Centre de confiance WakaStart.
Tout ce que votre RSSI, votre DPO ou votre service achats doit vérifier avant de nous confier un projet : nos certifications, l'hébergement, nos mesures de sécurité, l'usage de l'intelligence artificielle, le traitement de vos données et nos documents contractuels.
Dernière mise à jour : 6 novembre 2026Ce qui est certifié, exactement.
Les certificats couvrent nos activités. Une application que nous hébergeons pour vous entre dans ce périmètre.
| Référentiel | Certificat | Validité |
|---|---|---|
| ISO/IEC 27001:2022 | Certificat n° CYBEVAL-SMSI-082025-0003délivré par Cybeval, accrédité Cofrac n° 4-0656 | Du 28/08/2025 au 27/08/2028audits de surveillance annuels |
| HDSv2, activités 4, 5 et 6 | Certificat n° CYBEVAL-HDS-042026-0001délivré par Cybeval, accrédité Cofrac n° 4-0656 | Du 15/04/2026 au 14/04/2029audits de surveillance annuels |
Périmètre et titulaire
Les activités de conception, développement, exploitation et maintenance de la gamme WakaStellar, dont WakaStart, sont couvertes par ces certifications. Les certificats sont actuellement établis au nom de JDS CONSEIL, holding du groupe ; leur transfert au nom de WakaStellar est en cours auprès de Cybeval.
Pour le périmètre HDS, les activités 1 à 3 (sites physiques, infrastructure matérielle et virtuelle) sont assurées par OVHcloud, lui-même certifié HDS.
Ce que cela couvre pour vous
Une application développée pour un client et hébergée sur notre infrastructure de production entre dans notre périmètre certifié. La certification ISO/IEC 27001 de votre propre entreprise, pour son système de management, reste de votre responsabilité : nous livrons une application et une exploitation documentées pour votre audit.
Certificats, déclaration d'applicabilité et preuve de la dernière surveillance : communiqué sur demande.
Où sont vos données ?
Le stockage de vos données, les accès possibles et le site wakastart.com, chacun à sa place.
Production de votre SaaS
- Base de données, fichiers, sauvegardes et environnements d'exploitation stockés exclusivement chez OVHcloud, en France
- Périmètre HDS : production à Gravelines, secours à Strasbourg
- Sauvegardes quotidiennes, conservées 30 jours glissants, stockées en France
- Chiffrement des données au repos et en transit
Accès possibles depuis d'autres pays
Vos données restent stockées en France. Certains de nos prestataires, comme GitHub, Brevo ou YouTrack, peuvent y accéder ponctuellement depuis des pays tiers pour leur support, avec des garanties de transfert : décision d'adéquation (Data Privacy Framework) ou clauses contractuelles types. Le détail figure, prestataire par prestataire, sur la page sous-traitants.
Voir nos sous-traitantsOù travaillent nos équipes
Les équipes WakaStart qui accèdent au code et aux données sont situées en France, dans la région nantaise. Un prestataire de développement externalisé, situé à Maurice, intervient sans accès aux données de production, avec des données synthétiques.
Site wakastart.com et formulaires
Le site commercial est hébergé par Lovable, sans aucun lien avec l'environnement de production. Les données des formulaires sont traitées selon notre politique de confidentialité.
La sécurité, dès la conception.
Les mesures appliquées aux applications que nous développons et exploitons.
Identités et accès
- Accès nominatifs, accordés selon le besoin de la mission
- Droits privilégiés réservés aux opérations qui les nécessitent
- Autorisations réexaminées à chaque changement d'équipe et retirées à la fin du besoin
- Authentification forte des comptes d'administration
Données et secrets
- Chiffrement des données au repos et en transit
- Identifiants et secrets techniques gérés dans un coffre-fort chiffré
- Secrets retirés de tout contenu transmis aux outils d'IA
- Cloisonnement logique des environnements entre clients
Développement sécurisé
- Spécifications de sécurité rédigées avant le code et validées par notre RSSI
- Analyse statique (SAST) et tests dynamiques (DAST) avant chaque livrable
- Contrôle des dépendances et des vulnérabilités connues
- Attestation de test d'intrusion indépendant : à venir
Journalisation et supervision
- Journaux de sécurité (accès, activité, connexions) conservés 12 mois glissants
- Supervision et détection d'intrusion sur les infrastructures de production
- Périmètre HDS : traces des accès administrateurs communiquées au client sur demande
Comment nous utilisons l'IA.
Trois fournisseurs, trois rôles distincts : aucun ne dispose seul de la chaîne de fabrication complète.
Génère le code source des développements spécifiques et du Framework WakaStart.
Inférence aux États-UnisRelit le code source et revoit les demandes de fusion (pull requests).
Inférence aux États-UnisRend les arbitrages techniques sur le code source et les spécifications.
Inférence aux États-UnisCe qui est transmis, et ce qui ne l'est pas
- Transmis : uniquement le code source, les spécifications et les éléments de fabrication nécessaires à la tâche
- Jamais transmis : vos données applicatives, vos secrets ou vos données de production
- Aucun compte grand public ou personnel pour le code confidentiel
- Utilisation aux conditions de traitement des données publiées par chaque fournisseur pour l'offre souscrite
Pourquoi des fournisseurs hors de l'Union européenne
À ce jour, nous n'avons pas identifié de fournisseur européen ou souverain capable du niveau de qualité et de sécurité de code que nous livrons. Ce constat est réexaminé au moins une fois par an. Si votre projet impose une contrainte de résidence ou exclut certains pays, elle est étudiée avant le démarrage, et une alternative est recherchée.
Chaque résultat produit par l'IA est contrôlé avant intégration : une réponse d'IA ne constitue jamais une preuve de sécurité.
Ce que nous faisons de votre code.
Les règles appliquées au code, à la documentation et aux données que vous nous confiez, du Waka Audit à la fin du contrat.
Pendant le projet
- Engagement de confidentialité signé avant tout accès
- Code développé sur les postes de nos équipes, puis versionné sur GitHub (serveurs dans l'Union européenne)
- Accès direct et permanent à vos sources dans votre espace GitHub
- Pour une application WinDev, la documentation PDF du projet suffit à l'analyse : votre code source n'est pas nécessaire
À la fin du contrat
- Restitution de vos données dans un format structuré, disponible pendant 30 jours
- Suppression des copies actives sous 30 jours, purge des sauvegardes résiduelles sous 90 jours
- Attestation de destruction sur simple demande
- Option de destruction immédiate, sur demande écrite
Sous-traitance au sens du RGPD. Quand nous traitons les données de vos utilisateurs, vous êtes responsable de traitement et nous sommes sous-traitant au sens de l'article 28 du RGPD. Cette relation est encadrée par notre accord de traitement des données (DPA).
Six engagements, par écrit.
Le socle de référence appliqué à chaque mission. Les devis, contrats et accords de traitement précisent les engagements propres à chaque projet.
Accès nominatifs et limités au besoin, engagement de confidentialité avant tout accès, données de test synthétiques ou anonymisées, aucun compte personnel ni service non approuvé.
NDA systématiqueAucun compte grand public, seules les informations nécessaires sont transmises, secrets retirés, droits des agents limités, validation humaine des actions sensibles.
Validation humainePrestataires évalués avant recours, transferts encadrés (adéquation ou clauses contractuelles types), revue au moins annuelle des fournisseurs critiques.
Préavis de 30 joursCanal de signalement public, qualification selon l'impact, divulgation coordonnée, nom du déclarant publié uniquement avec son accord.
Réponse sous 2 jours ouvrésQualification, confinement, correction et retour d'expérience ; information initiale du client en cas de violation de données personnelles.
Information sous 24 hDurées justifiées par finalité, restitution organisée, suppression des copies actives et purge des sauvegardes, attestation de sortie.
Suppression sous 30 joursSi un incident survient.
Nos niveaux de service contractuels, définis dans nos CGV et, pour le périmètre HDS, dans le DPA HDS.
| Engagement | Solution SaaS standard | Périmètre HDS |
|---|---|---|
| Disponibilité mensuelle | 99 % | 99,9 % |
| Perte de données maximale (RPO) | Moins de 2 heures | Temps réel pour les documents, 24 heures maximum pour les index |
| Délai de reprise (RTO) | Moins de 8 heures | Moins de 15 minutes en mode dégradé, 24 heures maximum en cas de sinistre complet |
| Sauvegardes | Quotidiennes, 30 jours glissants | Réplication de Gravelines vers Strasbourg |
| Information en cas de violation de données personnelles | Au plus tard sous 24 heures | Au plus tard sous 24 heures |
| Test du plan de reprise | Périodique | Au minimum une fois par an |
Vous avez trouvé une faille ?
Merci de nous la signaler de façon confidentielle, avant toute publication.
Nous contacter
- Écrivez au contact indiqué dans notre fichier security.txt, avec en objet « Signalement de vulnérabilité »
- Décrivez le service concerné, la date, les étapes de reproduction et l'impact supposé
- N'incluez ni mot de passe, ni clé, ni donnée personnelle dans le premier message
- Accusé de réception visé sous 2 jours ouvrés
Les règles du jeu
- Ne pas interrompre ni dégrader le service, ne pas modifier ou supprimer de données
- Pas d'ingénierie sociale ni de recherche de persistance
- Environnements clients et infrastructures tierces exclus sans autorisation de leur propriétaire
- Divulgation coordonnée ; votre nom n'est publié qu'avec votre accord ; pas de programme de récompense à ce jour
Les documents à votre disposition.
Nos documents contractuels sont consultables en ligne, avec l'historique de leurs versions.
| Document | Accès |
|---|---|
| Conditions générales de vente (CGV) | Consulter |
| Conditions générales d'utilisation (CGU) | Consulter |
| Charte RGPD | Consulter |
| Accord de traitement des données (DPA) | Consulter |
| DPA HDS (conditions particulières HDS) | Consulter |
| Tous les documents en un PDF | Télécharger |
| Politique de confidentialité du site | Consulter |
| Liste des sous-traitants | Consulter |
| Certificats ISO 27001 et HDS, déclaration d'applicabilité | communiqué sur demande |
| Questionnaire de sécurité pré-rempli | communiqué sur demande |
Une question de votre RSSI ?
Envoyez-nous votre questionnaire de sécurité : notre RSSI vous répond directement.