Sécurité et signalement d'une faille
Version du 25 octobre 2026.
Nos mesures
- Chiffrement des communications (HTTPS/TLS) et chiffrement applicatif des secrets sensibles et des fichiers stockés.
- Authentification unique par Volcanium Compte : mots de passe hachés, double authentification, clés d'accès (passkeys), alertes de connexion inhabituelle, sessions courtes.
- Droits vérifiés côté serveur à chaque requête ; cloisonnement des données entre organisations ; accès d'administration réservé, protégé par clé d'accès et tracé.
- Journalisation sans secrets ni contenus ; purge automatique selon les durées affichées dans chaque politique.
- Sauvegardes régulières, rotation de 30 jours ; page de maintenance et retour arrière automatique lors des mises à jour.
- Hébergement chez des prestataires de premier rang, listés sur la page Sous-traitants et hébergement.
Ces mesures réduisent les risques sans les supprimer : aucun système n'est infaillible. Les responsabilités de chacun sont détaillées dans les conditions d'utilisation de chaque service.
Violation de données personnelles
Si une violation de données personnelles survient :
- nous la qualifions et la contenons sans délai ;
- si nous sommes responsables de traitement, nous la notifions à la CNIL dans les 72 heures lorsqu'elle est susceptible d'engendrer un risque pour les personnes (article 33 du RGPD), et nous informons directement les personnes concernées si le risque est élevé (article 34) ;
- si nous sommes sous-traitant d'une organisation, nous l'informons dans les meilleurs délais et au plus tard 72 heures après en avoir eu connaissance, pour lui permettre de remplir ses propres obligations ;
- nous tenons un registre interne des violations (article 33.5).
Signaler une vulnérabilité
Écrivez à safety@volcanium.eu (adresse réservée à la sécurité ; toute autre demande va à contact@volcanium.eu).
Nous vous demandons de : décrire précisément la faille et la façon de la reproduire ; ne pas accéder à des données d'autrui au-delà du strict nécessaire pour démontrer le problème, ne pas les copier ni les divulguer ; ne pas perturber le service (pas de déni de service, pas d'ingénierie sociale ni d'attaque physique) ; nous laisser un délai raisonnable de correction avant toute divulgation publique.
En retour, nous accusons réception sans délai, vous tenons informé de la correction et, si vous avez agi de bonne foi dans ce cadre, nous n'engagerons pas de poursuites. Ce cadre ne constitue pas un programme de récompenses.