Sécurité & confiance

Notre engagement

Nous appliquons des mesures administratives, techniques et organisationnelles adaptées à la nature et au volume des informations traitées. Nous n’affirmons pas que les informations sont « sûres à 100 % » et ne détenons aucune certification de sécurité. Si un examen indépendant était réalisé à l’avenir, c’est le rapport — et non un badge — qui serait mis à disposition des clients sur demande.

Mesures techniques en place

• HTTPS sur l’ensemble du site, avec HTTP Strict Transport Security.
• Politique de sécurité du contenu (CSP), protection frame-ancestors, blocage du sniffing MIME, politique de référent stricte et politique de permissions restrictive.
• Validation et assainissement côté serveur de chaque champ transmis, avec pot de miel et limitation du débit contre les abus automatisés.
• Sécurité au niveau des lignes en base : les envois du site ne sont pas lisibles publiquement et sont réservés aux administrateurs autorisés.
• Aucun secret, clé d’API ou clé privilégiée de base de données dans le code du navigateur ; tous les identifiants sont des variables d’environnement côté serveur.
• Aucune information personnelle dans les URL, et occultation des données personnelles dans les journaux et rapports d’erreur.
• Accès administrateur restreint, nominatif et revu.

Prestataires

Nous nous appuyons sur des prestataires établis pour l’hébergement, la base de données et l’envoi d’e-mails, et examinons leur documentation de sécurité avant utilisation.

• Lovable / Cloudflare — Hébergement du site, diffusion edge et rendu côté serveur
• Supabase (managed PostgreSQL) — Stockage en base des demandes et rendez-vous, et authentification des administrateurs
• Google Calendar — Planification des rendez-vous demandés, le cas échéant
• Transactional email provider — Envoi des e-mails de notification interne et de confirmation (en cours de confirmation)

Signaler une vulnérabilité

Si vous pensez avoir découvert une faille, écrivez à info@mulleradvisorygroup.com avec les éléments permettant de la reproduire. Merci de ne pas accéder, modifier ou supprimer des données appartenant à des tiers et de nous laisser un délai raisonnable pour corriger avant toute divulgation publique. Nous n’engageons aucune action contre les chercheurs agissant de bonne foi dans ce cadre.

Incidents

Nous maintenons une procédure interne de réponse aux incidents couvrant la détection, le confinement, l’évaluation, la notification et le retour d’expérience. Lorsqu’une violation de données personnelles est susceptible de devoir être notifiée, nous informons l’autorité compétente et les personnes concernées dans les délais prévus par la loi applicable.