Confidentialité et sécurité dès la conception
Modélisation des menaces, minimisation des données et revue de sécurité font partie de la conception des fonctionnalités, pas d’une phase après coup.
Centre de confiance
Sécurité, RGPD et localisation des données : ce que nous affirmons, et quand.
WidinX traite des données produit que les entreprises jugent sensibles. Cette page dit clairement comment nous les protégeons, où elles sont hébergées (l’hébergement en UE est disponible), comment nous appliquons le RGPD et quelles preuves indépendantes sont en cours.
Dernière mise à jour 2026-09-05
En bref
- HébergementRégion UE, un seul cloud
- ChiffrementEn transit et au repos
- Données personnelles sur la blockchainJamais
- Test d’intrusion indépendantDéc. 2026
- ISO/IEC 27001Objectif S1 2027
- DPADisponible sur demande
Engagements
Cinq engagements auxquels vous pouvez nous tenir.
Hébergement des données en UE disponible
La production tourne dans l’UE chez un seul fournisseur cloud. Chaque client dispose d’une région principale et d’une région de secours, définies comme paramètre métier.
Chiffrement en transit et au repos
TLS pour tout le trafic, bases de données, stockage objet et sauvegardes chiffrés, clés gérées par le KMS du fournisseur cloud.
Accès par rôles
Rôles au moindre privilège, MFA pour les comptes à privilèges, revues d’accès périodiques ; SSO/SAML prévu pour les clients grands comptes.
Auditabilité
Journaux d’audit qui rendent toute altération détectable pour les actions sensibles, passeports versionnés et signatures vérifiables avec les clés publiées.
Principes d’architecture
Conçu pour que la réponse à « où sont mes données ? » soit courte.
Aucune donnée personnelle dans les passeports publics
Les passeports publics ne contiennent que des données produit. Les données personnelles et les documents restreints restent derrière une connexion, dans votre espace de données autorisé.
Isolation des clients
Les clients sont isolés logiquement, et cette isolation est couverte par des tests automatisés. Des déploiements dédiés sont possibles pour des besoins spécifiques.
Des sauvegardes restaurables
Sauvegardes chiffrées avec des objectifs RPO/RTO définis et des exercices de restauration planifiés avant l’arrivée des clients en production.
Usage transparent de l’IA
Chaque modèle, fournisseur, catégorie de données, région et durée de conservation est inventorié. Aucune donnée client ne sert à entraîner des modèles tiers.
Développement sécurisé
Analyse statique, analyse des dépendances et détection de secrets en CI, modifications relues et processus documenté de correctifs et de gestion des vulnérabilités.
Réponse aux incidents
Un processus de réponse documenté, avec des engagements de notification des clients et un contact sécurité dédié.
Feuille de route d’assurance
Des preuves indépendantes, selon un calendrier public.
Nous publions le plan plutôt qu’un badge que nous n’avons pas obtenu. Les dates sont des objectifs et seront mises à jour ici à chaque étape franchie.
Ce que nous n’affirmons pas
- Nous ne sommes pas encore certifiés ISO/IEC 27001. La certification est visée pour le premier semestre 2027 (voir la feuille de route).
- Nous ne nous présentons pas comme « certifiés RGPD ». La conformité au RGPD est une obligation permanente que nous appliquons, pas un badge.
- Nous n’avons pas réalisé d’examen SOC 2. Nous l’envisagerons si nos clients l’exigent.
- Sept. 2026Fait
Centre de confiance v0 et mentions d’information
Cette page, notre politique de confidentialité et nos pratiques de données sur le site publiées.
- Oct. 2026En cours
Socle de sécurité
MFA et contrôle des accès à privilèges, processus de réponse aux incidents et contact sécurité en place.
- Nov. 2026Prévu
Dossier sécurité pour les ventes
DPA v1, liste des sous-traitants ultérieurs et réponses types aux questionnaires de sécurité mis à disposition des prospects.
- Déc. 2026Prévu
Test d’intrusion indépendant
Web, API, authentification et isolation des clients testés par un cabinet indépendant ; failles critiques et élevées corrigées.
- Janv. 2027Prévu
Revue de mise en production du premier client
Localisation des données, restauration, supervision et contrôles d’accueil des nouveaux clients revus avant le premier client en production.
- S1 2027Prévu
Certification ISO/IEC 27001:2022
Système de management de la sécurité de l’information audité sur un périmètre défini couvrant la plateforme, le cloud, le développement et le support.
Traitement des données
Rôles, contrats et sous-traitants ultérieurs.
Responsable du traitement / sous-traitant
Pour les données produit et chaîne d’approvisionnement que vous chargez, WidinX agit en sous-traitant sur vos instructions. Pour les données du site et des comptes, WidinX est responsable du traitement — voir la politique de confidentialité.
Accord de traitement des données (DPA)
Un DPA, intégrant les clauses contractuelles types lorsque c’est nécessaire, est fourni aux clients sur demande.
Sous-traitants ultérieurs
Hébergement cloud (région UE), e-mails transactionnels, CRM, supervision et un fournisseur de modèles d’IA (utilisé seulement si vous activez l’assistant). La liste nominative est fournie avec le DPA et tenue à jour.
Transferts internationaux
Les données clients sont hébergées dans l’UE. Lorsqu’un sous-traitant ultérieur opère hors de l’EEE, les transferts reposent sur des mécanismes approuvés et sont documentés.
Besoin de notre DPA, de la liste des sous-traitants ultérieurs ou de réponses à un questionnaire de sécurité ?
Demander le dossier sécurité
Divulgation responsable
Vous avez trouvé une faille ? Dites-le-nous.
Si vous pensez avoir découvert une vulnérabilité de sécurité dans WidinX, écrivez à notre équipe sécurité. Nous accusons réception sous trois jours ouvrés, vous tenons informé et n’engageons aucune poursuite contre les chercheurs de bonne foi.