Sécurité du service

Ce que le service ne fait pas

Mon Registre n’audite pas, ne certifie pas et ne déclare jamais une organisation « conforme ». Il n’héberge pas vos systèmes, n’y accède pas et ne demande aucun secret : les scripts proposés sont en lecture seule, et une attestation se fait sur déclaration signée, avec au besoin une pièce jointe que vous choisissez.

Cloisonnement des données

• Chaque donnée est rattachée à une organisation. Les règles d’accès sont appliquées par la base de données elle-même (Row Level Security), pas seulement par l’application.
• Un partenaire ne voit un dossier client que si ce client lui a délégué l’accès, et la délégation est acceptée par le client, jamais par le partenaire.
• Un compte suspendu perd d’un coup toute visibilité : les règles d’accès ne lui renvoient plus aucune organisation.
• Aucune clé d’administration n’est présente dans l’application ni dans le navigateur. Les opérations sensibles passent par des procédures serveur qui vérifient elles-mêmes les droits de l’appelant.

Authentification

• Connexion par code à usage unique envoyé par courriel, sans mot de passe à stocker ni à réinitialiser. Un nouveau code annule le précédent.
• Un seul administrateur de la plateforme, verrouillé en base : aucun écran ne permet d’en ajouter un.

Intégrité et preuve

• Chaque attestation est scellée par une empreinte SHA-256 et porte une référence vérifiable publiquement sur /verifier, sans compte.
• Le journal des opérations est chaîné : chaque entrée contient l’empreinte de la précédente. Il ne se modifie ni ne s’expurge, y compris par l’éditeur ; toute rupture serait visible dans le dossier de contrôle.
• Les décisions du registre des risques et les changements du plan d’action sont inscrits dans ce même journal, avec leur auteur.
• Chaque nuit, l’empreinte de tête de chaque journal est agrégée et horodatée par une autorité indépendante de l’éditeur (RFC 3161). Les ancrages sont publics sur /ancrages : une réécriture après coup, même par l’éditeur, serait démontrable.
• Les documents imprimés portent un filigrane nominatif (raison sociale, SIRET, date).
• Un client peut donner à un tiers de son choix une clé de lecture de son état de conformité (avancement, attestations valides, tête du journal et dernier ancrage), sans accès au dossier. La clé n’est conservée qu’en empreinte, expire, se révoque immédiatement ; chaque appel est journalisé et limité en volume.

Pièces jointes

• Stockées dans un espace privé, cloisonné par organisation, servies uniquement par liens signés à durée limitée. L’original reste chez vous.
• Types acceptés : PDF, images, Word, Excel, texte et CSV, 15 Mo au plus. Pas de secrets, pas de données de santé — c’est écrit dans les conditions, et rappelé avant chaque dépôt.

Assistant de rédaction

• Accessible aux seuls comptes connectés, dans les modules souscrits, avec des quotas par jour et par mois. Chaque appel est journalisé.
• Seuls les éléments nécessaires à la question sont transmis au fournisseur ; ils ne servent pas à entraîner de modèle. Consigne fixe : ne jamais déclarer une organisation conforme.
• Engagement : l’assistant est un confort, pas une fonction du dossier. En cas d’indisponibilité du fournisseur, l’application le dit et propose les fiches du référentiel ; aucun document, aucune attestation, aucun registre n’en dépend.

Mesure d’audience

Aucun traceur tiers, aucune publicité, aucun profilage. Un seul cookie de première partie, exempté de consentement, compte les visites uniques ; il se désactive en un clic depuis la politique de confidentialité.

Hébergement

Hébergement du site, exécution des fonctions serveur et des tâches planifiées

Clever Cloud SAS — Paris, France

Hébergement des données, de l'authentification et des pièces jointes

Supabase, Inc. — Paris, France

La liste complète des prestataires figure sur la page Sous-traitants.

Signaler une faille : divulgation coordonnée

Cette politique couvre mon-registre.fr et ses API, l’extension navigateur Vigie IA et l’agent Windows Vigie IA. Elle est aussi publiée à l’adresse /.well-known/security.txt (RFC 9116).

Comment signaler

• Écrivez à security@mon-registre.fr avec « Sécurité » en objet, en français ou en anglais.
• Indiquez le composant touché et sa version, les étapes pour reproduire, et ce que vous avez pu observer. Un signalement anonyme est accepté.
• N’envoyez pas de données personnelles d’un client : décrivez, ne joignez pas.

Ce que nous faisons

• Accusé de réception sous cinq jours ouvrés, puis un point d’avancement à chaque étape jusqu’à la correction.
• Correction selon la gravité ; une faille activement exploitée est traitée en priorité sur tout autre travail.
• Les utilisateurs concernés sont informés de la correction et de ce qu’ils ont à faire, s’il y a quelque chose à faire. Pour Vigie IA, la mise à jour arrive par le canal habituel : stores pour l’extension, paquet signé pour l’agent.
• Une vulnérabilité activement exploitée ou un incident grave touchant Vigie IA est notifié aux autorités selon l’article 14 du règlement (UE) 2024/2847 sur la cyber-résilience : alerte précoce sous 24 heures, notification sous 72 heures, rapport final 14 jours au plus tard après la mise à disposition d’un correctif (un mois après la notification pour un incident grave).
• Une fois le correctif diffusé, la vulnérabilité est publiée sur la page Avis de sécurité ; si vous le souhaitez, votre nom y est cité.

Ce que nous attendons

• Ne pas accéder, modifier ou extraire des données qui ne sont pas les vôtres : si une faille y donne accès, arrêtez-vous et signalez.
• Pas de déni de service, pas d’hameçonnage ni d’ingénierie sociale, pas de test sur les prestataires d’hébergement.
• Nous laisser le temps de corriger avant toute publication : 90 jours, ou moins d’un commun accord une fois la correction en place.

Un signalement fait de bonne foi, dans ces conditions, n’expose à aucune poursuite de notre part.

Vigie IA : produit et support

• L’extension et l’agent analysent sur le poste. Le texte saisi, les fichiers joints et leur contenu ne sont jamais transmis à l’éditeur : seuls des compteurs et des codes de catégorie remontent, quand l’organisation l’a choisi.
• Les règles de détection et les mises à jour de l’agent sont livrées dans des paquets signés par l’éditeur et vérifiés par l’agent avant usage ; un paquet altéré est refusé. L’extension est distribuée par le Chrome Web Store (également utilisé par Edge) et par la boutique Firefox, qui en vérifient la signature.
• L’extension n’embarque aucune bibliothèque tierce. L’agent repose sur le seul runtime .NET 10 de Microsoft, sans paquet tiers. L’inventaire des composants (SBOM, format CycloneDX) est produit à chaque version et fourni sur demande.
• Les mises à jour de sécurité sont gratuites. Période de support de l’extension et de l’agent : jusqu’au 31 décembre 2031 au moins (toute prolongation est annoncée ici). La version prise en charge est la dernière publiée ; les boutiques d’extensions et la mise à jour automatique signée de l’agent y conduisent les postes. Les vulnérabilités corrigées sont publiées sur la page Avis de sécurité.
• La désinstallation complète de l’agent supprime les données qu’il conserve sur le poste (jeton, réglages, journaux).
• Le journal de l’agent ne contient ni texte analysé, ni mot de l’organisation, ni réglage : seulement des événements techniques.