Vos données, c'est le sujet. On les traite comme tel.
« Posséder son logiciel », ça ne veut rien dire si la donnée n'est pas chez vous. Voici précisément où vivent vos données, qui peut y accéder, et quels référentiels on suit quand on construit — en français clair, sans muraille de logos.
L'essentiel
Pourquoi un build sur mesure peut être plus sûr que le SaaS
Les gros éditeurs SaaS vous tendent un rapport SOC 2 et une muraille de logos. Ce qu'ils ne vous donnent pas, c'est une réponse claire à « précisément quels de vos employés peuvent lire nos données clients ? » ou « quand supprimez-vous ces données après résiliation ? ». Avec une refonte sur mesure :
- ✓Vos données ne quittent jamais votre tenant
On ne mutualise pas vos données avec d'autres clients. Votre cluster Postgres, votre bucket S3, vos variables d'env. Tout l'inverse du SaaS que vous remplacez.
- ✓Pas d'« accès interne » mystérieux côté éditeur
Les accès production sont loggés via les audit logs Vercel et Neon. On peut (et on le fait) remettre la policy à votre auditeur.
- ✓Pas de sous-traitants surprise
Notre liste de sous-traitants est engageante, par écrit. Les éditeurs SaaS ajoutent en silence des fournisseurs LLM, des outils de support, des partenaires CDN — vous reprenez la main.
- ✓Une suppression vraie, opposable
Quand un client demande l'effacement, « DELETE FROM … » s'exécute dans votre base — pas une feature request à un PM éditeur.
- ✓L'article 28 RGPD simplifié
Un seul sous-traitant (nous), un DPA, un jeu d'obligations. Comparez avec cinq DPA SaaS dont les listes de sous-traitants bougent en permanence.
Les référentiels qu'on suit
On est un studio, pas un vendor du Fortune 500 — on construit le logiciel au niveau de votre exigence de conformité, pas l'inverse. Concrètement, on suit les contrôles derrière ces référentiels même quand l'audit annuel n'est pas dans le périmètre de votre projet.
On mappe chaque projet sur les contrôles de l'Annexe A. Contrôle d'accès, cryptographie, sécurité fournisseurs, gestion d'incident — tout est documenté par build. La matrice se remet à votre auditeur.
La base de code embarque les artefacts attendus par SOC 2 : audit logs, runbooks de sauvegarde, doc de chiffrement, RBAC, change-management via revue de PR. Si vous avez besoin d'un rapport formel, on se coordonne avec votre CPA.
Base légale documentée, minimisation par défaut, politiques de rétention dans le code, flux de droit d'accès et d'effacement intégrés. Clauses contractuelles types et addendum UK-UE au dossier pour les transferts.
La vérification au niveau 2 est notre baseline — auth, session, traitement des entrées, hygiène des dépendances, logging. Dependabot tourne sur chaque repo.
Par défaut SAQ-A : les paiements passent par Stripe ou votre prestataire, on ne touche jamais les numéros de carte. Si le périmètre demande plus, on isole le plan card-data séparément.
On a travaillé pour des clients santé sur des soumissions NHS DSPT. Les équivalents HIPAA se gèrent par l'architecture, pas par un sticker.
On ne revendique pas de certifications qu'on ne détient pas. Si votre appel d'offres exige un rapport ISO 27001 ou SOC 2 Type II en cours de validité de notre part, la réponse honnête : on s'appuie sur vos prestataires cloud audités (Vercel, Neon, AWS) et sur un partenaire CISO identifié — on en discute volontiers par téléphone.
Une fois en production
Logs applicatifs vers Vercel + Sentry. Les mutations base sont auditées dans une table immuable par défaut. Les accès SSH/console sur Neon et AWS passent par des credentials courts via SSO.
Monitoring d'uptime via BetterStack ou Vercel, avec une status page publique. Les incidents prod déclenchent PagerDuty (ou votre outil) et un post-mortem sous 5 jours ouvrés.
RPO ≤ 5 minutes, RTO ≤ 4 heures sur le plan standard. Testé deux fois par an sur une restauration propre ; le playbook est dans votre repo.
Dependabot sur chaque repo. Les CVE sont triées sous 72 heures, les critiques sous 24. Pentest annuel par un tiers pour les builds en production — périmètre et résultats partagés.
Les ingés sur votre build s'authentifient en SSO (Google ou Microsoft) avec 2FA WebAuthn. L'accès production passe par un approbateur nommé. Les comptes breakglass sont loggés à part.
Variables d'env sur Vercel ; secrets longue durée dans 1Password, vaults partagés par projet. Aucun secret ne finit dans git — on lance gitleaks en pre-commit.
Les documents qu'on peut vous transmettre
Écrivez-nous, on vous envoie n'importe lequel de ces documents — souvent le jour même.
- ✓DPA standard (RGPD UK + CCT UE)
- ✓Liste des sous-traitants avec localisations
- ✓Politique de sécurité de l'information
- ✓Plan de continuité d'activité & PRA
- ✓Questionnaire sécurité (SIG-Lite / CAIQ)
- ✓Synthèse de pentest (la plus récente)
- ✓Attestation SOC 2 de Vercel (hébergement)
- ✓Attestation SOC 2 de Neon (base de données)
Une revue sécurité ou un questionnaire ?
Envoyez-nous votre questionnaire, ou dites-nous simplement quel référentiel vous devez satisfaire. On répond avec les bons documents et les écarts qu'on peut combler avant le kick-off.
Demande sécurité ou conformité
DPA, liste des sous-traitants, SIG-Lite — dites-nous ce qu'il vous faut.
Ou retournez au calculateur et on en reparle à l'appel de cadrage.