Unterkunft & Infrastruktur
Diese Seite beschreibt neben den rechtlichen Informationen (Art. 6-III LCEN) und der Datenschutzerklärung (Art. 28 und 32 DSGVO) die technische Infrastruktur, auf der die test.gode. fr site basiert und die Sicherheitsmaßnahmen umgesetzt.
Artikel 1 — Gastgeber und Standort
Association E-Cosplay, über ihren Dienst ENUM — Association loi 1901, 42 rue de Saint-Quentin, 02800 Beautor. SIREN : 943 121 517 · RNA : W022006988 · APE/NAF-Code : 93.29Z — Kontakt : [email protected].
Server gemietet von OVH SAS (OVHcloud), 2 rue Kellermann, 59100 Roubaix, Frankreich (RCS Lille Métropole 424 761-419), mit Sitz in Frankreich.
Die Website, ihre API und alle von ihr verarbeiteten Daten (Kundenkonten, Bestellungen, Garantieanfragen, Nachrichten) werden ausschließlich in Frankreich, in Rechenzentren auf dem Gebiet der Europäischen Union gehostet und der DSGVO unterworfen. Es werden keine Daten außerhalb der Europäischen Union gespeichert.
Artikel 2 — Handelssicherheit
Alle Austausche werden in HTTPS (TLS 1.2 minimum, TLS 1.3 preferred) verschlüsselt; die unverschlüsselte Verbindung wird umgeleitet und die HSTS-Richtlinie (HTTP Strict Transport Security) erfordert eine Browser-Verschlüsselung für jeden späteren Besuch.
Deployed Security Header: Content-Security-Policy, X-Content-Type-Options (Anti-Sniffing), Referrer-Policy, X-Frame-Options und Frame-ancestors (Schutz vor Klick-Hijacking), Permissions-Policy.
Session-Cookies sind signiert (HMAC), gekennzeichnet mit HttpOnly, Secure und SameSite; Accounts Forderungspasswörter werden in zerkleinerter und salziger Form gespeichert; der Verwaltungsraum ist auf einem separaten Pfad isoliert, geschützt durch eine kurze Sitzung (12 Stunden) und ein streng begrenztes Cookie. Preise und Summen werden auf der Serverseite jeder Bestellung neu berechnet, die Formulare und die API sind in der Häufigkeit begrenzt (Missbrauchsschutz) und die Bestell-, Konto- und Verwaltungsseiten sind von der Indexierung und dem Cacheting ausgeschlossen.
Artikel 3 — Verfügbarkeit und Garantien
Die Anwendung wird containerisiert und überwacht; Dienste werden im Falle eines Vorfalls automatisch neu gestartet. Die Daten (Bestellungen, Konten, Garantien, PDF-Dokumente) unterliegen regelmäßigen Backups, werden verschlüsselt und auf einem separaten Medium in Frankreich gespeichert, wobei die Aufbewahrung die Wiederherstellung im Katastrophenfall ermöglicht. Softwarekomponenten werden auf dem neuesten Stand gehalten und Zugriffsprotokolle werden aus Sicherheitsgründen für 12 Monate aufbewahrt.
Artikel 4 — Zahlung
Kartenzahlungen werden von Systempay, Zahlungslösung von Lyra Network SAS (zugelassener Zahlungsdienstleister, zertifiziert PCI-DSS Level 1), im Auftrag der Banque Populaire, SAS Bank Godé. Kartendaten werden ausschließlich auf der von Lyra gehosteten Zahlungsseite eingegeben; auf unseren Servern werden keine Kartendaten übertragen oder gespeichert. Transaktionen unterliegen einer starken 3-D Secure-Authentifizierung (DSP2) und das Ergebnis der Zahlung wird an unseren Server per signierter Benachrichtigung (IPN) übermittelt, die vor einer Auftragsbestätigung überprüft wird.
Artikel 5 — Unterauftragnehmer und technische Dienstleister
Verband E-Cosplay, über seinen ENUM-Service - Design, Hosting, Betrieb und Wartung der Website (Frankreich).
OVH SAS (OVHcloud), 2 rue Kellermann, 59100 Roubaix — Vermietung von Servern und Rechenzentren (Frankreich).
Amazon Web Services EMEA SARL, 38 avenue John F. Kennedy, L-1855 Luxemburg — Zustellung von Transaktions-E-Mails über Amazon SES, Region Europa (Paris, eu-west-3). Nur E-Mails (Adresse des Empfängers und Inhalt der Nachricht) werden über diesen Dienst weitergeleitet; es werden keine Daten von AWS über Routing und technische Protokolle hinaus gespeichert.
Lyra Network SAS, 109 rue de l'Innovation, 31670 Labège — Payment Platform Systempay (Frankreich).
La Poste SA — service Colissimo, 9 rue du Colonel Pierre Avia, 75015 Paris — Paketzustellung, Etikettenerzeugung und -verfolgung (Frankreich und Europäische Union).
E-Cosplay e-sign (E-Cosplay (ENUM)) — elektronische Signatur, Zeitstempel und Prüfungsjournal von Garantiezertifikaten (gehostet in Frankreich).
Jeder Unterauftragnehmer ist durch einen Vertrag gemäß Artikel 28 DSGVO gebunden und bietet ausreichende Garantien für die Durchführung geeigneter technischer und organisatorischer Maßnahmen.
Artikel 6 — Übermittlungen außerhalb der Europäischen Union
Im aktuellen Betrieb der Website erfolgt keine Datenübertragung außerhalb der Europäischen Union. In der Union niedergelassene Anbieter unterliegen der DSGVO; Wenn einer von ihnen einen nachfolgenden Unterauftragnehmer mit Sitz in einem Drittland einsetzen würde, würde die Übertragung durch einen Angemessenheitsbeschluss oder die Standardvertragsklauseln der Europäischen Kommission (Artikel 44 bis 46 DSGVO) geregelt.
Artikel 7 — Vorfallmanagement und Meldung von Verstößen
SAS Godé und seine Subunternehmer haben ein Verfahren zur Erkennung, Qualifizierung und Behandlung von Sicherheitsvorfällen implementiert. Im Falle einer Verletzung personenbezogener Daten benachrichtigt SAS Godé die CNIL innerhalb von 72 Stunden nach Bekanntwerden, wenn sie ein Risiko für die Rechte und Freiheiten von Personen (Art. 33 DSGVO) darstellen könnte, und informiert die betroffenen Personen so bald wie möglich, wenn dieses Risiko hoch ist (Art. 34 DSGVO). Ein Register der Verstöße wird gemäß Artikel 33.5 geführt.
Artikel 8 — Meldung von Schwachstellen
Jeder, der eine Sicherheitsverletzung auf der Website feststellt, wird gebeten, diese verantwortungsvoll an [email protected] oder [email protected] zu melden, ohne sie zu nutzen oder Daten offenzulegen. Gemäß Artikel L2321-4 des Verteidigungsgesetzbuches kann ein solcher bona fide Ansatz an ANSSI gerichtet werden. Technischer Kontakt: [email protected].