Sécurité et données
Sécurité et données, sans promesse implicite.
Les mesures ci-dessous décrivent le périmètre actuellement documenté. Elles distinguent les contrôles actifs des éléments encore en feuille de route.
Architecture
Trois principes opérationnels.
Protection des flux. Minimisation des données. Traçabilité des analyses.
- Chiffrement des flux
- Les échanges HTTP externes sont protégés par TLS.
- Hébergement applicatif
- L’application et sa base sont hébergées chez OVHcloud.
- Rapports horodatés
- Chaque rapport est horodaté et accompagné d’une empreinte SHA-256, vérifiable en ligne via son QR code. Aucune purge automatique n’est appliquée à ce jour ; une suppression peut être demandée pour un rapport ou à la résiliation, sous réserve des obligations légales.
Données et rétention
Qu’est-ce qu’on stocke vraiment ?
Une vue documentée de ce qui entre, de ce qui sort et des règles de conservation applicables.
- Données d’entrée
- Nom de la contrepartie, identifiants publics (SIRET, RC, ICE), dirigeants éventuels. Les pièces d’identité et coordonnées bancaires ne sont pas requises pour une analyse standard : évitez de les transmettre dans les documents facultatifs.
- Sources externes
- Registres et listes officiels, données ouvertes et un service commercial d’accès aux registres, cités dans chaque rapport. Sources publiques et commerciales mobilisées selon le pays, leur disponibilité et le dossier (Pappers, INPI, BODACC, Bank Al-Maghrib, registre national des gels d’avoirs (DG Trésor), Union européenne, ONU, OFAC (SDN), Royaume-Uni, Suisse (SECO), Wikidata, presse, etc.). L’immatriculation OMPIC/DirectInfo n’est pas interrogée automatiquement et reste à confirmer séparément. Aucune revente des données de contrepartie. Les listes de gels et de sanctions sont mobilisées selon les instantanés locaux disponibles. La fiche distingue les listes interrogées et non interrogées. Une liste non interrogée ne prouve aucune absence de correspondance. Une réponse en cache reprend les résultats antérieurs ; la date de l’analyse ne vaut pas date de mise à jour de chaque liste.
- Rapports générés
- Hébergés dans l’infrastructure applicative avec accès authentifié. Le format public documenté est le PDF horodaté, accompagné de son QR code de vérification.
- Rétention
- Aucune purge automatique n’est appliquée à ce jour ; une suppression peut être demandée pour un rapport ou à la résiliation, sous réserve des obligations légales.
- IA et inférence
- La plupart des analyses font appel à un fournisseur de modèle d’IA. Des transferts hors de l’Union européenne sont alors possibles.
- Sous-traitants
- OVHcloud (hébergement applicatif), un fournisseur d’inférence selon la configuration, Stripe (facturation), Clerk (authentification) et Resend (courriels transactionnels). Le rôle, les données concernées et les transferts éventuels doivent être examinés dans le cadre contractuel applicable.
Contrôle d’accès
Qui accède aux analyses.
Authentification
Connexion gérée via Clerk. Les capacités SSO/SAML et SCIM ne sont pas présentées comme disponibles dans cette version.
Rôles et permissions
Connexion via Clerk et équipes internes (bêta). Pas encore d’espace par organisation ; journal d’audit non activé.
Revue contractuelle
Les informations publiques ne remplacent pas une revue contractuelle. Écrivez à security@risksonnar.com pour préciser les éléments effectivement disponibles.
Mesures observables
En-têtes HSTS, X-Frame-Options: SAMEORIGIN, X-Content-Type-Options: nosniff et une CSP minimale avec frame-ancestors 'self', object-src 'none' et base-uri 'self'.
Besoin d’une revue sécurité ?
Envoyez-nous votre questionnaire pour une réponse fondée sur le périmètre documenté.