La sécurité chez DPP Host
Dernière revue : 30 septembre 2026
DPP Host est exploité par Qubites ApS, au Danemark. Cette page présente ce que nous faisons pour protéger les passeports et les données de nos clients, et où nous en sommes pour chaque mesure de l’ISO/IEC 27002:2022.
Où nous en sommes
DPP Host n’est pas certifié ISO/IEC 27001.
Nous avons évalué nous-mêmes nos mesures de sécurité au regard des 93 mesures de l’ISO/IEC 27002:2022 et en avons revu le résultat le 30 septembre 2026. Aucun auditeur ne l’a contrôlé. Chaque mesure figure ci-dessous avec son statut.
- 28 En place Appliquée aujourd’hui, et nous pouvons le démontrer.
- 53 En partie Appliquée en partie. Le reste est identifié et a un responsable.
- 7 Prévue A un responsable et un déclencheur. Rien n’est encore appliqué.
- 5 Non applicable Ne s’applique pas à DPP Host. La justification est consignée.
Ce que nous faisons
Où se trouvent vos données
La base de données, le système de connexion et les fonctions serveur sont hébergés à Francfort (UE). Les passeports publiés, les images et les fichiers des fournisseurs sont stockés dans Cloudflare R2, sous juridiction de l’UE. Certaines données sont traitées hors de l’UE. Par exemple, Cloudflare diffuse les pages depuis le centre de données le plus proche du visiteur, Resend conserve pendant 30 jours aux États-Unis une copie des e-mails que nous envoyons, et les connexions des applications d’IA sont enregistrées dans Cloudflare Workers KV, qui n’est pas limité à l’UE.
Qui voit quoi
Chaque table de la base de données est soumise à des règles d’accès au niveau des lignes. Les membres d’une organisation ne peuvent pas lire les données d’une autre organisation. La clé publique utilisée par le site web ne peut ni lire ni modifier aucune table. Les données des services aux propriétaires sont conservées à part des passeports et n’apparaissent jamais dans les copies publiques.
Aucune publication sans validation humaine
Un assistant d’IA ou une intégration peut préparer un passeport. Une personne de votre organisation l’approuve après s’être reconnectée. Seule une clé API à laquelle un administrateur a accordé le droit de publication peut publier de manière autonome.
Clés
Les clés API ne sont affichées qu’une seule fois et ne sont enregistrées que sous forme de hachages à clé. Elles expirent, peuvent être renouvelées avec une période de chevauchement et cessent de fonctionner lorsque leur créateur quitte l’organisation.
En transit et au repos
Toutes les connexions utilisent TLS avec HSTS. Le site, le tableau de bord et les pages des passeports envoient un en-tête Content Security Policy. Les données au repos sont chiffrées par nos prestataires.
Sauvegardes et continuité
Les passeports publiés sont servis à partir d’une copie statique qui reste en ligne lorsque le tableau de bord ou la base de données sont indisponibles. Chaque passeport publié est copié chaque nuit dans un bucket de stockage distinct situé dans l’UE. Notre objectif est de rétablir les passeports publiés en 8 heures au plus, avec une perte de données de 24 heures au maximum. Les passeports publiés restent en ligne pendant 10 à 15 ans à compter de leur publication, et un plan de fermeture formalisé décrit comment ils restent en ligne si DPP Host s’arrête.
Intégrité
Chaque version publiée possède une empreinte de son contenu, horodatée de manière indépendante. Chacun peut vérifier qu’elle n’a pas été modifiée.
Incidents
Nous disposons d’une procédure écrite de gestion des incidents et des violations de données à caractère personnel. Elle couvre l’obligation de notification sous 72 heures prévue par le RGPD et le mécanisme de notification et d’action prévu par le règlement sur les services numériques.
Les 93 mesures
L’ISO/IEC 27002:2022 énumère 93 mesures réparties en quatre groupes. Chaque ligne indique le numéro de la mesure, son intitulé dans la norme et notre statut au 30 septembre 2026. Ce que nous faisons pour chaque mesure, et où, reste interne ; ces informations sont disponibles sous accord de confidentialité.
5 Mesures organisationnelles
37 mesures. En place : 14 ; en partie : 21 ; prévues : 2 ; non applicables : 0.
| N° | Mesure | Statut |
|---|---|---|
| 5.1 | Politiques de sécurité de l’information | En partie |
| 5.2 | Fonctions et responsabilités | En place |
| 5.3 | Séparation des tâches | En partie |
| 5.4 | Responsabilités de la direction | En place |
| 5.5 | Contacts avec les autorités | En partie |
| 5.6 | Contacts avec des groupes d’intérêt spécifiques | En partie |
| 5.7 | Renseignements sur les menaces | En partie |
| 5.8 | Sécurité de l’information dans la gestion de projet | En place |
| 5.9 | Inventaire des informations et autres actifs associés | En place |
| 5.10 | Utilisation correcte des informations et autres actifs associés | En place |
| 5.11 | Restitution des actifs | Prévue |
| 5.12 | Classification des informations | En place |
| 5.13 | Marquage des informations | En partie |
| 5.14 | Transfert des informations | En place |
| 5.15 | Contrôle d’accès | En place |
| 5.16 | Gestion des identités | En place |
| 5.17 | Informations d’authentification | En partie |
| 5.18 | Droits d’accès | En partie |
| 5.19 | Sécurité de l’information dans les relations avec les fournisseurs | En partie |
| 5.20 | Prise en compte de la sécurité de l’information dans les accords conclus avec les fournisseurs | En partie |
| 5.21 | Gestion de la sécurité de l’information dans la chaîne d’approvisionnement TIC | En partie |
| 5.22 | Surveillance, revue et gestion des changements des services fournisseurs | En partie |
| 5.23 | Sécurité de l’information dans l’utilisation de services en nuage | En place |
| 5.24 | Planification et préparation de la gestion des incidents | En partie |
| 5.25 | Évaluation des événements liés à la sécurité de l’information et prise de décision | En place |
| 5.26 | Réponse aux incidents liés à la sécurité de l’information | En partie |
| 5.27 | Tirer des enseignements des incidents | En place |
| 5.28 | Collecte des preuves | En partie |
| 5.29 | Sécurité de l’information pendant une perturbation | En partie |
| 5.30 | Préparation des TIC pour la continuité d’activité | En partie |
| 5.31 | Exigences légales, statutaires, réglementaires et contractuelles | En partie |
| 5.32 | Droits de propriété intellectuelle | En place |
| 5.33 | Protection des enregistrements | En partie |
| 5.34 | Protection de la vie privée et des données à caractère personnel | En partie |
| 5.35 | Revue indépendante de la sécurité de l’information | Prévue |
| 5.36 | Conformité aux politiques, règles et normes | En partie |
| 5.37 | Procédures d’exploitation documentées | En place |
6 Mesures liées aux personnes
8 mesures. En place : 0 ; en partie : 3 ; prévues : 5 ; non applicables : 0.
| N° | Mesure | Statut |
|---|---|---|
| 6.1 | Sélection des candidats | Prévue |
| 6.2 | Termes et conditions du contrat de travail | Prévue |
| 6.3 | Sensibilisation, enseignement et formation en sécurité de l’information | En partie |
| 6.4 | Processus disciplinaire | Prévue |
| 6.5 | Responsabilités consécutives à la fin ou à la modification du contrat de travail | Prévue |
| 6.6 | Accords de confidentialité ou de non-divulgation | Prévue |
| 6.7 | Travail à distance | En partie |
| 6.8 | Signalement des événements liés à la sécurité de l’information | En partie |
7 Mesures physiques
14 mesures. En place : 0 ; en partie : 10 ; prévues : 0 ; non applicables : 4.
| N° | Mesure | Statut |
|---|---|---|
| 7.1 | Périmètres de sécurité physique | En partie |
| 7.2 | Contrôles physiques des accès | En partie |
| 7.3 | Sécurisation des bureaux, des salles et des installations | En partie |
| 7.4 | Surveillance de la sécurité physique | Non applicable |
| 7.5 | Protection contre les menaces physiques et environnementales | En partie |
| 7.6 | Travail dans les zones sécurisées | Non applicable |
| 7.7 | Bureau propre et écran vide | En partie |
| 7.8 | Emplacement et protection du matériel | En partie |
| 7.9 | Sécurité des actifs hors des locaux | En partie |
| 7.10 | Supports de stockage | En partie |
| 7.11 | Services généraux | Non applicable |
| 7.12 | Sécurité du câblage | Non applicable |
| 7.13 | Maintenance du matériel | En partie |
| 7.14 | Mise au rebut ou réutilisation sécurisée du matériel | En partie |
8 Mesures technologiques
34 mesures. En place : 14 ; en partie : 19 ; prévues : 0 ; non applicables : 1.
| N° | Mesure | Statut |
|---|---|---|
| 8.1 | Terminaux des utilisateurs | En partie |
| 8.2 | Droits d’accès privilégiés | En partie |
| 8.3 | Restriction d’accès aux informations | En place |
| 8.4 | Accès au code source | En partie |
| 8.5 | Authentification sécurisée | En partie |
| 8.6 | Dimensionnement | En partie |
| 8.7 | Protection contre les programmes malveillants | En partie |
| 8.8 | Gestion des vulnérabilités techniques | En partie |
| 8.9 | Gestion de la configuration | En place |
| 8.10 | Suppression des informations | En partie |
| 8.11 | Masquage des données | En place |
| 8.12 | Prévention de la fuite de données | En partie |
| 8.13 | Sauvegarde des informations | En partie |
| 8.14 | Redondance des moyens de traitement de l’information | En partie |
| 8.15 | Journalisation | En partie |
| 8.16 | Activités de surveillance | En partie |
| 8.17 | Synchronisation des horloges | En place |
| 8.18 | Utilisation de programmes utilitaires à privilèges | En partie |
| 8.19 | Installation de logiciels sur des systèmes en exploitation | En place |
| 8.20 | Sécurité des réseaux | En partie |
| 8.21 | Sécurité des services réseau | En partie |
| 8.22 | Cloisonnement des réseaux | En place |
| 8.23 | Filtrage web | Non applicable |
| 8.24 | Utilisation de la cryptographie | En partie |
| 8.25 | Cycle de vie de développement sécurisé | En place |
| 8.26 | Exigences de sécurité des applications | En place |
| 8.27 | Principes d’ingénierie et d’architecture des systèmes sécurisés | En place |
| 8.28 | Codage sécurisé | En place |
| 8.29 | Tests de sécurité dans le développement et l’acceptation | En place |
| 8.30 | Développement externalisé | En partie |
| 8.31 | Séparation des environnements de développement, de test et de production | En partie |
| 8.32 | Gestion des changements | En place |
| 8.33 | Informations relatives aux tests | En place |
| 8.34 | Protection des systèmes d’information pendant les tests d’audit | En place |
Prestataires
DPP Host s’appuie sur les prestataires suivants. Les certifications indiquées sont celles que chaque prestataire déclare sur sa propre page consacrée à la sécurité ; nous les avons vérifiées le 30 septembre 2026 et les vérifions de nouveau une fois par an. Elles concernent le prestataire, pas DPP Host : notre propre statut figure plus haut.
| Prestataire | Rôle pour DPP Host | Certifications déclarées par le prestataire |
|---|---|---|
| Cloudflare | Réseau edge, Workers, stockage R2, DNS, routage des e-mails | ISO/IEC 27001, 27701 et 27018 ; SOC 2 Type II ; PCI DSS |
| Supabase | Base de données, système de connexion et fonctions serveur à Francfort | ISO/IEC 27001 ; SOC 2 Type 2 ; HIPAA |
| GitHub | Code source et intégration continue | ISO/IEC 27001 ; SOC 1 et SOC 2 Type 2 |
| Resend | Envoi des e-mails | SOC 2 Type II |
| Scaleway | Copies hors site : mises en place, désactivées pour l’instant | ISO/IEC 27001 ; HDS |
Documents et certification
La déclaration d’applicabilité complète et nos politiques sont disponibles sur demande, sous accord de confidentialité : hello@dpphost.eu.
Certification : lorsqu’un client ou les règles de l’UE applicables aux prestataires de services de passeport numérique de produit l’exigeront.
Signalements de sécurité : hello@dpphost.eu. Confidentialité : privacy@dpphost.eu. Nous ne publions aucune garantie de disponibilité.
Statuts tels que revus le 30 septembre 2026. Cette page est mise à jour à chaque modification de la déclaration d’applicabilité.