Sécurité et conformité

Où sont vos données, qui peut y accéder, comment elles sont sauvegardées et qui sont nos sous-traitants. Cette page ne décrit que ce qui est en place aujourd’hui. Ce qui reste à faire est daté et signalé comme prévu.

Dernière mise à jour : 12 septembre 2026

Où sont vos données

Vos données sont hébergées sur Google Cloud, région de Paris (europe-west9), dans l’Union européenne.
Les sauvegardes sont stockées dans la même région.
Aucun contenu client, ni fichier ni base de données, ne sort de l’Union européenne.

Chiffrement

Chiffrement en transit par TLS sur tous les accès à la plateforme et à vos services.
Chiffrement au repos en AES-256, assuré par le fournisseur cloud.
Les identifiants de connexion de vos services managés sont chiffrés par NidApp avant d’être stockés.

Contrôle d’accès

Dans la console, l’accès à une organisation et à ses projets est donné par rôle : propriétaire, administrateur, lecteur.
Côté NidApp, un seul administrateur d’infrastructure, avec un compte nominatif. Aucun compte partagé.
Chaque service client s’exécute dans un environnement isolé des autres clients.

Prévu

Cloisonnement réseau en refus par défaut et quotas de ressources par offre, décembre 2026.
Suppression des dernières clés d’accès techniques au profit d’une authentification sans clé, décembre 2026.

Sauvegardes et réversibilité

Les volumes de fichiers des services en production sont sauvegardés chaque nuit depuis le 12 août 2026, avec une rétention de 30 jours, dans la région de Paris.
Vous pouvez demander l’export de vos données à tout moment et à la fin du contrat.
Aucun délai de restauration n’est annoncé tant que la procédure n’a pas été exercée.

Prévu

Extension de la sauvegarde quotidienne aux bases de données et aux fichiers de configuration, avec une rétention de 15 jours et une copie quotidienne des bases vers un stockage séparé, avant novembre 2026.
Premier test de restauration tracé, puis un test par trimestre, avant novembre 2026.
Perte de données maximale de 24 heures sur l’ensemble des données, une fois les bases intégrées à la sauvegarde quotidienne, avant novembre 2026.

Supervision et incidents

Les métriques et les journaux de vos services sont collectés sur la plateforme et conservés 10 jours.
Support en heures ouvrées, du lundi au vendredi de 9 h à 18 h, prise en charge sous 4 heures.
Il n’y a pas d’astreinte en dehors des heures ouvrées, et NidApp ne vend aucun engagement chiffré de disponibilité.

Prévu

Contrôle de disponibilité externe et canal d’alerte immédiat, avant novembre 2026.
Alertes automatiques sur la disponibilité, la saturation des disques et l’expiration des certificats, et rapport mensuel de disponibilité, novembre 2026.
Procédure de violation de données formalisée, avec notification du client sous 24 heures et de la CNIL sous 72 heures, novembre 2026.

Sous-traitants

Voici la liste complète des sous-traitants susceptibles de traiter des données dans le cadre du service, au 30 septembre 2026. Elle est mise à jour à chaque ajout.

Sous-traitants
Sous-traitant	Finalité	Localisation	Données concernées
Google Cloud EMEA Limited	Hébergement des services et des sauvegardes	Irlande, infrastructure à Paris (europe-west9)	Toutes les données hébergées pour votre compte
Google Ireland Limited	Google Workspace Sheets, registre des demandes de démo envoyées depuis ce site	Irlande	Nom, email, société et message de la demande de démo
OVH	DNS et messagerie sortante	France	Adresses e-mail des demandes de contact
GitHub	Dépôts de code et manifests de déploiement	États-Unis, Data Privacy Framework	Configuration de déploiement, aucun contenu client
Pennylane	Facturation et comptabilité	France	Données d’identification et de facturation de votre société
Telegram	Alertes techniques internes à l’exploitation	Hors Union européenne	Noms d’organisations et de services, aucun contenu client

Conformité

L’infrastructure Google Cloud est certifiée ISO 27001 et SOC 2 ; ces certifications portent sur le fournisseur d’infrastructure. NidApp n’a ni l’une ni l’autre et ne les revendique pas.
NidApp est une société par actions simplifiée de droit français, SIREN 101 988 962, RCS Paris, siège social au 58 rue de Monceau, CS 48756, 75380 Paris Cedex 08, France.
Le service est régi par le droit français et par le droit de l’Union européenne. Vous pouvez déposer une réclamation auprès de la CNIL.

Prévu

Accord de traitement des données (article 28 du RGPD), registre des traitements et questionnaire de sécurité détaillé, disponibles sur demande à partir de novembre 2026.

Une question sur la sécurité ?

Pour toute question sur cette page, sur nos sous-traitants, ou pour demander un document, écrivez-nous.

contact@nidapp.io

Réserver une démo