--- title: "Mesures techniques et organisationnelles (MTO)" description: "Dernière mise à jour : 9 octobre 2026" canonical_url: "https://getminds.ai/legal/fr/tom" last_updated: "2026-10-24T23:31:56.926Z" --- # Mesures techniques et organisationnelles (MTO) **Dernière mise à jour : 9 octobre 2026** Art of X UG (haftungsbeschränkt) (« Minds ») met en œuvre les mesures techniques et organisationnelles suivantes conformément à l'article 32 du RGPD afin de garantir un niveau de sécurité adapté au risque lié au traitement des données à caractère personnel. --- ## 1. Contrôle d'accès ### Contrôle d'accès physique L'infrastructure de Minds est hébergée exclusivement chez des fournisseurs cloud certifiés : - **DigitalOcean** – centre de données de Francfort, Allemagne (UE). Certifications : SOC 2 Type II, ISO 27001, ISO 27017, ISO 27018. - **Supabase** – centre de données de Stockholm, Suède (UE), hébergé sur AWS. Certifications : SOC 2 Type II. La sécurité physique (contrôles d'accès biométriques, surveillance 24h/24 et 7j/7, journalisation des accès) est entièrement gérée par les fournisseurs cloud. ### Contrôle d'accès logique - Contrôle d'accès basé sur les rôles (RBAC) pour tous les systèmes internes et interfaces d'administration. - Authentification multifacteur (MFA) requise pour tout accès des employés aux systèmes de production. - Comptes utilisateurs individuels – pas d'identifiants partagés. - Examen et révocation réguliers des droits d'accès selon le principe du moindre privilège. - Les clés API et identifiants sont gérés dans des gestionnaires de secrets chiffrés. - Les tokens OAuth, identifiants d’intégration et clés API sont limités par portée, chiffrés au repos et révocables. --- ## 2. Chiffrement ### Chiffrement en transit - Toutes les transmissions de données sont sécurisées via TLS 1.2 ou supérieur. - HSTS (HTTP Strict Transport Security) est activé pour tous les points d'accès publics. - La communication interne entre services est également chiffrée. ### Chiffrement au repos - Les bases de données (Supabase/PostgreSQL) utilisent le chiffrement AES-256 pour les données au repos. - L’accès au stockage est limité par des contrôles de buckets et de services. Les fichiers de sauvegarde doivent être chiffrés en transit et au repos. - Les fichiers de sauvegarde doivent rester chiffrés et isolés de l’utilisation ordinaire de l’application. --- ## 3. Séparation des données (isolation des tenants) - La séparation des tenants repose sur l’autorisation applicative et les contrôles d’accès à la base de données, y compris Row-Level Security lorsqu’elle est configurée. - L’accès entre tenants doit être refusé ; la couverture est validée par des tests négatifs de périmètre défini. - Les tests automatisés vérifient des frontières définies entre tenants ; la validation plus large des contrôles reste en cours. --- ## 4. Disponibilité et résilience ### Architecture d'hébergement - L'application fonctionne sur DigitalOcean App Platform avec mise à l'échelle automatique et contrôles d'intégrité. - Supabase héberge la base PostgreSQL de production à Stockholm, en Suède (eu-north-1). ### Sauvegarde et récupération - Les sauvegardes physiques quotidiennes de la base sont conservées selon le forfait applicable du fournisseur. Elles contiennent les métadonnées Storage, pas les octets des fichiers stockés. - La restauration à un instant donné (PITR) est désactivée dans la configuration de production actuelle (9 octobre 2026). - Les procédures de reprise doivent être testées régulièrement ; la récupération indépendante de Storage et les autres constats de reprise ouverts sont en cours de validation. - Les objectifs de reprise sont des objectifs opérationnels, sauf engagement expressément contraignant dans un bon de commande. --- ## 5. Réponse aux incidents - Processus documenté de réponse aux incidents de sécurité. - Notification au responsable du traitement (client) dans un délai de **24 heures** après la prise de connaissance d'une violation de données à caractère personnel, conformément à l'accord de traitement des données (DPA). - Journalisation et suivi de tous les incidents pertinents en matière de sécurité. - Examen et mise à jour réguliers du plan de réponse aux incidents. --- ## 6. Confidentialité et obligations des employés - Les salariés et prestataires doivent être soumis à des obligations de confidentialité avant tout accès autorisé ; les justificatifs sont incomplets. - Le personnel doit suivre les formations attribuées en confidentialité et sécurité ; les justificatifs de réalisation sont incomplets. - Obligation de respecter le secret des données conformément au RGPD. - L'accès aux données à caractère personnel n'est accordé que sur la base du besoin d'en connaître. --- ## 7. Gestion des sous-traitants - Sélection rigoureuse des sous-traitants sur la base de critères de protection des données et de sécurité. - Obligation contractuelle de tous les sous-traitants à un traitement des données conforme au RGPD. - Examen régulier des sous-traitants. - La liste actuelle des sous-traitants est disponible sur [Sous-traitants](/legal/subprocessors). - Préavis aux clients de tout changement conformément au DPA. --- ## 8. Journalisation et supervision - Journalisation centralisée des événements système et des accès. - Les journaux d’audit couvrent accès API/MCP, changements OAuth/intégrations et actions administratives de sécurité. - **Observabilité IA interne** pour la supervision et le traçage des interactions avec les modèles d'IA (sur l'infrastructure de Minds dans l'UE ; aucun fournisseur d'observabilité distinct). - **PostHog** pour l'analyse produit et le session replay optionnel - analyse persistante/session replay uniquement avec consentement ; diagnostic limité sans cookies lorsque licite. - Supervision des métriques système critiques avec alertes automatisées. - Examen régulier des journaux pour détecter les anomalies. --- ## 9. Minimisation des données et pseudonymisation ### Minimisation des données - Collecte et traitement uniquement des données à caractère personnel nécessaires à la finalité du traitement concerné. - Examen régulier des catégories de données traitées quant à leur nécessité. - Suppression automatique des données qui ne sont plus nécessaires conformément aux durées de conservation définies. ### Pseudonymisation - Lorsque cela est techniquement possible et approprié, les données à caractère personnel sont traitées sous forme pseudonymisée. - Le traitement interne utilise principalement des UUID plutôt que des noms réels. - Les évaluations analytiques sont effectuées sur une base agrégée ou pseudonymisée. --- ## 10. Examen et évaluation réguliers - Évaluations régulières de la sécurité de l'infrastructure et des applications. - Les dépendances sont régulièrement contrôlées pour détecter les vulnérabilités connues (dependency scanning). - Examen et mise à jour de ces MTO au moins une fois par an ou lors de modifications importantes des activités de traitement. - Amélioration continue des mesures de sécurité en fonction du paysage actuel des menaces. --- ## 11. Mesures complémentaires ### Contrôle des entrées - Journalisation des modifications apportées aux données à caractère personnel (audit trail). - Traçabilité de qui a saisi, modifié ou supprimé quelles données et quand. ### Contrôle des transferts - Les transferts de données sont exclusivement chiffrés. - Aucun transfert de données à caractère personnel vers des pays tiers sans un niveau de protection adéquat (décision d'adéquation ou clauses contractuelles types). ### Contrôle du traitement - Traitement des données à caractère personnel exclusivement conformément aux instructions du responsable du traitement. - Régulation contractuelle du traitement sous-traité dans le DPA. --- *Ces mesures techniques et organisationnelles sont examinées régulièrement et mises à jour si nécessaire afin d'assurer un niveau de protection conforme à l'état actuel de la technique.* **Art of X UG (haftungsbeschränkt)** Gérants : Friedrich von Borries et Alexander Doudkin