Sécurité et contrôles

Toutes les communications passent par TLS. Les données au repos sont chiffrées par les fournisseurs d'infrastructure (Convex, Vercel).

Détails sur les clés et la gestion du chiffrement au repos : les données au repos sont chiffrées avec des algorithmes standard du secteur (AES-256) par les fournisseurs d'infrastructure, qui gèrent les clés ; OneSpec n'a pas accès aux clés et n'en conserve aucune copie.

Accès fondé sur les rôles (propriétaire, administrateur, membre) avec vérification côté serveur à chaque opération. Chaque enregistrement sensible est rattaché à l'organisation et les requêtes sont isolées par organisation.

Un unique super-administrateur de la plateforme est défini par une liste d'adresses e-mail dans une variable d'environnement.

Gestion des sessions avec possibilité de révoquer chaque appareil et de se déconnecter de tous les appareils.

Les clés et secrets sont gérés par des variables d'environnement de la plateforme de déploiement et ne figurent ni dans le code, ni dans les journaux, ni dans les réponses d'erreur.

L'application applique HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy et une Content-Security-Policy qui interdit l'intégration de l'espace réservé. Le widget utilise une CSP dédiée avec la liste des domaines autorisés par organisation.

Limites appliquées à : la connexion, l'envoi de devis depuis le widget (par IP et par configurateur), les exports de données. Vérification anti-robot Cloudflare Turnstile sur les envois du widget.

Les actions administratives et les opérations sensibles (publication des catalogues, changements de statut, exports, demandes de suppression) sont enregistrées avec l'auteur, l'objet et l'horodatage.

Les sauvegardes et la restauration sont gérées par le fournisseur de la base de données. Politique de sauvegarde, objectifs RPO/RTO et tests de restauration périodiques : le fournisseur sauvegarde l'infrastructure et OneSpec peut exporter les données ; aucun objectif contractuel de RPO/RTO n'est garanti à ce jour ; ils sont vérifiés périodiquement et communiqués sur demande.

Analyse des dépendances et des secrets, mises à jour et revue de sécurité avant les mises en production.

Procédure de réponse aux incidents et délais de notification : en cas de violation de données personnelles, OneSpec lance la procédure interne de confinement et d'analyse et en informe le Client dans les meilleurs délais et en tout cas dans les 72 heures suivant sa découverte, afin qu'il puisse remplir les obligations de l'art. 33 RGPD.

Pour les signalements de sécurité : hello@onespec.eu.

Pour les questions contractuelles, contestations ou communications juridiques relatives au présent document : office@core829.net.

Pour les demandes commerciales : sales@core829.net. Pour l'assistance sur le service et les demandes de forfaits Enterprise sur mesure : hello@onespec.eu.