Sécurité et confiance

Nous ne sommes ni certifiés SOC 2, ni certifiés ISO, ni « certifiés RGPD », et aucune autorité ne valide nos pratiques. Nous n'affichons donc aucun badge de conformité. Aucun système ne peut être déclaré « 100 % sécurisé » et nous ne l'écrirons pas.

Nous ne prétendons pas non plus rendre votre site « automatiquement conforme » à la loi. Nous pouvons mettre en place les éléments techniques (pages légales, bandeau de consentement, formulaires minimisés) ; le contenu juridique reste votre responsabilité, avec votre conseil.

• Échanges chiffrés (HTTPS) et en-têtes de sécurité (politique de contenu, anti-encadrement, anti-sniffing, référent restreint, permissions navigateur restreintes).
• Protection anti-CSRF sur toutes les fonctions serveur.
• Validation et nettoyage des données côté serveur pour chaque formulaire.
• Limitation du nombre d'envois par période et champ anti-robot.
• Les envois de formulaires ne sont lisibles par aucun visiteur : la base est fermée en lecture publique et seules nos fonctions serveur y écrivent.
• Documents envoyés dans un espace de stockage privé, sans URL publique, avec autorisation délivrée côté serveur.
• Adresse IP conservée uniquement sous forme d'empreinte irréversible ; aucune donnée personnelle dans les URL, ni dans les e-mails de notification internes.
• Aucune clé d'administration ni secret dans le code exécuté par votre navigateur.

La répartition dépend de l'activité concernée :

• Données de nos prospects et clients (formulaires de tapen.io, comptes de l'espace client, facturation) : SM CONSULTING NYC CORP agit comme responsable de traitement.
• Données des visiteurs et clients de votre site (formulaires de votre site, fidélité, conversations d'un assistant automatisé) : vous êtes responsable de traitement, TAPEN agit comme sous-traitant et n'utilise ces données que sur vos instructions.
• Sécurité et prévention des abus de nos propres outils : responsable de traitement.

Lorsque nous traitons des données pour votre compte, un accord de traitement écrit est requis avant le début du traitement : objet, durée, catégories de données et de personnes concernées, instructions, confidentialité, sécurité, recours aux sous-traitants ultérieurs, assistance pour les demandes de droits, notification de violation, sort des données en fin de contrat. Le modèle est en préparation avec notre conseil ; demandez-le à hello@tapen.io avant tout démarrage.

Nous listons les fonctions utilisées. Les noms de prestataires, régions d'hébergement et dates d'accords ne seront publiés qu'une fois confirmés par écrit — nous préférons une liste incomplète à une liste inventée.

• Plateforme d'application, base de données, stockage et authentification (hébergement du site et des formulaires).
• Service d'e-mail transactionnel (notifications internes).
• Registrar / DNS du domaine.
• Prestataire de paiement : uniquement lorsque le paiement en ligne sera activé.
• Fournisseur de modèles d'IA : uniquement lorsqu'un assistant sera activé.

Tout ajout de sous-traitant vous est communiqué, avec possibilité d'objection raisonnable dans le cadre de l'accord de traitement.

SM CONSULTING NYC CORP est établie aux États-Unis : des données peuvent être traitées hors de l'EEE. L'encadrement juridique de ces transferts (clauses contractuelles types ou autre mécanisme) est en cours de revue avec notre conseil et sera précisé dans l'accord de traitement. Nous ne revendiquons aujourd'hui aucun mécanisme non signé.

À la fin d'une prestation, vous choisissez la restitution des données traitées pour votre compte dans un format exploitable, ou leur suppression. La suppression est exécutée sur les systèmes actifs, puis sur les sauvegardes selon le cycle de rétention de la plateforme d'hébergement. Les pièces que la loi nous impose de conserver (factures, comptabilité) sont conservées séparément pour cette seule finalité.

Écrivez à hello@tapen.io avec l'objet « Sécurité ». Nous accusons réception, évaluons l'impact et vous tenons informé. Merci de ne pas exploiter une faille, de ne pas accéder à des données d'autrui et de nous laisser un délai raisonnable pour corriger.

En cas de violation de données affectant des données traitées pour votre compte, nous vous informons sans retard injustifié avec les éléments connus, afin que vous puissiez remplir vos propres obligations de notification.

Le paiement en ligne n'est pas actif à ce jour. Lorsqu'il le sera, il utilisera une page ou un composant de paiement hébergé par le prestataire : les données de carte ne transitent pas par nos serveurs et ne sont pas stockées par nous. Nous ne revendiquons aucune conformité PCI, faute de périmètre défini et d'évaluation.

Avant l'activation d'un assistant automatisé pour un client, nous documentons le fournisseur, la durée de conservation des conversations et le chemin d'escalade vers une personne. L'assistant indique qu'il est automatisé et ne prend aucune décision juridique, médicale, financière ou d'assurance. Voir aussi la page Agents IA.