Centre de confiance
Tout ce que nous pouvons vous dire sur la sécurisation de la plateforme, l'endroit où vivent vos données et les certifications que nous détenons — y compris celles que nous ne détenons pas.
Référentiels que nous suivons ou que nous visons activement — l'état actuel des certifications figure ci-dessous.
Résidence des données et confidentialité
Stockées au Canada, sur des serveurs que nous exploitons nous-mêmes.Stockage principal des données
Canada 🇨🇦
Les données de compte, les résultats d'analyse et les journaux sont stockés à Toronto, au Canada, sur des serveurs qui nous appartiennent et que nous exploitons. Des sauvegardes nocturnes chiffrées sont aussi copiées vers Cloudflare R2, qui n'a pas d'emplacement fixe ; nous seuls détenons la clé. Chaque sous-traitant ci-dessous ne reçoit que ce dont son service a besoin.
Chiffrement au repos
AES-256-GCM
Les secrets et les identifiants stockés sont chiffrés en AES-256-GCM. La clé de chiffrement est distincte de la clé de signature des jetons, ne vit que dans l'environnement du serveur et n'est jamais écrite dans la base de données, les sauvegardes ou le dépôt.
Chiffrement en transit
TLS 1.3
Tout le trafic API et web utilise TLS 1.3 avec confidentialité persistante. Les suites de chiffrement sont limitées aux configurations les plus robustes disponibles.
Aucune capture de trafic
Jamais
Nous ne capturons ni ne stockons jamais le trafic réseau. Ce qu'une analyse produit — la sortie de l'outil et les résultats qui en sont extraits — est conservé pour que vous puissiez le lire et créer des rapports, puis supprimé au bout de 90 jours.
Ce que nous conservons
Principes de traitement des données
Chiffrement en transit et au repos
TLS 1.3 avec confidentialité persistante sur chaque connexion. Les secrets et les identifiants stockés sont chiffrés en AES-256-GCM, sous une clé distincte de celle qui signe les jetons.
Exécution isolée
Les scans s'exécutent côté serveur dans un conteneur de scan dédié, un processus par tâche. La commande est découpée en jetons avant l'insertion de vos valeurs, donc aucun shell n'intervient, et chaque requête est limitée à votre organisation.
Contrôles alignés sur SOC 2
Infrastructure conçue selon les Trust Services Criteria de SOC 2 (sécurité, disponibilité, confidentialité, vie privée). L'audit de type II n'est pas terminé — le tableau des référentiels ci-dessous indique précisément où en est chacun.
Journal d'audit en ajout seul
Les actions privilégiées sont écrites dans un journal d'audit en ajout seul, limité à votre organisation et consultable depuis le tableau de bord. Les journaux sont conservés un an.
MFA, SSO et rôles
Authentification multifacteur par TOTP avec codes de secours à usage unique. Authentification unique SAML 2.0, OIDC et LDAP / Active Directory sur Enterprise. Le contrôle d'accès par rôle est appliqué sur le serveur, pas dans l'interface.
Chaîne d'outils maintenue
Les images des scanners et leurs modèles de vulnérabilités sont reconstruits et redéployés par nos soins. Vous ne mettez jamais un scanner à jour et ne corrigez jamais une machine Kali.
Minimisation des données
Nous stockons les métadonnées de scan et les résultats, pas le trafic brut. La durée de conservation est configurable et vous pouvez exporter ou supprimer vos données à tout moment. Article 5(1)(c) du RGPD.
Supervision de la plateforme
Limitation de débit par paliers de coût sur chaque point d'accès, détection statistique d'anomalies sur l'activité des comptes et chiens de garde qui redémarrent un service défaillant sans attendre un humain.
security.txt (RFC 9116)
Notre fichier de contact sécurité, pleinement conforme à la RFC 9116 de l'IETF. Découvert automatiquement par les moteurs de recherche et les chercheurs en sécurité.
# CyberSec Pro Security Policy
# RFC 9116 Compliant
Contact: mailto:security@cyber-sec-pro.com
Contact: https://cyber-sec-pro.com/trust-center#responsible-disclosure
Acknowledgments: https://cyber-sec-pro.com/trust-center#acknowledgments
Policy: https://cyber-sec-pro.com/trust-center#responsible-disclosure
Hiring: https://cyber-sec-pro.com/careers
Preferred-Languages: en, tr
Canonical: https://cyber-sec-pro.com/.well-known/security.txt
Expires: 2027-07-31T23:59:59.000Z
Divulgation responsable
1Périmètre
Dans le périmètre :
- cyber-sec-pro.com et ses sous-domaines
- app.cyber-sec-pro.com — la plateforme SaaS
- api.cyber-sec-pro.com — l’API REST
Hors périmètre :
- Ingénierie sociale et hameçonnage
- Déni de service (DoS/DDoS)
- Sécurité physique
- Services tiers que nous n’exploitons pas
2Canal de signalement
Signalez les failles de sécurité à : security@cyber-sec-pro.com
Modèle de rapport :
- Objet : [SECURITY] description courte
- Actif concerné : URL ou point de terminaison
- Type de vulnérabilité : XSS, SQLi, IDOR, …
- Étapes de reproduction : 1, 2, 3 …
- Impact : fuite de données, élévation de privilèges, …
- Score CVSS (facultatif)
- Preuve de concept ou captures d’écran
3SLA de réponse
- Première réponse : ≤ 24 hours
- Point d'avancement : ≤ 72 hours
- Correction ou exception : ≤ 90 days
4Safe harbor
- Aucune action en justice ne sera engagée pour un signalement conforme à cette politique
- L'identité de la personne qui signale reste confidentielle
- Ajout au tableau d'honneur après correction
- Tout test sans autorisation écrite est interdit
Référentiels de conformité
4/10 ConformeObjectifs de réponse aux incidents
Des objectifs sur la rapidité de notre action une fois qu'un incident est détecté ou signalé à security@cyber-sec-pro.com. CyberSec Pro est exploité par une seule personne : le délai court donc de 7 h à 23 h, heure de Toronto, tous les jours, et un signalement reçu la nuit le fait démarrer à 7 h. Les délais légaux de notification d'une violation de données courent, eux, en continu. Ce sont des objectifs, et non des engagements contractuels. La procédure suit les phases de la NIST SP 800-61 : détecter, contenir, éradiquer, rétablir, analyser.
| Priorité | Réponse | Notification | Résolution |
|---|---|---|---|
| P0 — Critique | ≤ 1 heure | ≤ 4 heures | ≤ 24 heures |
| P1 — Élevée | ≤ 4 heures | ≤ 24 heures | ≤ 72 heures |
| P2 — Moyenne | ≤ 24 heures | ≤ 72 heures | ≤ 7 jours |
| P3 — Faible | ≤ 3 jours | ≤ 7 jours | ≤ 30 jours |
Sous-traitants
Tiers qui traitent des données personnelles pour notre compte (art. 28 du RGPD). Chaque accord de traitement des données fait partie des conditions du prestataire et a été accepté avec le compte ; nous ne détenons aucun exemplaire signé séparément. Gmail fait exception : c'est un compte personnel, et Google ne propose pas de DPA pour ce type de compte.
| Prestataire | Finalité | Localisation | DPA |
|---|---|---|---|
| Stripe, Inc. | Traitement des paiements | États-Unis (CCT UE + DPF) | ✓ En vigueur |
| Cloudflare, Inc. | Protection DDoS, WAF, CDN, terminaison TLS, mesure d'audience sans cookies, routage des e-mails entrants | Réseau mondial (CCT UE + DPF) | ✓ En vigueur |
| Brevo (Sendinblue SAS) | E-mails transactionnels, avec suivi des clics sur les liens | UE (CCT UE) | ✓ En vigueur |
| Google (Gmail) | Notre boîte de réception : les e-mails envoyés à nos adresses | États-Unis (CCT UE + DPF) | Aucun |
| Cloudflare R2 | Stockage hors site des sauvegardes chiffrées de la base de données, chacune conservée 30 jours | Placement automatique, aucune juridiction définie (chiffré ; nous seuls détenons la clé) | ✓ En vigueur |
| Google Analytics | Statistiques agrégées d'utilisation du site | États-Unis (CCT UE + DPF) | ✓ En vigueur |
Dernière mise à jour : novembre 2026. Toute modification de cette liste est publiée ici et dans la politique de confidentialité le jour où elle prend effet. La dernière : Brevo a remplacé Mailjet le 29 septembre 2026, après la fermeture de notre compte par Mailjet. Le 30 octobre 2026, la ligne Brevo a été corrigée pour indiquer que Brevo suit les clics sur les liens, ce qu’il faisait depuis le début. Depuis le 4 novembre 2026, Gmail ne relaie plus nos e-mails sortants ; il n'est plus que notre boîte de réception.
Accord de traitement des données (DPA)
Tout client peut obtenir un accord de traitement des données au titre de l'article 28 du RGPD : demandez-le et nous vous l'envoyons pour signature. Les données personnelles provenant de l'UE et du Royaume-Uni nous parviennent au Canada en vertu des décisions d'adéquation que tous deux ont adoptées pour le Canada ; ce transfert ne nécessite donc pas de clauses contractuelles types. Notre politique de confidentialité indique chaque sous-traitant, sa localisation et les données qu'il reçoit.
Périmètre du DPA
- Finalité et moyens du traitement
- Catégories de données personnelles et de personnes concernées
- La liste des sous-traitants ultérieurs et la procédure d’approbation
- Mesures techniques et organisationnelles (MTO)
- Notification des violations, sans délai injustifié et sous 72 heures
- Transferts internationaux et garantie sur laquelle chacun repose
Analyse d’impact relative à la protection des données
✓ Approuvée, novembre 2026En novembre 2026, nous avons réalisé une analyse d'impact relative à la protection des données (article 35 du RGPD) portant sur l'ensemble du service, y compris les scans, l'identification des appareils et les vérifications hebdomadaires du réseau. Il s'agit d'une auto-évaluation approuvée par notre fondateur ; aucun délégué à la protection des données (aucun n'est désigné ni requis) ni aucune autorité de contrôle ne l'a examinée. Aucun risque résiduel n'a été jugé élevé. Nous la réexaminons chaque année et avant toute modification des données personnelles que nous traitons. Les clients peuvent en demander une copie.
Tests de sécurité et audits
Tests de sécurité internes continus, menés avec notre propre plateforme et par revue manuelle. Des tests d'intrusion indépendants sont prévus ; les rapports de synthèse seront mis à disposition des clients Enterprise sous NDA une fois réalisés.
Nuclei 3.11 + Wapiti 3.2, run against production
Périmètre : https://app.cyber-sec-pro.com — TLS, en-têtes, CORS, modèles de mauvaise configuration et d'exposition, plus des sondes XSS, SQLi et redirection ouverte
Résultats : 0 critique, 0 élevée, 0 moyenne, 14 informatives. Wapiti : 0 vulnérabilité.
CyberSec Pro Security Team (internal)
Périmètre : Authentification, autorisation, gestion des secrets, clés d'API, MFA, SSO et gestion des sessions, sur l'ensemble du dépôt
Résultats : Plusieurs contrôles se sont révélés inopérants en production et ont été reconstruits ; les secrets qu'ils protégeaient ont été renouvelés. Chaque correction est verrouillée par un test de non-régression.
Tableau d'honneur sécurité
Nous remercions les chercheurs qui signalent des vulnérabilités conformément à notre politique de divulgation responsable.
En signalant une vulnérabilité, vous pourriez être la première personne inscrite à notre tableau d'honneur.
Signaler une vulnérabilitéContact sécurité
Sécurité: security@cyber-sec-pro.com
Juridique/DPA: legal@cyber-sec-pro.com
Confidentialité: privacy@cyber-sec-pro.com
Centre de confiance mis à jour en septembre 2026 · Version de la politique : 2.2.0 · Prochaine revue : mars 2027