Sécurité et données

Ce que Tendveo fait de tes données, concrètement, et ce qu'il ne fait pas encore. Les points manquants sont écrits ici plutôt que découverts après paiement.

1. Hébergement

Le service tourne sur un serveur OVH SAS, 2 rue Kellermann, 59100 Roubaix, France (serveurs dans l'Union européenne). Les données restent dans l'Union européenne. Le site est servi en HTTPS ; le certificat est renouvelé automatiquement.

2. Compte et connexion

Pas de mot de passe à retenir : la connexion se fait par un lien envoyé à ton adresse, valable une fois et pendant une durée limitée.
La session est un cookie signé par le serveur ; une adresse saisie dans un formulaire ne bascule jamais la session d'un autre compte.
Les demandes sensibles (connexion, formulaires) sont limitées en fréquence par adresse réseau.

3. Paiement

Le paiement est traité par Stripe Payments Europe Ltd. Aucun numéro de carte ne transite ni n'est stocké chez nous ; nous recevons de Stripe un identifiant de client et l'état de l'abonnement, signés. Un paiement que nous ne saurions pas rattacher à un compte n'est jamais perdu en silence : il est conservé et déclenche une alerte.

4. Ce que nous stockons, et combien de temps

Ton adresse, ton profil métier, tes favoris et tes retours « pertinent / pas pour moi », les journaux techniques. Les durées et les bases légales sont dans la politique de confidentialité. À la fin d'un contrat, tu disposes de trente jours pour exporter tes données ; ensuite tes profils, favoris et retours sont supprimés automatiquement (purge quotidienne), et le compte lui-même sur demande, sauf obligation légale de conservation.

5. Sous-traitants

OVH SAS, hébergement (Union européenne).
Stripe Payments Europe Ltd, paiement.
Sentry, journal des erreurs techniques (sans contenu de profil).
OVH, envoi des courriers (relevé quotidien, lien de connexion).

6. Sauvegardes et déploiements

Avant chaque mise en production, le code précédent est conservé et la base n'est jamais écrasée ; une mise en production qui échoue est annulée automatiquement. Une sauvegarde quotidienne de la base, hors du serveur, est en cours de mise en place : tant qu'elle n'est pas prouvée, nous ne l'annonçons pas.

7. Ce que nous n'avons pas

Aucune certification (ISO 27001, SOC 2, HDS). Nous le dirons ici le jour où nous en aurons une.
Pas de chiffrement de la base au repos au-delà de celui du disque hébergé.
Pas d'authentification à deux facteurs : le lien de connexion à usage unique en tient lieu.

8. Signaler une faille

Écris à contact@ineya.studio avec le détail reproductible. Nous accusons réception sous deux jours ouvrés et nous te tenons informé de la correction. Pas de poursuite contre une recherche de bonne foi qui ne touche pas aux données d'autrui.

Un accord de traitement des données (DPA) est fourni sur demande à la même adresse, pour les clients qui en ont besoin.