Sunset Docs est conçu pour réduire les copies inutiles de documents et limiter la durée pendant laquelle les fichiers actifs restent disponibles. Cette page décrit les mesures que nous appliquons et leurs limites pratiques. Elle ne constitue ni une certification ni une garantie contre toutes les menaces.
1. Responsabilité partagée
Sunset Docs protège le service et les données qu'il traite. Les clients doivent disposer d'un motif licite pour collecter chaque document, choisir une date de suppression appropriée, contrôler les membres de leur espace de travail et protéger les copies téléchargées ou conservées en dehors du service.
L'utilisation de Sunset Docs ne suffit pas, à elle seule, à rendre un client conforme au RGPD ou à une autre exigence légale, sectorielle ou professionnelle.
2. Comptes et accès à l'espace de travail
Chaque demande de document est vérifiée au regard de l'appartenance de l'utilisateur connecté à l'espace de travail. Les propriétaires contrôlent l'accès des membres et les autorisations de téléchargement des originaux. La vérification en deux étapes est proposée pour tous les comptes et devient obligatoire à la connexion une fois activée.
Les mots de passe sont hachés avec Argon2id. Les sessions expirent après sept jours et utilisent des cookies Secure et SameSite, une protection CSRF et une révocation côté serveur. La réinitialisation du mot de passe révoque les sessions existantes.
3. Chiffrement et stockage
L'application chiffre les originaux, aperçus et copies générées avec AES-256-GCM avant leur stockage. Chaque document dispose de sa propre clé de données, enveloppée séparément avec la clé principale du service.
Les objets actifs chiffrés sont stockés sur une infrastructure Hetzner privée et répliqués dans un compartiment Cloudflare R2 privé. Le service n'utilise pas d'URL publique pour les objets et les chemins de stockage ne contiennent pas les noms de fichiers des clients. TLS protège les données en transit.
4. Réception des fichiers et contrôles antimalware
Le contenu des fichiers pris en charge est contrôlé, placé en quarantaine et analysé avant d'être mis à disposition. Les fichiers protégés par mot de passe, malformés, non pris en charge ou suspects sont refusés. L'application web ne sert pas les fichiers placés en quarantaine.
L'analyse antimalware et la validation réduisent le risque, mais ne détectent pas tous les fichiers dangereux. Une analyse réussie ne prouve ni l'innocuité ni l'authenticité d'un fichier.
5. Limites de la consultation et du téléchargement
Le mode consultation seule transmet des images de pages générées, et non le fichier original. Les demandes de pages, d'impression et d'originaux utilisent une autorisation signée de courte durée et des en-têtes de cache restrictifs. Le filigrane de la visionneuse identifie l'utilisateur connecté et l'heure.
Toute personne qui voit un document peut encore photographier ou capturer l'écran. L'impression peut créer une nouvelle copie. Les propriétaires de l'espace de travail peuvent autoriser séparément le téléchargement des originaux.
6. Suppression programmée et manuelle
Chaque document a une date de suppression. La suppression programmée ou manuelle autorisée retire du stockage local et de R2 les originaux actifs, les aperçus, les sorties d'impression temporaires, les clés enveloppées, les noms de fichiers, les coordonnées des expéditeurs et les autres métadonnées sensibles.
Une trace minimale, sans contenu, est conservée pendant 12 mois. Elle indique qu'une suppression a eu lieu, mais ne conserve ni le document, ni son nom de fichier, ni l'identité de l'expéditeur.
7. Sauvegardes et restauration
Les sauvegardes chiffrées de la base de données sont isolées des accès ordinaires de l'application et expirent dans un délai maximal de 30 jours. Si des données supprimées restent dans une sauvegarde résiduelle protégée, elles ne sont pas restaurées pour l'accès ordinaire des clients et expirent avec cette sauvegarde.
Le cycle de vie des objets R2 constitue une limite de sécurité. La tâche de suppression de l'application applique la date de suppression exacte de chaque document.
8. Mesures opérationnelles
L'application fonctionne derrière un proxy inverse, le stockage des documents se trouve hors de la racine web publique et les actions importantes sur les documents sont journalisées. L'accès à la production est réservé aux personnes qui en ont besoin pour exploiter ou sécuriser le service et qui sont tenues à la confidentialité.
Les e-mails transactionnels ne contiennent ni pièce jointe, ni nom de fichier, ni aperçu, ni identité d'expéditeur, ni lien accordant l'accès à un document. Sunset Docs reçoit directement les e-mails entrants contenant des documents et retire les pièces jointes du traitement des e-mails après leur ingestion.
9. Incidents de sécurité
Nous enquêtons sur les incidents suspectés, contenons les incidents confirmés, conservons les éléments nécessaires à l'enquête et informons sans retard injustifié les clients concernés lorsque des données personnelles leur appartenant sont impliquées. Si tous les détails ne sont pas encore disponibles, nous transmettons les informations par étapes.
10. Limites hors de Sunset Docs
La collecte par e-mail ne peut pas supprimer les copies déjà conservées dans le dossier Envoyés de l'expéditeur, sur un serveur de messagerie, dans une sauvegarde ou dans un autre système externe. Supprimer un document de Sunset Docs ne supprime pas les copies qu'un client ou une autre personne a téléchargées, imprimées, photographiées ou stockées ailleurs.
11. Signaler une vulnérabilité
Envoyez les signalements de sécurité à [email protected]. N'incluez pas de documents personnels ni d'informations sur des clients. N'accédez pas à des données qui ne vous appartiennent pas, ne perturbez pas le service et n'utilisez pas d'ingénierie sociale. Si vous rencontrez des données client, arrêtez-vous et ne transmettez que le minimum nécessaire à notre enquête.