Présentation de la sécurité

Dernière mise à jour : 26 août 2026

Ce document décrit la manière dont supportpages.io protège vos données. Nous sommes transparents sur nos pratiques de sécurité, car la confiance exige la transparence.

Infrastructure

Lieu d’hébergement

Fournisseur : Hetzner
Localisation : Finlande (UE)
Juridiction : La législation européenne sur la protection des données s’applique

Pourquoi la Finlande ?

Nous avons choisi un hébergement dans l’UE, car :
- la conformité au RGPD est plus simple lorsque les données restent dans l’UE ;
- Hetzner applique des pratiques de sécurité rigoureuses ;
- la Finlande dispose d’une législation solide en matière de protection des données.

Sécurité physique

Les centres de données de Hetzner disposent :
- d’une sécurité sur site 24 h/24, 7 j/7 ;
- de contrôles d’accès biométriques ;
- d’une vidéosurveillance ;
- d’une alimentation électrique et d’un refroidissement redondants.

Authentification

Comment vous vous connectez

GitHub OAuth uniquement – Nous ne stockons pas de mots de passe
Jetons sécurisés – GitHub fournit les jetons d’authentification
Gestion des sessions – Cookies sécurisés, en mode HTTP-only

Ce que nous conservons

Votre identifiant utilisateur GitHub (pas votre mot de passe)
Le jeton OAuth GitHub (pour l’accès à l’API)
Les jetons de session (pour rester connecté)

Sécurité des jetons

L’accès GitHub App que nous utilisons pour lire vos dépôts est de courte durée et limité aux seuls dépôts que vous choisissez
Les jetons d’accès stockés se trouvent dans notre base de données hébergée dans l’UE, ne sont jamais exposés dans les journaux et ne sont jamais partagés avec d’autres utilisateurs
Vous pouvez révoquer notre accès depuis GitHub à tout moment

Données en transit

Chiffrement

TLS 1.2+ pour toutes les connexions
HTTPS uniquement – Les requêtes HTTP sont redirigées vers HTTPS
HSTS – Les navigateurs mémorisent l’obligation d’utiliser HTTPS

Ce que cela signifie

Lorsque vous utilisez supportpages.io :
- la connexion de votre navigateur est chiffrée ;
- les données ne peuvent pas être interceptées en transit ;
- même nous ne pouvons pas voir les données en transit (chiffrement de bout en bout).

Sécurité des API

Tous les appels aux API externes utilisent HTTPS
Les contenus des webhooks sont signés et vérifiés
Les jetons d’API ne sont jamais exposés dans les journaux

Données au repos

Base de données

Stockage chiffré
Sauvegardes régulières (également chiffrées)
Sauvegardes conservées dans la même région (Finlande)

Ce que nous conservons

Les comptes et paramètres des utilisateurs
Les configurations des projets
La documentation générée
Les statistiques d’utilisation

Ce que nous ne conservons pas

Votre code brut (traité temporairement, puis supprimé)
Votre mot de passe GitHub
Des données personnelles superflues

Traitement du code

C’est la partie la plus sensible de notre activité. Voici comment nous protégeons votre code :

Analyse initiale du code

Déclenchement – Vous connectez SupportPages à un dépôt (analyse dans le cloud) et lancez la première exécution
Isolement – Votre code est copié dans un environnement sécurisé et cloisonné (sandbox)
Analyse – L’IA lit votre code pour en comprendre la structure et la finalité
Nettoyage – L’environnement isolé est détruit, votre code est supprimé
Conservation – Seuls le résumé généré et les métadonnées sont conservés

Analyse des PR

Notification – GitHub nous informe d’une PR fusionnée
Isolement – Un nouvel environnement cloisonné est créé
Analyse – L’IA analyse les modifications dans le contexte de votre code
Nettoyage – L’environnement est détruit, votre code est supprimé
Conservation – Seule la documentation générée est conservée

Analyse sur votre infrastructure (SupportPages Agent, bêta)

Les deux processus ci-dessus décrivent l’analyse dans le cloud. Vous pouvez aussi exécuter l’analyse sur une infrastructure que vous contrôlez grâce au SupportPages Agent, choisi lors de l’inscription. L’Agent est en bêta et est ouvert progressivement, équipe par équipe.

Où il s’exécute – Dans votre agent de code (sous forme de skill et de serveur MCP), ou comme étape de votre pipeline CI/CD exécutée à chaque fusion
Ce qu’il lit – Le code déjà présent sur cette machine ou ce runner. Il ne clone rien depuis nos serveurs et nous ne détenons aucun jeton d’accès à votre dépôt
Ce qu’il envoie à SupportPages – Le contenu des articles générés, via HTTPS
Ce qu’il n’envoie jamais – Votre code source, vos diffs ou le contenu de vos fichiers

Dans ce mode, SupportPages ne reçoit, ne traite et ne stocke votre code à aucun moment. Les étapes de sandbox et de nettoyage décrites ci-dessus ne s’appliquent pas, car le code ne quitte jamais votre environnement.

Mesures de sécurité

Environnements isolés – Votre code s’exécute dans des conteneurs cloisonnés
Traitement éphémère – Chaque analyse utilise un nouvel environnement
Aucun stockage persistant – Les environnements sont détruits après chaque utilisation
Aucune conservation du code – Votre code source n’est jamais stocké dans notre base de données
Un seul fournisseur d’IA – Le code n’est partagé qu’avec notre fournisseur d’IA (Anthropic)

Notre fournisseur d’IA

Conformément à notre accord de traitement des données avec Anthropic :
- il traite votre code pour générer de la documentation ;
- il ne conserve pas votre code une fois le traitement terminé ;
- il n’entraîne pas de modèles sur vos données ;
- il ne partage pas votre code avec des tiers.

Contrôle d’accès

Accès interne

Principe du moindre privilège – Le personnel n’accède qu’à ce dont il a besoin
Aucun accès routinier au code – Nous ne consultons pas votre code
Journalisation des accès – Les accès sont enregistrés

Quand nous pouvons accéder aux données

Débogage – Si vous signalez un bug et nous demandez d’enquêter
Incidents de sécurité – Si nous devons enquêter sur une violation
Obligations légales – Si la loi nous y contraint

Nous vous informerons si nous accédons à vos données (sauf interdiction légale).

Accès des clients

Vous n’accédez qu’à vos propres données
Les projets sont isolés d’un utilisateur à l’autre
Une authentification est requise pour tout accès

Surveillance

Ce que nous surveillons

Les erreurs et exceptions de l’application
Les indicateurs de performance
Les événements de sécurité (échecs de connexion, etc.)

Ce que nous ne surveillons pas

Le contenu de votre code
Le contenu de votre documentation
Vos habitudes d’utilisation privées

Journalisation des erreurs

Notre outil de surveillance des erreurs filtre :
- les jetons d’authentification ;
- le contenu du code ;
- les données personnelles sensibles.

Les journaux d’erreurs contiennent des informations de diagnostic, mais jamais votre code.

Réponse aux incidents

En cas de problème

Détection – Notre surveillance nous alerte des problèmes
Évaluation – Nous évaluons l’étendue et l’impact
Confinement – Nous stoppons l’incident
Notification – Nous vous informons de ce qui s’est passé (dans un délai de 72 heures en cas de violation)
Résolution – Nous corrigeons la cause profonde
Analyse post-incident – Nous en tirons les leçons et nous nous améliorons

Notification des violations

En cas de violation de données personnelles, nous nous engageons à :
- informer les clients concernés dans un délai de 72 heures ;
- fournir des détails sur ce qui s’est passé ;
- expliquer les mesures que nous prenons.

Sécurité des tiers

Sélection des sous-traitants ultérieurs

Avant de faire appel à un sous-traitant ultérieur, nous vérifions :
- qu’il dispose des certifications de sécurité appropriées ;
- qu’il signe des accords de traitement des données ;
- qu’il respecte nos normes de sécurité.

Sous-traitants ultérieurs actuels

Consultez notre page Sous-traitants ultérieurs pour en savoir plus sur la sécurité de chaque fournisseur.

Examen continu

Nous examinons régulièrement les pratiques et certifications de sécurité de nos sous-traitants ultérieurs.

Ce que nous ne faisons pas

Pour être clairs, nous ne :
- vendons pas vos données ;
- partageons pas votre code avec des parties non autorisées ;
- entraînons pas d’IA sur vos données ;
- stockons pas de mots de passe ;
- utilisons pas de cookies de suivi ;
- exploitons pas votre code à d’autres fins que la documentation.

Vos responsabilités

La sécurité est une responsabilité partagée. Il vous appartient :
- de sécuriser votre compte GitHub (utilisez l’authentification à deux facteurs) ;
- de relire la documentation générée avant de la publier ;
- de signaler rapidement toute préoccupation de sécurité ;
- de révoquer l’accès si vous n’utilisez plus le service.

Signaler un problème de sécurité

Vous avez découvert une vulnérabilité ? Prévenez-nous :

E-mail : security@supportpages.io

Nous apprécions la divulgation responsable. Nous nous engageons à :
- accuser réception dans un délai de 24 heures ;
- vous tenir informé de l’avancement de notre enquête ;
- vous citer (si vous le souhaitez) lorsque nous aurons corrigé le problème ;
- ne pas engager de poursuites contre les chercheurs agissant de bonne foi.

Certifications et conformité

Situation actuelle

Conforme au RGPD – Hébergement dans l’UE, DPA disponible
SOC 2 – Pas encore (sur notre feuille de route)

Feuille de route

À mesure que nous grandirons, nous prévoyons d’obtenir :
- la certification SOC 2 Type II ;
- la certification ISO 27001.

Questions

Vous avez des questions sur la sécurité ? Contactez-nous :

E-mail : security@supportpages.io

Nous serons heureux de détailler nos pratiques de sécurité, de signer des accords de confidentialité (NDA) pour les échanges sensibles ou de remplir des questionnaires de sécurité.

La sécurité n’est jamais « terminée ». Nous améliorons continuellement nos pratiques. Ce document reflète notre situation à la date indiquée ci-dessus.