Sécurité et RGPD, données hébergées en Europe

🇪🇺Conformité RGPD

Phollio est nativement conforme au Règlement Général sur la Protection des Données (UE 2016/679).

✓ Hébergement UE ✓ Droit à la portabilité ✓ Droit à l'oubli ✓ Consentement explicite ✓ Notification breach 72h

Voir notre politique de confidentialité complète.

🔐Chiffrement

TLS 1.3 sur toutes les communications (HTTPS uniquement)
AES-256-GCM au repos pour les mots de passe SMTP/Stripe
JWT signés pour les sessions (RS256)
HSTS preload activé sur le domaine principal
Liens de réinitialisation de mot de passe à usage unique et expirants

🏗Architecture multi-tenant

Chaque photographe est isolé techniquement des autres :

Row Level Security (RLS) PostgreSQL, impossible de voir les couples d'un autre photographe, même via SQL injection
JWT vérifié à chaque requête côté serveur
Cloisonnement complet des fichiers (logos, signatures) par UUID photographe
Journalisation des accès aux données sensibles (traçabilité RGPD)

🌍Hébergement

Application Serverless en Europe (Paris, cdg1)

Base de données Supabase (PostgreSQL) · Irlande 🇮🇪 (eu-west-1)

Storage fichiers Supabase Storage · Irlande 🇮🇪 (eu-west-1)

Emails Resend · UE/US (transitoire)

ℹ️ Aucun transfert de données vers les USA en dehors du cas Resend (qui est sous Standard Contractual Clauses approuvées par l'UE). Tes données structurées restent en Irlande (UE).

💾Backups et résilience

Sauvegardes quotidiennes automatiques de la base PostgreSQL (Supabase), avec rétention sur 7 jours
Réplication multi-zone de la base de données : prévu
Point-in-time recovery (restauration à la minute près) : prévu

🔍Audit et monitoring

Logs audit RGPD, les accès aux données sensibles sont tracés
Journalisation des erreurs serveur pour diagnostic rapide
Health check automatique et alertes en cas d'incident : prévu
Détection d'anomalies avancée (géolocalisation des connexions, etc.) : prévu

⚠️Vulnérabilités et responsible disclosure

Si tu découvres une faille de sécurité, contacte-moi directement à contact@ferdiphotographe.fr en marquant le sujet "Security disclosure".

Engagement de réponse sous 48h. Pas de bug bounty officiel pour l'instant, mais reconnaissance publique et merci appuyé garantis.

📞Contact équipe sécurité

Pour toute question sur l'architecture sécurité ou la conformité : contact@ferdiphotographe.fr

Pour les questions liées à un audit RGPD (DPIA, contrat sous-traitance) : je fournis tous les documents nécessaires sous 5 jours ouvrés.