Alojamiento e infraestructura
Esta página describe, además de la información legal (Art. 6-III LCEN) y la política de privacidad (Arts. 28 y 32 GDPR), la infraestructura técnica en la que el test.gode. fr site is based and the security measures implemented.
Artículo 1 - Alojamiento y ubicación
Association E-Cosplay, a través de su servicio ENUM — Association loi 1901, 42 rue de Saint-Quentin, 02800 Beautor. SIREN : 943 121 517 · RNA : W022006988 · Código APE/NAF : 93.29Z — Contacto : [email protected].
Servidores alquilados de OVH SAS (OVHcloud), 2 rue Kellermann, 59100 Roubaix, Francia (RCS Lille Métropole 424 761-419), ubicado en Francia.
El sitio, su API y todos los datos que procesa (cuentas de clientes, pedidos, solicitudes de garantía, mensajes) se acogen exclusivamente en Francia, en centros de datos ubicados en el territorio de la Unión Europea y presentados al GDPR. No se almacenan datos fuera de la Unión Europea.
Artículo 2 - Seguridad comercial
Todos los intercambios están cifrados en HTTPS (TLS 1.2 mínimo, TLS 1.3 preferido); la conexión no cifrada se redirige y la política de HSTS (HTTP Strict Transport Security) requiere encriptación del navegador para cualquier visita posterior.
Deployed security headers: Content-Security-Policy, X-Content-Type-Options (anti-sniffing), Referrer-Policy, X-Frame-Options and frame-ancestors (protection against click secuestro), Permissions-Policy.
Las cookies de sesión se firman (HMAC), marcadas HtpOnly, Secure y SameSite; Las contraseñas por cobrar de cuentas se almacenan en forma picada y salada; el espacio de administración está aislado en un camino separado, protegido por una breve sesión (12 horas) y una cookie estrictamente limitada. Los precios y los totales se recalculan en el lado servidor de cada pedido, los formularios y API son limitados en frecuencia (protección de uso), y las páginas de orden, cuenta y administración están excluidas de indexación y caché.
Artículo 3 - Disponibilidad y salvaguardias
La aplicación es containerizzate y supervisada; los servicios se reinician automáticamente en caso de incidente. Los datos (ordenes, cuentas, garantías, documentos PDF) están sujetos a respaldos regulares, cifrados y almacenados en un medio separado ubicado en Francia, con retención que permite la restauración en caso de desastre. Los componentes de software se mantienen actualizados y los registros de acceso se mantienen durante 12 meses para fines de seguridad.
Artículo 4 - Pago
Los pagos de tarjetas son procesados por Systempay, solución de pago de Lyra Red SAS (proveedor de servicio de pago aprobado, nivel de PCI-DSS certificado 1), en nombre de Banque Populaire, banco SAS Godé. Los datos de la tarjeta se introducen exclusivamente en la página de pago alojada por Lyra; no se transmiten ni almacenan datos de la tarjeta en nuestros servidores. Las transacciones están sujetas a una fuerte autenticación segura 3-D (DSP2) y el resultado del pago se transmite a nuestro servidor mediante notificación firmada (IPN), verificada antes de cualquier confirmación del pedido.
Artículo 5 - Subcontratistas y proveedores técnicos
Asociación E-Cosplay, a través de su servicio ENUM – diseño, hosting, operación y mantenimiento del sitio (Francia).
OVH SAS (OVHcloud), 2 rue Kellermann, 59100 Roubaix — Alquiler de servidores y centros de datos (Francia).
Amazon Web Services EMEA SARL, 38 avenue John F. Kennedy, L-1855 Luxembourg — delivery of transactional emails via Amazon SES, Europa region (París, eu-west-3). Sólo los correos electrónicos (dirección de destinatario y contenido del mensaje) pasan a través de este servicio; ningún dato es retenido por AWS más allá de la ruta y los registros técnicos.
Lyra Red SAS, 109 rue de l'Innovation, 31670 Labège — plataforma de pago Systempay (Francia).
La Poste SA — service Colissimo, 9 rue du Colonel Pierre Avia, 75015 Paris — package delivery, label generation and tracking (France and European Union).
E-Cosplay e-sign (E-Cosplay (ENUM)) — firma electrónica, estampación de tiempo y revista de auditoría de certificados de garantía (hosted en Francia).
Cada subcontratista estará obligado por un contrato de conformidad con el artículo 28 del RGPD y proporcionará garantías suficientes para la aplicación de medidas técnicas y organizativas apropiadas.
Artículo 6 - Transferencias fuera de la Unión Europea
No se realiza ninguna transferencia de datos fuera de la Unión Europea en el funcionamiento actual del sitio. Los proveedores establecidos en la Unión estarán sujetos al RGPD; Si uno de ellos utilizara un subcontratista subsiguiente ubicado en un tercer país, la transferencia se regirá por una decisión de adecuación o las cláusulas contractuales estándar de la Comisión Europea (arts. 44 a 46 RGPD).
Artículo 7 - Gestión de incidentes y presentación de informes sobre violaciones
SAS Godé y sus subcontratistas han implementado un procedimiento para la detección, calificación y tratamiento de incidentes de seguridad. En caso de incumplimiento de los datos personales, el SAS Godé notificará al CNIL dentro de las 72 horas siguientes a su conocimiento, cuando es probable que crea un riesgo para los derechos y libertades de las personas (art. 33 GDPR), e informará a las personas afectadas lo antes posible cuando este riesgo sea alto (art. 34 GDPR). El registro de violaciones se mantendrá de conformidad con el párrafo 5 del artículo 33.
Artículo 8 - Presentación de informes sobre vulnerabilidad
Cualquier persona que encuentre una brecha de seguridad en el sitio es invitado a informarla responsablemente a [email protected] o [email protected], sin explotarla o revelar datos. De conformidad con el artículo L2321-4 del Código de Defensa, ese enfoque genuino puede dirigirse a la ANSSI. Contacto técnico: [email protected].