Sécurité & Conformité
Vos données énergie et celles de vos clients courtiers sont sensibles. Nous appliquons les standards reconnus (RGPD, OWASP, AI Act) et visons des certifications externes en 2026. Cette page liste sans détour ce qui est déjà en place et ce qui est en cours.
RGPD
Conforme
OWASP Top 10
Pratiques appliquées
Chiffrement
TLS 1.3 + AES-256
Hébergement
OVH France
Protection des Données (RGPD)
Conformité au Règlement Général sur la Protection des Données
✓ Vos droits
- • Accès : consultation de vos données à tout moment
- • Rectification : correction de vos informations
- • Suppression : effacement du compte sur demande au DPO
- • Portabilité (art. 20) : export CSV/JSON sur demande
✓ Notre engagement
- • Minimisation : seulement les données nécessaires au calcul tarifaire
- • Transparence : politique de confidentialité publique
- • Pseudonymisation : identifiants techniques en base, pas de données nominatives sans nécessité
- • Consentement : opt-in explicite pour tout traitement annexe
DPO joignable : contactez notre Délégué à la Protection des Données à dpo@energydataplatform.fr pour toute question RGPD (réponse sous 48 h ouvrées). Un DPA (Data Processing Agreement) type est disponible à la demande pour les cabinets clients.
Cybersécurité (OWASP)
Pratiques alignées sur les recommandations OWASP Top 10
Contrôle d'accès
Authentification email + Google OAuth, sessions JWT en cookies HttpOnly, RBAC organisations (owner / admin / member / viewer), MFA TOTP optionnel + codes de récupération.
Chiffrement
TLS 1.3 pour toutes les communications HTTPS (Caddy + Let's Encrypt). AES-256 au repos pour les secrets via HashiCorp Vault. Mots de passe hashés Argon2.
Protection injections & XSS
Requêtes BigQuery 100 % paramétrées (zéro f-string SQL). React échappe automatiquement les rendus. CSP (Content Security Policy) configurée. SAST GitLab CI sur chaque commit (semgrep, gitleaks).
Audit & monitoring
Logs applicatifs centralisés (django-auditlog), monitoring Sentry, rate limiting par IP et par utilisateur, alertes infra automatiques. Tests de dépendances (npm audit, pip-audit) au moins hebdomadaires.
Divulgation responsable : vous avez détecté une faille ? security@energydataplatform.fr - réponse sous 24 h ouvrées. Programme bug bounty formel prévu en 2026.
Intelligence Artificielle Transparente (AI Act)
Approche conforme à l'AI Act européen pour les systèmes à risque limité
Notre approche IA
Catégorie de risque AI Act : risque limité (système d'aide à la décision pour pros, pas de décision automatisée à effet juridique).
Infrastructure
Hébergement OVHcloud (France), entrepôt analytique BigQuery (UE), secrets sous Vault
Application & API
- ✓ VPS OVHcloud (France)
- ✓ Caddy TLS 1.3 + Let's Encrypt
- ✓ Postgres 17 + Redis 7
- ✓ Conteneurs Docker isolés
Données analytiques
- ✓ BigQuery région UE (europe-west1)
- ✓ Requêtes paramétrées
- ✓ Datasets cloisonnés
- ✓ Service Account least-privilege
Secrets & accès admin
- ✓ HashiCorp Vault auto-hébergé (France)
- ✓ Backoffice admin sous WireGuard VPN
- ✓ Authentification staff par magic link single-use
- ✓ Audit log staff actions
Certifications externes - visées en 2026
Nous n'affichons aucune certification que nous n'avons pas obtenue. Aujourd'hui nous appliquons les standards (RGPD, OWASP, AI Act) sans audit externe formel. Roadmap sécurité 2026 : audit Pentest externe (T2), démarche ISO 27001 (T3-T4), bug bounty program. Nous publierons les rapports dès leur disponibilité.
Sous-traitants (RGPD art. 28)
Liste publique et à jour de tous les sous-traitants ayant un accès, même limité, aux données traitées via EDP. Tous sont encadrés par un contrat de sous-traitance et, le cas échéant, par des Clauses Contractuelles Types (SCC) + Transfer Impact Assessment (TIA) pour les transferts hors UE.
| Sous-traitant | Rôle | Localisation | Encadrement |
|---|---|---|---|
| OVHcloud | Hébergement VPS, base Postgres, Redis | France | DPA OVHcloud, RGPD natif |
| Google Cloud (BigQuery) | Entrepôt analytique tarifs CRE / consos agrégées | UE (europe-west1) | DPA Google + SCC |
| Anthropic (Claude) | Chatbot, OCR factures, parsing PDF CRE | États-Unis | SCC + TIA, traitement sans entraînement |
| Stripe | Paiement abonnement | Irlande / États-Unis | DPA Stripe + SCC |
| Brevo (ex-Sendinblue) | Emails transactionnels | France | DPA Brevo, RGPD natif |
| Sentry | Monitoring erreurs application | États-Unis | SCC, scrubbing PII activé |
| GitLab | Repos code source + CI/CD | États-Unis | SCC, repos privés, secrets en Vault |
La signature d'un contrat client EDP vaut autorisation des sous-traitants listés ci-dessus. Toute évolution de cette liste est notifiée par email aux clients actifs avec préavis raisonnable, conformément à l'art. 28 §2 RGPD.
Accès aux données réseau (Enedis / GRDF / RTE / GRTgaz / Terega)
Les mandats permettant à EDP d'accéder aux données de consommation des sites de vos clients sont signés explicitement par le client final, conservés en base, et révocables à tout moment.
Gestionnaires supportés
Sécurité des mandats :
- • Connexions HTTPS avec certificats validés
- • Identifiants gestionnaires stockés chiffrés en Vault
- • Révocables à tout moment depuis l'espace client
- • Logs d'accès complets et traçables (django-auditlog)
Vos données énergie en confiance
RGPD, OWASP, AI Act, hébergement France, sous-traitants publics. Pas de claims sans preuve, pas de certification fantôme. Le DPO est joignable en direct.
Ressources & contact
Contact sécurité
DPO : dpo@energydataplatform.fr
Faille sécurité : security@energydataplatform.fr
Engagement de transparence
Nous sommes en amélioration continue. Cette page reflète sans embellissement ce qui est déjà en place (RGPD, OWASP, AI Act, chiffrement, hébergement France, sous-traitants déclarés) et ce qui est visé en 2026 (audit pentest externe, démarche ISO 27001, bug bounty formel).
Si vous êtes DPO d'un cabinet client et avez besoin d'éléments complémentaires (DPA signé, registre des traitements, AIPD), écrivez à dpo@energydataplatform.fr.