Accommodatie en infrastructuur
Deze pagina beschrijft, naast de juridische informatie (art. 6-III LCEN) en het privacybeleid (art. 28 en 32 AVG), de technische infrastructuur waarop de test.gode. fr site is gebaseerd en de veiligheidsmaatregelen uitgevoerd.
Artikel 1
Association E-Cosplay, via son service ENUM — Association loi 1901, 42 rue de Saint-Quentin, 02800 Beautor. SIREN : 943 121 517 · RNA : W022006988 · Code APE/NAF : 93.29Z — Contact : [email protected].
Servers gehuurd bij OVH SAS (OVHwolk), 2 rue Kellermann, 59100 Roubaix, Frankrijk (RCS Lille Métropole 424 761-419), gevestigd in Frankrijk.
De site, haar API en alle gegevens die zij verwerkt (klantenrekeningen, bestellingen, garantieverzoeken, berichten) worden uitsluitend in Frankrijk gehost, in datacenters op het grondgebied van de Europese Unie en bij de AVG ingediend. Buiten de Europese Unie worden geen gegevens opgeslagen.
Artikel 2
Alle uitwisselingen worden gecodeerd in HTTPS (TLS 1.2 minimum, TLS 1.3 voorkeur); de niet-versleutelde verbinding wordt doorgestuurd en het HSTS (HTTP Strict Transport Security) beleid vereist browser-encryptie voor een volgend bezoek.
Gedeputeerde beveiligingsheaders: Content-Security-Policy, X-Content-Type-Options (anti-sniffing), Referenceer-Policy, X-Frame-Options en frame-ancestors (bescherming tegen klik kaping), Permissions-Policy.
Sessiecookies worden ondertekend (HMAC), gemarkeerd HttpOnly, Secure en SameSite; Accounts ontvangen wachtwoorden worden opgeslagen in gehakte en zoute vorm; de administratieruimte wordt geïsoleerd op een apart pad, beschermd door een korte sessie (12 uur) en een strikt beperkte cookie. Prijzen en totalen worden opnieuw berekend aan de serverzijde van elke bestelling, de formulieren en API zijn beperkt in frequentie (misbruikbeveiliging), en de order, account en administratie pagina's zijn uitgesloten van indexeren en cachen.
Artikel 3 Beschikbaarheid en waarborgen
De toepassing is containerized en gecontroleerd; diensten worden automatisch opnieuw gestart in geval van een incident. De gegevens (orders, accounts, garanties, PDF documenten) zijn onderworpen aan regelmatige back-ups, gecodeerd en opgeslagen op een apart medium gelegen in Frankrijk, met behoud waardoor herstel in geval van een ramp. Softwarecomponenten worden up-to-date gehouden en toegang logs worden gehouden voor 12 maanden voor veiligheidsdoeleinden.
Artikel 4 Betaling
Kaartbetalingen worden verwerkt door Systempay, betalingsoplossing van Lyra Network SAS (goedgekeurde betalingsdienstaanbieder, gecertificeerd PCI-DSS niveau 1), namens Banque Populaire, SAS-bank Godé. Kaartgegevens worden uitsluitend ingevoerd op de betaalpagina gehost door Lyra; er worden geen kaartgegevens verzonden of opgeslagen op onze servers. Transacties zijn onderworpen aan sterke 3-D Secure authenticatie (DSP2) en het resultaat van de betaling wordt verzonden naar onze server door ondertekende kennisgeving (IPN), geverifieerd voordat een orderbevestiging.
Artikel 5
Vereniging E-Cosplay, via haar ENUM-dienst ontwerp, hosting, exploitatie en onderhoud van de site (Frankrijk).
OVH SAS (OVHcloud), 2 rue Kellermann, 59100 Roubaix .
Amazon Web Services EMEA SARL, 38 avenue John F. Kennedy, L-1855 Luxembourg — acheminement des e-mails transactionnels via Amazon SES, région Europe (Paris, eu-west-3). Seuls les e-mails (adresse du destinataire et contenu du message) transitent par ce service ; aucune donnée n'est conservée par AWS au-delà de l'acheminement et des journaux techniques.
Lyra Network SAS, 109 rue de l'Innovation, 31670 Labège — plateforme de paiement Systempay (France).
La Poste SA service Colissimo, 9 rue du Colonel Pierre Avia, 75015 Paris pakketbezorging, label generatie en tracking (Frankrijk en de Europese Unie).
E-Cosplay e-sign (E-Cosplay (ENUM)) .
Elke toeleverancier is gebonden door een contract overeenkomstig artikel 28 AVG en biedt voldoende garanties voor de uitvoering van passende technische en organisatorische maatregelen.
Artikel 6 Overschrijvingen buiten de Europese Unie
Bij de huidige exploitatie van de site wordt geen gegevensoverdracht buiten de Europese Unie verricht. De in de Unie gevestigde aanbieders zijn onderworpen aan de AVG; Indien een van hen gebruik zou maken van een in een derde land gevestigde toeleverancier, zou de overdracht worden geregeld door een adequaatheidsbesluit of de standaardcontractbepalingen van de Europese Commissie (artikelen 44 tot en met 46 AVG).
Artikel 7
SAS Godé en haar onderaannemers hebben een procedure ingevoerd voor de opsporing, kwalificatie en behandeling van veiligheidsincidenten. In geval van een inbreuk op persoonsgegevens stelt SAS Godé de CNIL binnen 72 uur na de kennisneming daarvan in kennis wanneer zij een risico voor de rechten en vrijheden van personen (art. 33 AVG) kan opleveren en stelt zij de betrokken personen zo spoedig mogelijk op de hoogte wanneer dit risico hoog is (art. 34 AVG). Een register van inbreuken wordt bijgehouden overeenkomstig artikel 33, lid 5.
Artikel 8 Bericht van kwetsbaarheid
Iedereen die een inbreuk op de beveiliging op de site vindt, wordt verzocht deze op verantwoorde wijze te melden aan [email protected] of [email protected], zonder deze te exploiteren of gegevens bekend te maken. Op grond van artikel L2321-4 van de Defensiecode kan een dergelijke bonafide benadering aan ANSSI worden gericht. Technisch contact: [email protected].