultative, peut appeler un modèle de langage souverain européen de votre choix, ou fonctionner en mode hors ligne déterministe, sans aucun appel externe.
Nous lançons l’analyse pour vous, en France
- Chaque prestation dispose d’une machine virtuelle dédiée, sur un serveur dédié que nous louons à OVHcloud à Gravelines (France). Les VM ne sont jamais partagées entre clients.
- Aucune donnée client n’est transférée ni traitée hors de l’Espace économique européen.
- Vous choisissez comment le code nous parvient : une clé de déploiement en lecture seule sur un miroir que vous contrôlez, un transfert ponctuel à accès temporaire, ou une analyse en partage d’écran où vous suivez chaque commande.
- Les livrables sont déposés à l’emplacement de votre choix, avec leurs empreintes SHA-256.
- Dans les 7 jours suivant la clôture, la VM est détruite et vous recevez un certificat de destruction des données signé.
Les démos sont encore différentes : nous n’analysons que des dépôts publics, donc une démo n’implique jamais votre code.
Contrôles de sécurité des prestations
Ces contrôles s’appliquent à l’infrastructure qui traite le code client pendant une prestation de découverte. Le détail complet figure dans le document de posture de sécurité (PDF, en anglais).
| Domaine | Contrôle |
|---|---|
| Accès | Authentification SSH par clé publique uniquement, mots de passe désactivés. Pare-feu refusant tout par défaut et Fail2ban sur l’hôte. Double authentification TOTP sur la console de l’hyperviseur. |
| Personnes | Seul le responsable de la prestation a accès aux VM clients, sans identifiants partagés. Vous êtes prévenu par écrit sous 5 jours ouvrés de tout changement des personnes ayant accès à vos données. |
| Chiffrement en transit | SSH et SFTP limités aux suites modernes (AES-256-GCM, ChaCha20-Poly1305). 3DES, RC4, MD5 et SHA-1 sont désactivés. |
| Chiffrement au repos | Chiffrement intégral du disque de la VM (LUKS) sur demande, et par défaut pour les prestations impliquant des données personnelles réglementées. |
| Correctifs | Mises à jour de sécurité automatiques quotidiennes sur l’hôte. Les VM clients sont créées à partir d’un modèle à jour. Les dépendances du produit sont figées et revues à chaque version. Scan de vulnérabilités trimestriel de l’hôte. |
| Traçabilité | Chaque création et destruction de VM est journalisée avec l’horodatage et la référence client, conservée 90 jours. |
| Intégrité des livrables | Les CBOM sont validés contre le schéma JSON officiel CycloneDX 1.6 avant livraison. Voir un exemple publié avec son enregistrement de validation (en anglais). |
Sous-traitants
Pour les données des prestations clients
| Prestataire | Finalité | Localisation |
|---|---|---|
| OVH SAS | Serveur dédié hébergeant les VM des prestations | Gravelines, France |
Il n’y a aucun autre sous-traitant pour le code client ou les livrables. Quand vous utilisez le produit vous-même, nous ne traitons aucune de vos données.
Pour ce site web
Les données des visiteurs sont traitées par Vercel (hébergement), Brevo (acheminement des formulaires), Microsoft 365 (messagerie) et, uniquement si vous acceptez les statistiques, Google Analytics et Microsoft Clarity. La liste complète, les finalités et les garanties de transfert figurent dans notre politique de confidentialité et notre politique cookies.
Contrats
Chaque prestation est encadrée par trois documents, signés avant tout travail technique. Les modèles sont disponibles avant tout engagement.
Incidents et divulgation de vulnérabilités
- Nous prévenons votre DPO ou votre contact sécurité désigné dans les 48 heures après avoir pris connaissance d’un incident susceptible de concerner vos données.
- Nous participons à votre réponse à incident, y compris par une copie forensique de la VM concernée si nécessaire.
- Aucune communication publique sur un incident touchant vos données sans votre accord écrit.
- Écrivez à security@cryptagion.io.
- Nous accusons réception sous 5 jours ouvrés et pratiquons la divulgation coordonnée, sans poursuites pour la recherche de bonne foi.
- Politique lisible par machine : /.well-known/security.txt.
Demander des documents
Le document de posture de sécurité est public : téléchargez-le (PDF, en anglais). Pour les modèles de contrats, votre questionnaire de sécurité ou un échange avec le responsable de la prestation, dites-nous ce qu’il vous faut.
Merci. Nous répondons sous un jour ouvré.
Vous recevrez un e-mail de contact@cryptagion.io avec les documents ou une proposition de créneau.