Conformité et sécurité
Cette page documente les mesures techniques et organisationnelles en place pour protéger les données traitées par idantitem. Pour le détail juridique du traitement, voir la politique de confidentialité.
1. Mesures de sécurité techniques
Authentification et secrets
- Mots de passe utilisateurs hachés avec Argon2id, paramètres conformes aux recommandations OWASP 2025.
- Clés API stockées hachées en base, jamais en clair après émission.
- Deux types de clés par projet, publishable (front-end) et secret (server-to-server), avec scopes séparés.
- Cookies de session strictement nécessaires, signés et marqués HttpOnly et Secure en production.
Transit et stockage
- HTTPS obligatoire en production, redirection HTTP vers HTTPS au niveau infrastructure.
- En-têtes de sécurité, Content-Security-Policy, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy.
- URLs des médias après vérification, signées par HMAC-SHA256 avec expiration courte (1 heure par défaut).
- Aucune image brute n'est jamais transmise au marchand sauf opt-in explicite par projet.
Minimisation et purge
- Suppression automatique des photos brutes au moment du verdict, sauf si le marchand a explicitement activé l'option
expose_identity(privacy-by-default). - Verdict masqué conservé pour l'audit, suffixes nom et prénom, année de naissance, 4 derniers caractères du document, pas la valeur complète.
- Sessions expirées supprimées par un job programmé exécuté toutes les heures.
- Comportement testé automatiquement, voir
tests/test_widget_purge.pydans le dépôt.
Auditabilité
- Journal d'audit append-only, chaque événement chaîné par SHA-256 au précédent, ce qui rend toute altération détectable.
- Couverture, création et révocation de clés, sessions de vérification, modifications de projet, accès aux médias signés.
- Logs techniques d'accès conservés 90 jours, avec request-id corrélé sur toute la pile.
2. Architecture des données
| Donnée | Stockage | Durée |
|---|---|---|
| Compte marchand, email, organisation | PostgreSQL chez l'hébergeur | Durée du compte |
| Image pièce d'identité, selfie | Colonne base64, ligne de session | Supprimée au finalize, sauf opt-in marchand (TTL 1 h) |
| Identité extraite, nom, date, numéro | Colonnes dédiées, ligne de session | 13 mois, ou 1 h si opt-in marchand |
| Verdict masqué pour l'audit | Table dédiée | 13 mois |
| Logs techniques | Fichiers rotation 50 MB, 5 archives | 90 jours |
| Données de facturation | Selon prestataire | 10 ans (obligation légale) |
3. Sous-traitants
| Prestataire | Rôle | Localisation |
|---|---|---|
| OVHcloud | Hébergement applicatif et base de données | France (UE) |
| Mailgun, Postmark ou Amazon SES (selon configuration) | Email transactionnel, vérification email, alertes | UE / US |
| OpenSanctions | Flux de listes PEP et sanctions internationales (CC-BY 4.0) | UE |
Aucun sous-traitant n'a accès aux images brutes après le verdict, le purge automatique élimine ces données avant tout export.
4. Conformité réglementaire
RGPD
L'architecture est alignée avec les principes du règlement européen 2016/679, minimisation, limitation des finalités, intégrité, confidentialité, droits de la personne. La politique de confidentialité documente les bases légales par finalité.
En place Mesures techniques de l'article 32, Argon2id, TLS, chiffrement signé, audit, contrôle d'accès, séparation des environnements, pseudonymisation.
En cours Documents organisationnels (registre des traitements, analyse d'impact relative à la protection des données pour le traitement biométrique). Disponibles sur demande motivée pour les clients Business et Enterprise.
Certifications ISO et SOC
idantitem ne dispose pas à ce jour de certification ISO/IEC 27001, ISO/IEC 27701 ni de rapport SOC 2. Plusieurs pratiques de l'Annexe A d'ISO 27001 sont implémentées (contrôle d'accès, journalisation, gestion des clés, séparation des environnements), sans certification par un organisme accrédité.
Anti-fraude et listes
Le filtrage PEP et sanctions s'appuie sur OpenSanctions. La décision finale d'acceptation ou de refus reste à la charge du marchand, conformément aux obligations LCB-FT applicables à son activité.
5. Signaler une vulnérabilité
Pour signaler de façon responsable une faille de sécurité, écrivez à security@idantitem.com. Engagement, accusé de réception sous 72 heures, analyse sous 7 jours, correction selon la sévérité. Les chercheurs en sécurité agissant de bonne foi ne feront l'objet d'aucune action en justice.
6. Demande d'accès, rectification, effacement
Toute personne dont les données ont été traitées peut écrire à hello@idantitem.com. Réponse sous 30 jours. Voir section 5 de la politique de confidentialité.
7. Diligence pour les clients Enterprise
Pour les besoins d'audit fournisseur (questionnaires sécurité, DPA, sous-traitance, plan de continuité), contactez hello@idantitem.com avec votre cas d'usage et votre volumétrie estimée.