Sécurité et protection des données

Conformité au RGPD

Quick Event est conforme au RGPD depuis sa création ; il ne s’agit pas d’une adaptation a posteriori, mais d’un développement conforme au principe de protection des données dès la conception . La protection des données est intégrée à l’architecture, et non ajoutée comme une fonctionnalité supplémentaire.

Concrètement, cela signifie que nous fournissons un accord de traitement des données (ATD) complet conforme aux exigences de l'article 28 du RGPD. L'ATD définit clairement les données traitées, leur finalité et les mesures techniques et organisationnelles mises en œuvre pour leur protection.

Tous les droits des personnes concernées sont pleinement respectés : droit d’accès, droit de rectification, droit à l’effacement, droit à la portabilité des données et droit d’opposition. Les participants peuvent consulter, corriger ou supprimer leurs données à tout moment, soit directement via la plateforme, soit en en faisant la demande auprès de l’organisateur.

De plus, Quick Event propose des durées de conservation configurables avec suppression automatique. Une fois la période définie expirée, les données personnelles sont automatiquement et définitivement supprimées de tous les systèmes, sans intervention manuelle.

Traitement des données de l'UE

Toutes les données sont traitées et stockées exclusivement au sein de l'Union européenne. Aucune donnée n'est transférée vers des pays tiers, que ce soit pour la base de données, l'informatique de périphérie ou les sauvegardes.

Le site principal est situé à Francfort-sur-le-Main, en Allemagne. C'est là que se trouve la base de données NEON, qui stocke toutes les données relatives aux événements, aux participants et à l'organisation. Des sites secondaires à Amsterdam et à Paris servent de sauvegardes et de mise en cache périphérique via le réseau Cloudflare. D'autres sites européens, comme Munich et Madrid, sont utilisés pour la diffusion du contenu.

L'ensemble de l'infrastructure est soumis au droit allemand et européen de la protection des données . La juridiction allemande s'applique à toutes les opérations de traitement des données. Pour les organisateurs d'événements, cela garantit une sécurité juridique maximale, sans évaluation complexe des transferts vers des pays tiers.

Cryptage

Quick Event utilise un chiffrement multicouche qui protège à la fois les données pendant leur transmission et les données stockées.

Cryptage pendant la transmission

Toutes les connexions utilisent TLS 1.3 , la norme de chiffrement la plus récente. Cela s'applique aux communications entre le navigateur et le serveur, entre les services internes et à tous les appels d'API. Les versions TLS antérieures et non sécurisées ne sont pas prises en charge.

Chiffrement au repos

Toutes les données stockées dans la base de données sont chiffrées avec AES-256 , la même norme utilisée par les banques et les organismes gouvernementaux. Cela inclut les données des participants, les informations de réservation , le contenu des courriels et les fichiers téléchargés sur Cloudflare R2.

Certificats SSL automatiques

Si vous utilisez votre propre nom de domaine pour les pages de votre événement, Quick Event fournit automatiquement un certificat SSL, sans intervention manuelle ni frais supplémentaires. Les certificats sont renouvelés automatiquement, garantissant ainsi à vos participants une connexion toujours sécurisée.

Contrôle d'accès

Le système d'autorisations de Quick Event repose sur le principe du moindre privilège : chaque utilisateur ne reçoit que les droits nécessaires à l'exécution de sa tâche. Ni plus, ni moins.

Système d'autorisation basé sur les rôles

Quick Event propose trois niveaux d'autorisation. Le rôle Utilisateur limite l'accès à ses propres événements ; il est idéal pour les membres d'une équipe projet qui gèrent uniquement leurs propres événements. Le rôle Administrateur donne un accès complet à tous les événements et paramètres de l'organisation, y compris la gestion d'équipe et la facturation. De plus, il est possible de créer des rôles personnalisés avec des ensembles d'autorisations spécifiques afin de fournir le niveau d'accès précis requis.

Authentification et gestion de session

L'authentification à deux facteurs (2FA) est disponible pour les comptes administrateurs afin d'empêcher tout accès non autorisé, même en cas de mot de passe compromis. Les sessions sont automatiquement fermées après une période d'inactivité configurable. Les utilisateurs peuvent également se connecter via OAuth avec leurs comptes Google, Microsoft ou GitHub existants, sans avoir à gérer de mot de passe supplémentaire.

Toutes les modifications d'autorisation sont enregistrées dans les journaux d'audit , ce qui permet de retracer qui a gagné ou perdu quels droits d'accès et à quel moment.

Certifications des partenaires

Quick Event s'appuie sur des partenaires d'infrastructure éprouvés qui répondent aux normes de sécurité les plus exigeantes. Chaque composant de la plateforme est exploité par un fournisseur faisant l'objet d'audits et de certifications indépendants.

Éclat nuageux

En tant que plateforme de calcul en périphérie, de protection contre les attaques DDoS et de diffusion de contenu, Cloudflare est certifiée SOC 2 Type II , ISO 27001 et PCI DSS niveau 1. Son pare-feu d'applications Web (WAF) protège contre les 10 principales menaces de l'OWASP et son réseau mondial offre une disponibilité de 99,99 %.

Base de données NEON

La base de données PostgreSQL est hébergée chez NEON, certifiée ISO 27001 et SOC 2. Son emplacement à Francfort, au sein de l'UE, garantit que les requêtes et le stockage de la base de données sont entièrement conformes à la législation européenne.

Bande

Pour le traitement des paiements, Quick Event utilise Stripe, certifié PCI DSS niveau 1 , la norme de sécurité la plus élevée du secteur des cartes de paiement. Les données de cartes bancaires ne sont jamais stockées sur les serveurs de Quick Event ; elles sont traitées exclusivement par Stripe.

SendGrid

Les courriels sont envoyés via SendGrid, certifié SOC 2 et entièrement conforme au RGPD. Tous les serveurs de messagerie sont situés dans l'UE et le chiffrement du transport via TLS est systématique pour chaque message sortant.

Intervention en cas d'incident

En cas d'incident de sécurité survenant malgré toutes les mesures de protection, un plan de réponse aux incidents défini, assorti de responsabilités et d'échéances claires, sera activé.

La détection automatisée des menaces par l'IA de Cloudflare identifie les anomalies en temps réel. Dès qu'un incident est confirmé, le système affecté est immédiatement isolé afin d'empêcher toute propagation. Simultanément, des alertes en temps réel sont envoyées à l'équipe de sécurité.

La communication est effectuée selon des délais précis : les clients concernés sont informés sous 24 heures . En cas de violation de données telle que définie par le RGPD, les autorités compétentes sont notifiées sous 72 heures , conformément à la loi. La transparence est primordiale : les parties concernées reçoivent des informations complètes sur l’incident, les mesures prises et les dispositions mises en œuvre pour prévenir tout incident futur.

Durées de conservation et de suppression des données

Quick Event offre aux organisateurs d'événements un contrôle total sur la durée de conservation des données personnelles. Les périodes de conservation sont configurables pour chaque événement et appliquées automatiquement.

Par défaut , les données relatives aux événements sont conservées pendant deux ans après l'événement ; cette période peut être raccourcie ou prolongée selon les besoins. Les données des participants peuvent être supprimées après l'événement ou après une période définie par l'utilisateur. Les journaux d'audit sont conservés pendant sept ans afin de respecter les obligations légales.

La suppression est automatique à l'expiration du délai de conservation, sans intervention manuelle. Elle reste possible à tout moment sur demande , par exemple si un participant exerce son droit à l'oubli. Dans ce cas, les données sont définitivement et irrévocablement supprimées de tous les systèmes et sauvegardes.