Architecture de sécurité

Vos documents et votre identité, protégés à chaque étape.

Chiffrement de bout en bout, hébergement exclusif Union européenne, séparation stricte des données. Voici ce que nous mettons en œuvre.

Les 6 piliers

Une architecture de sécurité conçue pour les actes juridiques sensibles.

Chiffrement TLS 1.3 en transit

Tous les échanges entre votre navigateur et nos serveurs sont chiffrés par TLS 1.3 avec suites cryptographiques modernes (ECDHE-ECDSA-AES256-GCM-SHA384). Les versions TLS antérieures (1.0, 1.1, 1.2) sont désactivées.

Chiffrement AES-256 au repos

Les documents téléversés et les données d'identité sont chiffrés au repos par AES-256 dans nos systèmes. Les clés de chiffrement sont stockées dans un service KMS séparé, jamais dans le même environnement que les données.

Hébergement exclusif Union européenne

L'ensemble des opérations de signature et le stockage des données s'effectuent sur des serveurs hébergés en Union européenne (régions Paris et Dublin). Aucune donnée n'est transmise hors UE dans le cadre du service.

Séparation stricte des données

Les données d'identité (justificatifs, photos), les documents à signer, les informations de paiement et les logs techniques sont stockés dans des bases de données séparées, avec des contrôles d'accès distincts pour chaque catégorie.

Conformité RGPD complète

Registre des traitements maintenu, sous-traitants conformes RGPD, droits d'accès / rectification / effacement opérationnels sous 30 jours, DPO joignable. Voir notre politique de confidentialité.

Suppression automatique

Le document signé est supprimé automatiquement de nos systèmes 30 jours après livraison (sauf demande explicite de prolongation). Les justificatifs d'identité sont conservés selon la durée minimale eIDAS (10 ans), strictement.

Aucun stockage de données bancaires

Certif Europe ne stocke aucun numéro de carte bancaire. L'intégralité des paiements est traitée par Stripe, plateforme certifiée PCI DSS niveau 1 (le plus haut niveau de conformité bancaire). Les données de carte sont saisies directement dans l'environnement Stripe et ne transitent jamais par nos serveurs.

Détection et prévention des fraudes

Nous appliquons des contrôles automatisés sur chaque commande :

  • Vérification de cohérence entre l'identité déclarée et le moyen de paiement
  • Détection d'usurpation d'identité (deepfake, photo retouchée, document modifié)
  • Limitation par adresse IP / empreinte navigateur en cas de tentatives multiples
  • Vérification croisée avec les listes de sanctions européennes

Audit et certifications du PSCo partenaire

Notre Prestataire de Services de Confiance Qualifié partenaire fait l'objet d'audits annuels par un organisme de conformité accrédité (CAB), conformément à l'article 17 du règlement eIDAS. Les rapports d'audit sont communiqués à l'organe de surveillance national (ANSSI en France).

Les certifications applicables à notre PSCo partenaire incluent typiquement :

  • ETSI EN 319 411-1 (politique générale pour les PSCo)
  • ETSI EN 319 411-2 (politique pour les certificats qualifiés)
  • ISO 27001 (système de management de la sécurité de l'information)
  • ANSSI (qualification au Référentiel Général de Sécurité — RGS)

Continuité de service

L'infrastructure d'Certif Europe est conçue pour une disponibilité de 99,9 %. En cas d'incident :

  • Bascule automatique sur région UE secondaire en moins de 5 minutes
  • Sauvegarde quotidienne chiffrée des données critiques
  • Plan de reprise d'activité testé semestriellement
  • Rapport de disponibilité sur demande institutionnelle (support@certifeurope.com).

Signaler un incident de sécurité

Si vous découvrez une vulnérabilité ou une potentielle faille de sécurité, écrivez immédiatement à security@certifeurope.com. Nous accusons réception sous 24 h ouvrées et investiguons sous 48 h. Conformément à notre politique de divulgation responsable, les chercheurs en sécurité de bonne foi sont protégés contre toute action légale.

Une question sur notre architecture ?

Nous documentons l'intégralité de notre stack pour les buyers institutionnels.

Demander la documentation