Vos données méritent de la transparence,
pas des promesses.
Voici les fournisseurs et mesures actuellement documentés, ainsi que les limites qui restent à vérifier.
Hébergement et données applicatives : fournisseurs identifiés
Le site web est hébergé par Hostinger. Supabase fournit l'authentification et la base de données. Aucune localisation géographique n'est affirmée sans preuve.
Sous-traitants (au sens RGPD Art. 28)
Inventaire des fournisseurs techniques documentés. Les conditions contractuelles et DPA applicables doivent être vérifiés auprès de chaque fournisseur.
Supabase
Base de données + Authentification
- Localisation
- Localisation non affirmée
- Données traitées
- Données applicatives chiffrées, utilisateurs, sessions, audit trail
- Certifications
- Attestations à vérifier sur la page sécurité du fournisseur
Hostinger
Hébergement du site web
- Localisation
- Localisation non affirmée
- Données traitées
- Pages web, assets et requêtes HTTP
- Certifications
- Voir la documentation du fournisseur
Resend
Envoi d'emails transactionnels
- Localisation
- Localisation non affirmée
- Données traitées
- Adresses email + contenu transactionnel (welcome, MFA, notifications)
- Certifications
- Attestations à vérifier sur la page sécurité du fournisseur
Anthropic
IA générative (politiques, rapports, SOA)
- Localisation
- Localisation non affirmée
- Données traitées
- Prompts nécessaires aux fonctionnalités IA lorsque celles-ci sont activées. Les modalités du fournisseur sont à vérifier avant engagement contractuel.
- Certifications
- Attestations à vérifier sur la page sécurité du fournisseur
Stripe
Paiement des abonnements
- Localisation
- Localisation non affirmée
- Données traitées
- Données nécessaires au paiement ; Kyrionn ne stocke pas les numéros de carte
- Certifications
- Voir la documentation du fournisseur
Mesures techniques
Chiffrement en transit
HTTPS est actif sur les surfaces publiques. Les contrôles de transport internes doivent être documentés avant engagement contractuel.
Chiffrement au repos
Supabase gère le stockage applicatif. Les garanties exactes de chiffrement et de sauvegarde doivent être reprises de la configuration et du contrat fournisseur.
Authentification forte
MFA TOTP est disponible. Supabase gère le stockage sécurisé des mots de passe ; aucune implémentation cryptographique propre n’est revendiquée.
Isolation par organisation
Row Level Security (RLS) est activée par migration sur les tables documentées. La couverture complète reste auditée de façon continue.
Audit trail complet
Certaines actions sensibles sont journalisées. La couverture exacte de l’audit trail doit être vérifiée par fonctionnalité.
Journalisation des erreurs
Les erreurs applicatives sont consignées dans les journaux de service. Une instrumentation Sentry est présente dans le code et s’active si sa configuration est fournie au déploiement ; son activation n’est pas affirmée ici.
Rate limiting
Des limites existent sur certaines routes sensibles. La couverture globale doit être vérifiée avant promesse de niveau de service.
Sauvegardes quotidiennes
Supabase fournit des capacités de sauvegarde. Fréquence, rétention et restauration doivent être confirmées dans la configuration du projet.
Mesures organisationnelles
- Principe du moindre privilège sur les accès internes (1 seul fondateur administrateur aujourd'hui)
- Revue trimestrielle des accès et secrets (rotation planifiée des clés critiques)
- Accès aux secrets de production restreint
- Politique de divulgation responsable en place (contact : contact@pk-infosec.com)
- Veille continue des vulnérabilités (CVE, Dependabot sur le repo)
- Environnements séparés : development, preview, production
Gestion des incidents de sécurité
En cas de violation de données personnelles susceptible d'engendrer un risque pour les droits et libertés des personnes :
- 1.Notification à la CNIL dans les 72 heures lorsque les conditions du RGPD Art. 33 sont réunies.
- 2.Communication aux personnes concernées si la violation est susceptible d'engendrer un risque élevé, selon le RGPD Art. 34.
- 3.Incident documenté en interne ; aucune publication automatique n'est promise.
Certifications et conformité
Kyrionn n'est actuellement certifié ni SOC 2 ni ISO 27001. Aucune date de certification n'est annoncée.
Les attestations éventuelles des fournisseurs doivent être vérifiées individuellement via leurs pages officielles ci-dessus.
Questions sur la sécurité ?
Pour toute question sécurité, demande de DPA, rapport de vulnérabilité ou échange avec votre RSSI, contactez-nous directement.
Le consultant répond depuis contact@pk-infosec.com
Dernière mise à jour : 11 août 2026