LAMFRANDigital
Contact

Sécurité et confidentialité

Ce qui est en place, et ce qui ne l’est pas encore.

La sécurité se juge sur des faits. Cette page liste nos mesures domaine par domaine, en distinguant celles qui fonctionnent aujourd’hui sur nos services en production (ce site et Kazely) de nos engagements.

En place
29 mesures
Engagement
9 objectifs
Certification
aucune revendiquée
01

Protection des données dès la conception

Chaque fonctionnalité commence par la même question : de quelles données a-t-elle réellement besoin, et qui doit pouvoir les lire ?

  • Données personnelles de chaque traitement identifiées et documentées dans le registreEn place
  • Nouvelles fonctions sensibles livrées désactivées, activées après tests et validationEn place
  • Analyse des données personnelles systématique avant chaque nouvelle fonctionnalitéEngagement
  • Ce site : aucun cookie, aucun traceur, aucune police ni script chargés depuis un tiersEn place
  • Analyse d’impact (AIPD) lorsque le traitement l’exigeEngagement
02

RGPD

La conformité se lit dans le produit : ce qui est écrit dans la politique de confidentialité correspond à ce que fait le code.

  • Registre des traitements tenu à jourEn place
  • Export et suppression de compte depuis l’application KazelyEn place
  • Sous-traitants déclarés avant l’activation de toute fonction qui les utiliseEn place
  • Réponse aux demandes d’exercice des droits sous un moisEngagement
03

Chiffrement des données

Les données les plus sensibles ne sont jamais stockées en clair, même sur nos propres serveurs.

  • Données de santé et documents de Kazely chiffrés en AES-256-GCM sur nos serveursEn place
  • Mots de passe hachés (bcrypt), jamais stockés ni journalisés en clairEn place
  • Secrets des services tiers chiffrés en base, jamais renvoyés à l’applicationEn place
  • Rotation planifiée des clés de chiffrementEngagement
04

Sécurisation des échanges

Tout transite chiffré, et le navigateur reçoit des consignes strictes sur ce qu’il peut charger.

  • HTTPS obligatoire (TLS 1.2 et 1.3), redirection systématique depuis HTTPEn place
  • HSTS sur les domaines en productionEn place
  • Politique de sécurité du contenu (CSP) stricte, sans script inline sur ce siteEn place
  • Certificats renouvelés automatiquementEn place
05

Gestion des accès et authentification

Un mot de passe seul ne suffit pas, et chaque droit est vérifié par le serveur, pas par l’interface.

  • Double authentification : codes TOTP, clés de sécurité et passkeys (WebAuthn), codes de secoursEn place
  • Confirmation d’identité avant d’ajouter ou de retirer un facteurEn place
  • Limitation des tentatives et du débit sur les routes sensiblesEn place
  • Revue périodique des comptes d’administrationEngagement
06

Protection des infrastructures

Le serveur n’expose que ce qui doit l’être ; le reste n’écoute que sur le réseau interne.

  • Pare-feu en refus par défaut, seuls HTTP, HTTPS et SSH ouvertsEn place
  • SSH par clé uniquement, protection contre les tentatives répétéesEn place
  • Services en conteneurs isolés, joignables seulement par le reverse proxyEn place
  • Mises à jour de sécurité du système appliquées automatiquementEn place
07

Sauvegardes et continuité de service

Une sauvegarde ne compte que si l’on sait la restaurer.

  • Sauvegarde quotidienne de la base et des fichiersEn place
  • Copie chiffrée (GPG) conservée hors du serveur de productionEn place
  • Procédure de restauration écriteEn place
  • Test de restauration complet chaque trimestreEngagement
08

Minimisation des données

La donnée la mieux protégée est celle que l’on ne collecte pas.

  • Formulaire de contact de ce site : message transmis par e-mail, rien n’est stocké en baseEn place
  • Journaux d’accès de ce site avec adresses IP tronquéesEn place
  • Durées de conservation fixées et publiées pour chaque traitementEn place
  • Purge automatique en fin de durée de conservation pour tous les traitementsEngagement
09

Gestion des vulnérabilités et mises à jour

Une faille se corrige vite quand la chaîne de livraison est fiable.

  • Dépendances à versions figées, auditées automatiquement à chaque modificationEn place
  • Tests automatisés obligatoires : un échec bloque le déploiementEn place
  • Revue de sécurité interne du code avant l’ouverture de Kazely (octobre 2026)En place
  • Revue de sécurité systématique avant chaque mise en production importanteEngagement
  • Correctifs de sécurité critiques déployés sous 72 heuresEngagement

Transparence

Ce que nous ne revendiquons pas

  • Aucune certification (ISO/IEC 27001, HDS, SecNumCloud ou autre) n’est revendiquée.
  • Aucun audit de sécurité externe n’a été réalisé à ce jour : nos revues sont internes.
  • Nos audits sont des revues techniques : nous ne sommes pas prestataire d’audit qualifié (PASSI) par l’ANSSI.
  • Les mesures marquées « Engagement » sont des objectifs que nous nous fixons, pas encore systématiques.

Vous avez trouvé une faille ? Les coordonnées de signalement sont publiées dans le fichier security.txt. Nous répondons à chaque signalement et ne poursuivons pas une recherche menée de bonne foi.

Un projet qui manipule des données sensibles ?

Décrivez-nous votre besoin en quelques lignes. Nous revenons vers vous avec une première analyse, sans engagement.

Parler de votre projet