Confiance & Sécurité

    Authentification • Hébergement • Chiffrement • Sous-traitants • RGPD

    Cette page décrit les contrôles de sécurité et de confidentialité activés sur Electroms. Elle est maintenue par l'éditeur du site et n'est pas une certification indépendante. Pour le détail juridique du traitement des données personnelles, consultez la politique de confidentialité.

    1. Authentification & contrôle d'accès

    • Authentification email/mot de passe avec confirmation d'email obligatoire avant activation du compte. • Authentification à deux facteurs (MFA/TOTP) disponible pour les comptes à privilèges (espace administrateur en AAL2). • Modèle de rôles (utilisateur, modérateur, administrateur) stocké dans une table dédiée et vérifié côté serveur via une fonction SECURITY DEFINER ; aucune confiance n'est accordée aux rôles déclarés par le client. • Sessions gérées par le fournisseur d'authentification, jetons JWT à durée limitée, déconnexion possible à tout moment depuis l'espace personnel.

    2. Hébergement & infrastructure

    • Application hébergée sur l'infrastructure Lovable Cloud (frontend statique + Edge Functions). • Base de données PostgreSQL managée, chiffrée au repos et en transit (TLS 1.2+). • Toutes les communications navigateur ↔ serveur passent par HTTPS (HSTS activé). • Le code source applicatif et la configuration sont versionnés ; les déploiements sont automatisés. Cette page décrit les capacités activées sur la plateforme Lovable et les pratiques mises en œuvre par l'éditeur du site. Elle ne constitue pas une certification indépendante.

    3. Protection des données & chiffrement

    • Chiffrement en transit : TLS pour l'ensemble des échanges (site, API, Edge Functions, base de données). • Chiffrement au repos appliqué par le fournisseur d'hébergement managé. • Secrets applicatifs (clés Stripe, Resend, etc.) stockés dans un coffre de secrets côté serveur, jamais exposés au navigateur. • Mots de passe utilisateurs hachés par le fournisseur d'authentification ; ils ne sont jamais accessibles à l'éditeur. • Accès base de données restreint par Row-Level Security (RLS) ligne à ligne et politiques d'accès par rôle.

    4. Sécurité applicative

    • Validation et sanitation des entrées utilisateur côté serveur (Edge Functions). • Protection anti-spam des formulaires : honeypot, Cloudflare Turnstile, limitation de débit. • Webhooks Stripe vérifiés par signature HMAC côté serveur. • Journalisation des actions sensibles (administration, paiements, modérations). • Mises à jour de sécurité appliquées régulièrement sur les dépendances applicatives.

    5. Sous-traitants & intégrations

    Les sous-traitants suivants peuvent traiter des données dans le cadre du service : • Lovable Cloud : hébergement, base de données, Edge Functions, authentification. • Stripe : traitement des paiements (certifié PCI-DSS niveau 1). Aucune donnée bancaire n'est stockée par l'éditeur du site. • Resend : envoi des emails transactionnels (confirmations, notifications de compte). • Cloudflare Turnstile : vérification anti-bot sur les formulaires publics. • OpenAI / Lovable AI Gateway : génération de réponses pour l'assistant IA et le contenu éditorial (requêtes sans conservation persistante côté serveur). Chaque sous-traitant est sélectionné pour son niveau de sécurité et la conformité de ses propres engagements (DPA disponibles sur demande).

    6. Cookies & analytique

    • Bandeau de consentement conforme à la directive ePrivacy / recommandations CNIL. • Aucun cookie de mesure d'audience ou de marketing déposé sans consentement explicite. • Analytique interne basée sur des données pseudonymisées (hash non réversible de l'adresse IP). • Le consentement peut être retiré ou modifié à tout moment.

    7. Conservation & suppression

    Conformément au principe de minimisation (art. 5 RGPD) : • Logs techniques : 13 mois maximum. • Données de compte : conservées tant que le compte est actif, supprimées après demande de l'utilisateur. • Données comptables (factures) : 10 ans (obligation légale). • Données de formulaires de contact : 3 ans après le dernier échange. Une purge automatisée s'exécute périodiquement pour appliquer ces durées.

    8. Droits des utilisateurs (RGPD)

    Vous disposez des droits suivants sur vos données personnelles : • Droit d'accès, de rectification, d'effacement, de limitation et de portabilité. • Droit d'opposition au traitement basé sur l'intérêt légitime. • Droit de retirer votre consentement à tout moment. • Droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr). Pour exercer ces droits, contactez-nous à l'adresse indiquée ci-dessous. Le détail complet du traitement figure dans notre Politique de confidentialité dédiée.

    9. Signalement de vulnérabilité

    Si vous pensez avoir découvert une vulnérabilité de sécurité sur ce site : • Contactez-nous par email à pierrehenrybarge@electroms.eu avec « Sécurité » en objet. • Décrivez le périmètre, la reproduction et l'impact estimé. • Merci de ne pas exploiter la faille, de ne pas exfiltrer de données et de respecter un délai raisonnable avant toute divulgation publique. Nous accusons réception sous 5 jours ouvrés et travaillons à corriger les vulnérabilités confirmées dans les meilleurs délais.

    10. Contact sécurité & confidentialité

    Éditeur et nom légal de l'entreprise : Pierre-Henry Barge, entrepreneur individuel (EI), SIREN 109 891 374 Adresse : 141 avenue Marius Guerpillon, 69290 Pollionnay, France Nom commercial et enseigne déclarés au RNE : Electroms Marque utilisée par le site : Electroms Email général : pierrehenrybarge@electroms.eu Email sécurité / privacy : pierrehenrybarge@electroms.eu (objet « Sécurité » ou « RGPD ») Cette page est maintenue par Electroms pour répondre aux questions courantes de sécurité et de confidentialité concernant le site et la plateforme de formations. Son contenu est éditable et n'est pas une certification indépendante. Dernière mise à jour : 1 janvier 1970