Sécurité & Conformité

Une sécurité de niveau entreprise conçue pour les institutions éducatives suisses. Vos données sont protégées par un chiffrement de pointe, des contrôles d'accès stricts et la conformité aux lois suisses sur la protection des données.

AES-256Au reposTLS 1.3En transit99.9%+Garantie de disponibilité

Dernière mise à jour : février 2026

Infrastructure & Hébergement

Résidence des données en Suisse et en Europe

L'infrastructure de notre plateforme est hébergée sur des serveurs européens avec résidence des données en Suisse. Nous utilisons des fournisseurs cloud de niveau entreprise certifiés ISO 27001 et conformes SOC 2 Type II, garantissant que vos données ne quittent jamais des juridictions de confiance.

Architecture haute disponibilité

Notre infrastructure utilise plusieurs zones de disponibilité avec basculement automatique, assurant une disponibilité de plus de 99,9 %. Les sauvegardes de base de données sont effectuées en continu avec la possibilité de restauration à un instant donné. Toutes les sauvegardes sont chiffrées et stockées dans des emplacements géographiquement séparés en Europe.

Diffusion de contenu

Les ressources statiques et les profils publics des écoles sont servis via un réseau edge mondial pour des temps de chargement rapides dans le monde entier, tandis que tout le traitement et le stockage des données dynamiques restent dans les limites de l'infrastructure européenne.

Chiffrement

Données en transit

Toutes les données transmises entre votre navigateur et nos serveurs sont chiffrées via TLS 1.3 avec des suites de chiffrement modernes. Nous imposons HTTPS sur tous les points d'accès et mettons en œuvre HTTP Strict Transport Security (HSTS) avec une durée minimale d'un an.

Données au repos

Toutes les données stockées dans nos bases de données sont chiffrées au repos avec le chiffrement AES-256. Les clés de chiffrement sont gérées par des services dédiés de gestion de clés avec rotation automatique. Les données de sauvegarde sont chiffrées avec des clés de chiffrement distinctes.

Traitement des données sensibles

Les identifiants d'authentification sont hachés avec bcrypt et des facteurs de coût appropriés. Les clés API et les secrets de webhooks sont chiffrés au niveau applicatif avant le stockage. Les données de carte de paiement ne sont jamais stockées sur nos serveurs — elles sont entièrement gérées par Stripe (certifié PCI DSS Niveau 1).

Contrôles d'accès

Contrôle d'accès basé sur les rôles (RBAC)

La plateforme met en œuvre un contrôle d'accès granulaire basé sur les rôles avec quatre niveaux de permissions : Propriétaire (contrôle total), Administrateur (accès de gestion), Éditeur (modification du contenu) et Lecteur (lecture seule). Chaque rôle dispose de permissions précisément définies, appliquées tant au niveau applicatif qu'au niveau de la base de données.

Sécurité au niveau des lignes (RLS)

Notre base de données met en œuvre la sécurité au niveau des lignes de PostgreSQL, garantissant que chaque requête est filtrée au niveau de la base de données. Les écoles ne peuvent accéder qu'à leurs propres données — demandes, réservations, analyses et paramètres sont isolés par institution avec vérification cryptographique de l'utilisateur.

Sécurité de l'authentification

Nous prenons en charge l'authentification par e-mail/mot de passe avec des politiques de mots de passe imposées, l'authentification par lien magique pour un accès sans mot de passe et les flux d'invitation d'équipe avec vérification sécurisée par jeton. Toutes les sessions utilisent des jetons JWT à durée de vie courte avec rafraîchissement automatique.

Audit & Surveillance

Journalisation des activités

Toutes les actions significatives de la plateforme sont journalisées, y compris les événements d'authentification, les accès aux données, les modifications de profil et les opérations administratives. Les journaux sont immuables et conservés pendant 12 mois, disponibles à des fins d'audit de conformité.

Surveillance en temps réel

Notre infrastructure est surveillée en continu pour les performances, la disponibilité et les anomalies de sécurité. Des alertes automatisées déclenchent notre processus de réponse aux incidents pour toute irrégularité détectée, y compris les schémas d'accès inhabituels ou les menaces de sécurité potentielles.

Conformité & Certifications

Loi fédérale sur la protection des données (LPD)

Notre plateforme est pleinement conforme à la Loi fédérale sur la protection des données révisée (nLPD/revLPD), en vigueur depuis le 1er septembre 2023. Cela inclut la mise en œuvre des principes de protection des données dès la conception, la tenue d'un registre des activités de traitement et la réalisation d'analyses d'impact sur la protection des données pour les traitements à haut risque.

Règlement général sur la protection des données (RGPD) de l'UE

Nous respectons le RGPD pour tout traitement de données personnelles de résidents de l'UE. Cela inclut le respect des droits des personnes concernées (accès, rectification, effacement, portabilité), le maintien de bases juridiques pour le traitement et la mise en œuvre de la protection des données dès la conception et par défaut.

Normes industrielles et feuille de route

Nos fournisseurs d'infrastructure maintiennent les certifications SOC 2 Type II et ISO 27001. Nous réalisons des évaluations de sécurité tierces annuelles et travaillons activement à l'obtention de notre propre certification SOC 2 Type II. Nos pratiques de sécurité sont alignées sur l'OWASP Application Security Verification Standard (ASVS).

Réponse aux incidents

Processus de réponse

Notre plan de réponse aux incidents suit un processus structuré : Détection et Triage (sous 15 minutes), Confinement (sous 1 heure), Investigation et Remédiation, Récupération et Analyse post-incident. Tous les incidents sont classés par niveau de gravité avec des priorités de réponse correspondantes.

Engagement de notification

En cas de violation de données affectant votre institution, nous vous notifierons dans les 72 heures suivant la confirmation, conformément aux exigences de la LPD et du RGPD. Les notifications incluent la nature et l'étendue de la violation, les actions entreprises et les recommandations pour vos propres obligations de notification.

Amélioration continue

Chaque incident de sécurité déclenche une analyse post-mortem. Les conclusions sont utilisées pour améliorer nos contrôles de sécurité, mettre à jour notre modèle de menaces et renforcer nos capacités de surveillance. Nous publions un rapport de transparence annuel résumant les incidents de sécurité et les améliorations.

Divulgation responsable

Recherche en sécurité

Nous encourageons la recherche responsable en sécurité. Si vous découvrez une vulnérabilité potentielle, veuillez la signaler à security@swissprivate-schools.ch. Nous nous engageons à accuser réception des signalements sous 24 heures et à fournir une évaluation initiale sous 5 jours ouvrables.

Protection juridique

Nous n'engagerons pas de poursuites judiciaires contre les chercheurs en sécurité qui agissent de bonne foi, suivent les pratiques de divulgation responsable et nous accordent un délai raisonnable pour corriger les vulnérabilités signalées avant toute divulgation publique.

Garantie d'hébergement suisse

Swiss Private Schools s'engage aux plus hauts standards de sécurité et de confidentialité des données. Toutes les données personnelles sont traitées au sein d'une infrastructure européenne avec résidence des données en Suisse, protégées par les lois suisses et européennes sur la protection des données.

Nos pratiques de sécurité sont régulièrement revues et mises à jour pour faire face aux menaces émergentes et aux exigences réglementaires. Pour toute question de sécurité, contactez notre équipe à security@swissprivate-schools.ch.

Sécurité & Conformité

AES-256Au reposTLS 1.3En transit99.9%+Garantie de disponibilité

Dernière mise à jour : février 2026