Où vivent vos données, et qui peut y accéder.

Serveur mutualisé OVHcloud (Apache / PHP) et base de données MySQL sur la même infrastructure, en France. Les documents déposés dans l'espace client y résident également. Les traitements du site s'effectuent sur ce même serveur.

Pour une mission qui l'exige, un hébergement dédié — instance isolée, région choisie, volumes chiffrés — peut être configuré et se chiffre au cadrage.

• Accès aux données de mission réservé aux intervenants autorisés, selon leur rôle et le besoin d'en connaître.
• Obligation de confidentialité et périmètre d'accès définis contractuellement avant intervention.
• Accès client au portail par identifiant et mot de passe haché (bcrypt), avec vérification d'adresse e-mail.
• Nombre de tentatives de connexion limité, protection CSRF sur les formulaires.
• Principe du moindre privilège : chaque client ne voit que ses propres projets, documents et échanges.

• Horodatage de la dernière connexion de chaque compte.
• Enregistrement des tentatives de connexion échouées, supprimées après une connexion réussie ou lors de la purge des entrées de plus de 24 h.
• Journaux d'accès HTTP tenus au niveau de l'hébergeur, selon sa propre politique de conservation.

Une piste d'audit applicative détaillée — qui a consulté quel document et quand, exportable — peut être configurée dans le cadre d'une mission.

• Formulaire de contact : 3 ans à compter du dernier échange.
• Espace client : durée de la relation commerciale + 3 ans.
• Factures et pièces comptables : 10 ans (art. L123-22 du Code de commerce).
• Tentatives de connexion échouées : au plus 24 h ; dernière connexion conservée avec le compte.
• Données confiées pour une mission : durée de la mission + 30 jours.

Au-delà, les données sont supprimées ou anonymisées. Ces durées sont celles de la politique de confidentialité : les deux documents disent la même chose.

Chaque contrat de mission comporte une clause de sortie explicite :

• Restitution des livrables et des données sources en format ouvert et réutilisable.
• Suppression des copies de travail, des index et des exports sous 30 jours après votre validation écrite de la restitution.
• Attestation écrite de suppression fournie sur demande.
• Exception unique : les pièces que la loi impose de conserver (facturation).

Le code produit vous est transféré après paiement complet — cette règle figure aux conditions générales.

• En transit : HTTPS forcé sur tout le site, HSTS activé, liaison SMTP chiffrée pour les e-mails. En place
• Mots de passe : hachés avec bcrypt, jamais stockés ni transmis en clair. En place
• Au repos : l'hébergement mutualisé ne fournit pas de chiffrement de volume garanti. Configurable sur infrastructure dédiée.
• De bout en bout : impossible sur une application web où le serveur doit lire les données pour les traiter. Non fourni

Une politique de sécurité des en-têtes est appliquée (protection contre le détournement de type, l'inclusion en cadre et la fuite de référent) ; une politique de contenu plus stricte est actuellement en observation avant mise en application — nous préférons le dire que le laisser croire.

OVHcloud met à disposition des points de restauration du site et de la base, mais les qualifie de non contractuels. LinkTec n'a pas aujourd'hui de sauvegarde indépendante documentée et ne publie aucun objectif de point de reprise ni de délai de rétablissement : aucun n'est contractualisé ni testé de façon documentée.

Un plan de sauvegarde dédié — fréquence, rétention, test de restauration, délai de rétablissement — peut être défini et contractualisé pour une mission qui le justifie.

• Point de contact unique : contact@bn-linktec.fr, objet « incident sécurité ».
• Information du client concerné sans délai indu après confirmation d'une violation : nature, périmètre et mesures immédiates. Un délai cible de 24 h peut être inscrit au DPA de la mission.
• Notification à la CNIL sous 72 h lorsque le RGPD l'impose (art. 33), et information des personnes concernées lorsque le risque est élevé (art. 34).
• Compte rendu écrit une fois l'incident clos.

Si vous identifiez une faille sur nos services, écrivez-nous : tout signalement de bonne foi reçoit une réponse et ne fera l'objet d'aucune poursuite.

Le site public et l'espace client n'appellent aucun modèle d'IA et ne comportent aucun index vectoriel. Rien de ce que vous saisissez ici n'est transmis à un fournisseur d'IA.

Pour une mission, les composants — fournisseur de modèle, base vectorielle, région de traitement — sont choisis avec vous au cadrage. La non-utilisation de vos données pour l'entraînement des modèles est un critère de sélection contractuel : l'engagement du fournisseur retenu est vérifié et annexé au contrat. LinkTec ne se porte pas garant à la place de l'éditeur, et ne prétend pas l'être.

• NDA signé avant le premier échange de données, y compris en phase d'avant-vente. Votre modèle est accepté sans négociation de principe.
• DPA (accord de sous-traitance, art. 28 RGPD) signé dès qu'une mission implique des données personnelles : finalités, durées, sous-traitants ultérieurs, sort des données en fin de contrat.
• Registre des traitements tenu et mis à jour en interne lorsque les traitements l'exigent ; aucune certification n'est revendiquée.
• Aucun sous-traitant ultérieur n'est ajouté à une mission sans information préalable.

Ces engagements s'appliquent à chaque intervenant mobilisé par BN-LinkTec. Les responsabilités, obligations de confidentialité et conditions d'accès sont formalisées selon le périmètre réel de la mission.