Sécurité
Presidio GRC ne détient aucune certification et n’en délivre aucune. Cette page décrit ce qui est fait, vérifiable dans le produit, plutôt que ce qui serait promis.
Dernière mise à jour : 18 septembre 2026
Schéma de principe · Les contrôles d’accès sont détaillés sur la page sécurité.
Toute requête est contrainte à l’organisation de la personne connectée. Une demande sur une ressource d’une autre organisation répond comme si elle n’existait pas.
Comment c’est vérifié. Une suite de tests de bout en bout tente lecture, modification et suppression depuis une autre organisation sur chaque module exposé. Elle tourne avant chaque mise en production et la retient tant qu’elle n’est pas verte.
Jetons signés par clés asymétriques, vérifiés à chaque requête. Session portée par un cookie inaccessible au script de la page, transmis en connexion chiffrée seulement.
Comment c’est vérifié. Double facteur pris en charge par le service d’identité ; la méthode employée est portée par le jeton et relue à chaque requête. Connexion par votre fournisseur d’identité sur les offres Business et Enterprise.
Toute route exige une authentification, sauf déclaration explicite contraire : l’oubli est impossible dans le sens dangereux. Les droits combinent rôles et attributs.
Comment c’est vérifié. La couverture des gardes d’autorisation sur les mutations est elle-même un test, qui échoue dès qu’une route en manque.
Pièces chiffrées au repos par le service de stockage. Empreinte calculée au dépôt, pour la déduplication et la vérification d’intégrité. Aucun accès direct : un lien signé, valable quelques minutes, après contrôle des droits.
Comment c’est vérifié. Les identifiants des connecteurs que vous raccordez sont chiffrés par nos soins, avec une clé qui ne réside pas en base.
Les mutations importantes sont journalisées, horodatées et chaînées : chaque entrée porte l’empreinte de la précédente. Une modification rétroactive rompt la chaîne et se voit.
Comment c’est vérifié. La vérification s’exécute à la demande sur tout votre journal, et une ronde automatique la rejoue chaque nuit.
Analyse statique et tests dans le processus de livraison. Politique de sécurité de contenu à valeur unique par requête. Limitation de débit sur les points d’entrée exposés.
Comment c’est vérifié. Supervision des erreurs avec expurgation à la source. Sonde de disponibilité hébergée hors de l’infrastructure applicative, qui interroge la production toutes les heures.
Hébergement et sous-traitants
Les fonctions applicatives s’exécutent à Paris, la base de données et les pièces sont en Irlande. Les fonctions d’assistance par intelligence artificielle font exception : ce que vous leur soumettez est traité hors Union européenne. C’est la raison de l’interrupteur qui les coupe pour toute votre organisation.
| Sous-traitant | Ce qu’il traite | Localisation | Encadrement du transfert |
|---|---|---|---|
| Vercel | Hébergement du site et de l’application, exécution des fonctions serveur, mesure d’audience et de performance. | Exécution en région de Paris (cdg1). Société éditrice établie aux États-Unis. | Accord de sous-traitance de l’éditeur incluant les clauses contractuelles types de la Commission européenne (article 46.2.c). |
| Supabase | Base de données, authentification des comptes, gestion des sessions et de la double authentification, stockage des pièces déposées. | Irlande, région eu-west-1. Société éditrice établie aux États-Unis. | Accord de sous-traitance de l’éditeur incluant les clauses contractuelles types de la Commission européenne (article 46.2.c). |
| Stripe | Encaissement des abonnements, portail de facturation et conservation des pièces de paiement. Presidio GRC ne stocke aucune donnée de carte bancaire. | Stripe Payments Europe Ltd, Irlande, avec transferts vers les États-Unis. | Accord de sous-traitance de l’éditeur incluant les clauses contractuelles types de la Commission européenne (article 46.2.c). |
| Resend | Acheminement des courriels transactionnels : invitations, alertes, notifications d’échéance. | Traitement aux États-Unis. | Accord de sous-traitance de l’éditeur incluant les clauses contractuelles types de la Commission européenne (article 46.2.c). |
| Sentry | Supervision des erreurs applicatives, avec expurgation des identifiants avant transmission. | Traitement aux États-Unis. | Accord de sous-traitance de l’éditeur incluant les clauses contractuelles types de la Commission européenne (article 46.2.c). |
| Inngest | Orchestration des traitements différés : envois groupés, calculs de score, vérifications planifiées. | Traitement aux États-Unis. | Accord de sous-traitance de l’éditeur incluant les clauses contractuelles types de la Commission européenne (article 46.2.c). |
| Cloudflare | Vérification anti-robot du formulaire public d’exercice des droits. Traite l’adresse IP du visiteur et un jeton de courte durée, sans les conserver. | Réseau mondial. Société éditrice établie aux États-Unis. | Accord de sous-traitance de l’éditeur incluant les clauses contractuelles types de la Commission européenne (article 46.2.c). |
| Modèles Gemini, pour les fonctions d’assistance par intelligence artificielle : classement des preuves, analyse d’écart, analyse d’incident, aide à la rédaction. Le contenu que vous soumettez à ces fonctions est transmis au modèle. | Traitement hors Union européenne, sans localisation régionale garantie. | Accord de sous-traitance de l’éditeur incluant les clauses contractuelles types de la Commission européenne (article 46.2.c). | |
| Upstash | Base Redis de l’application : caches de droits, compteurs de limitation de débit et du frein de connexion (empreintes hachées, jamais d’adresse ni de courriel en clair), état de la copie de secours. | Région de la base Redis telle que configurée pour le projet. Société éditrice établie aux États-Unis. | Accord de sous-traitance de l’éditeur incluant les clauses contractuelles types de la Commission européenne (article 46.2.c). |
| Scaleway | Copie de secours quotidienne des pièces déposées, dans un compte distinct de l’hébergeur principal. Mise en service au plus tôt trente jours après l’inscription ci-contre : cette ligne vaut notification préalable. | Paris (région fr-par). Société éditrice établie en France. | Aucun transfert hors Union européenne pour ce traitement. |
Faites défiler horizontalement pour lire toutes les colonnes.
Les intégrations que vous activez vous-même (Slack, DocuSign) s’ajoutent à cette liste pour votre organisation seulement. L’encadrement des transferts figure dans la politique de confidentialité.
Ce que nous n’affichons pas
Aucun taux de disponibilité publié
Nous n’écrivons pas dans un contrat un chiffre que nous ne mesurons pas nous-mêmes. Une sonde horaire, hébergée hors de notre infrastructure, surveille la production.
Notification d’incident sous 12 heures
Si un incident de sécurité touche vos données, vous en êtes informé sous douze heures, selon une procédure écrite.
Sauvegardes quotidiennes, 7 jours
Base sauvegardée chaque jour, conservée sept jours. La procédure de restauration est documentée et testée.
Vous avez trouvé quelque chose
Écrivez à security@presidiogrc.com. Nous accusons réception sous un jour ouvré (jours ouvrés français), à titre indicatif et vous tenons informé du traitement. Aucune poursuite contre une recherche menée de bonne foi : pas d’exfiltration au-delà de ce qui démontre la faille, pas de dégradation du service, pas d’accès à des données de tiers, divulgation coordonnée.
Pour une revue fournisseur, un questionnaire de sécurité ou la liste détaillée des sous-traitants, écrivez à contact@presidiogrc.com. Nous répondons aux questionnaires standards du marché.
Trente minutes avec la personne qui a écrit cette page.
