sécurité · document Q-S1 · révision 1 · 2026-11-01
Conduit selon les normes. Pas encore certifié.
Q Division conduit ses contrôles selon ISO/IEC 27001, SOC 2 et le RGPD. Aucun certificat ni rapport d'attestation n'a été obtenu, et aucun n'est revendiqué. Cette page dit ce qui est en vigueur, à quelle clause ou quel critère chaque contrôle répond, et où il en est aujourd'hui.
la position
Trois référentiels, une déclaration simple pour chacun.
Suivre une norme et être certifié selon elle sont deux choses différentes, et cette page les tient séparées. Les contrôles ci-dessous sont construits et exploités avec ces trois référentiels pour référence. Aucun audit indépendant n'a été mené : il n'y a donc ni certificat, ni rapport SOC 2, ni certification RGPD à montrer. Quand l'un d'eux sera obtenu, il sera indiqué ici avec sa date et son périmètre.
- ISO/IEC 27001:2022
- La norme de management de la sécurité de l'information. Les contrôles sont rapportés à l'annexe A.
- suivie · non certifié
- SOC 2
- Les critères de services de confiance pour la sécurité, la disponibilité, la confidentialité, l'intégrité du traitement et la vie privée.
- suivi · aucun rapport d'attestation
- RGPD
- Les obligations du sous-traitant au titre du règlement général sur la protection des données, et celles du responsable là où Q Division l'est.
- suivi · aucun mécanisme de certification rejoint
la table de correspondance
Chaque contrôle, et ce à quoi il répond.
Douze contrôles. Les références sont les clauses et critères auxquels chacun parle ; c'est une carte, pas une déclaration de conformité.
01
Isolation des espaces
Sécurité au niveau des lignes imposée dans PostgreSQL avec un rôle d'exécution qui n'est pas superutilisateur. Une requête sans contexte d'espace ne voit aucune ligne.
ISO 27001 annexe AA 8.3 · A 5.15
SOC 2CC6.1
RGPDart. 25 · art. 32
aujourd'huien vigueur
02
Clés et accès
Les clés sont délivrées par organisation, avec un administrateur nommé. Le renouvellement est l'acte de l'organisation, sur soupçon ou à échéance.
ISO 27001 annexe AA 5.18 · A 8.5
SOC 2CC6.2 · CC6.3
RGPDart. 32
aujourd'huien vigueur
03
Une personne avant une action protégée
Les exécutions s'arrêtent avant les actions protégées. Chaque approbation est liée à l'espace, à la personne, à l'exécution et à la version de l'action, et expire sans usage.
ISO 27001 annexe AA 5.3
SOC 2PI1.3
RGPDart. 22
aujourd'huien vigueur
04
Le journal
Chaque étape, décision et coût est ajouté en séquence et jamais réécrit. Les exécutions se rejouent depuis lui ; les preuves s'assemblent depuis lui.
ISO 27001 annexe AA 8.15 · A 5.33
SOC 2CC7.2
RGPDart. 5(2) · art. 30
aujourd'huien vigueur
05
Les garde-fous
Contrôles d'entrée contre l'injection et les requêtes malformées. Contrôles de sortie contre les fuites de données personnelles et les affirmations sans source. Contrôles de coût pour les budgets et les limites de débit.
ISO 27001 annexe AA 8.11 · A 8.12
SOC 2CC6.7 · PI1.2
RGPDart. 5(1)(f) · art. 32
aujourd'huien vigueur
06
Chiffrement en transit
Les appels aux fournisseurs de modèles et aux systèmes connectés se font en HTTPS. Le chiffrement au repos est assuré par la plateforme d'hébergement et sera indiqué ici avec son périmètre.
ISO 27001 annexe AA 8.24
SOC 2CC6.7
RGPDart. 32
aujourd'huien transit en vigueur · au repos à préciser
07
Conservation et effacement
Journaux 7 jours et traces 30 par défaut, sous une politique que chaque organisation peut resserrer. L'effacement retire d'un coup les enregistrements dérivés et renvoie un reçu de ce qui reste à attester.
ISO 27001 annexe AA 8.10
SOC 2C1.2 · P4.3
RGPDart. 5(1)(e) · art. 17
aujourd'huien vigueur
08
Journalisation et accès des opérateurs
Les journaux de requêtes et les traces restent dans le périmètre de l'espace. Les opérateurs de Q Division n'accèdent aux enregistrements d'un espace que pour le support.
ISO 27001 annexe AA 8.15 · A 8.16
SOC 2CC7.2
RGPDart. 32
aujourd'huien vigueur
09
Gestion des changements et portes de mise en production
Chaque changement passe les vérifications requises, dont l'audit des dépendances et l'analyse statique, avant publication. Sept portes de production sont définies ; aucune n'a encore été franchie, et la remédiation des dépendances est ouverte.
ISO 27001 annexe AA 8.25 · A 8.29 · A 8.32
SOC 2CC8.1
RGPDart. 25
aujourd'huien vigueur en local · 0 porte sur 7 franchie
10
Sauvegarde et restauration
Un exercice scripté exporte la base, la restaure dans une base jetable, la met à niveau, et vérifie que la sécurité au niveau des lignes et les limites de rôle tiennent après restauration.
ISO 27001 annexe AA 8.13
SOC 2A1.2
RGPDart. 32(1)(c)
aujourd'huiexercice scripté · sauvegardes de la plateforme à préciser
11
Fournisseurs
Les sous-traitants ultérieurs sont listés par catégorie sur la page protection des données, avec le fournisseur en service aujourd'hui. Les organisations sont prévenues avant qu'un nouveau traite leurs données.
ISO 27001 annexe AA 5.19 · A 5.21
SOC 2CC9.2
RGPDart. 28(2) · art. 28(4)
aujourd'huien vigueur · localisations à confirmer
12
Incidents et divulgation
Les organisations sont prévenues sans retard indu d'une violation touchant leurs données. Les signalements de chercheurs vont à l'adresse ci-dessous et reçoivent un accusé de réception sous deux jours ouvrés.
ISO 27001 annexe AA 5.24 · A 5.26
SOC 2CC7.3 · CC7.4
RGPDart. 33(2)
aujourd'huien vigueur · procédure en rédaction
références à l'annexe A d'ISO/IEC 27001:2022, aux critères de services de confiance de 2017 et au RGPD · une carte, pas une déclaration de conformité
divulgation responsable
Si vous trouvez quelque chose.
Écrivez à l'adresse ci-dessous avec ce que vous avez trouvé et comment le reproduire. Vous recevrez un accusé de réception sous deux jours ouvrés et un compte rendu simple de ce qui a été fait. Ne testez que sur un espace qui vous appartient ; jamais sur les données d'une autre organisation. Il n'y a pas de programme de récompense aujourd'hui, et cela sera indiqué ici si un s'ouvre.
- signaler à
- q@elementary.mu
- accusé de réception
- sous deux jours ouvrés
- périmètre
- votre propre espace · la documentation publique · ce site
- récompense
- aucune aujourd'hui
révisions
L'historique de cette page.
- révision 1
- 2026-11-01 · première page complète : position, table de correspondance, divulgation
- révision 0
- 2026-10-31 · quatre paragraphes en attendant la page complète
Les questions de sécurité vont à q@elementary.mu.