Vos données commerce font tourner votre activité. Chiffrées en transit et au repos, MFA obligatoire, sauvegardées quotidiennement, sur AWS EU/UK — c'est comme ça qu'on les traite.
Huup fonctionne entièrement sur les services gérés AWS. Les charges de production sont déployées sur plusieurs zones de disponibilité dans eu-west-2 (Londres) avec une capacité de reprise après sinistre dans eu-central-1 (Francfort). Aucune donnée client ne quitte la région UE/Royaume-Uni sans accord explicite.
Chaque connexion — navigateur, API, interne service-à-service — utilise TLS 1.3 avec des suites de chiffrement modernes. HSTS est préchargé. Nous n'acceptons pas HTTP en clair.
Les données au repos sont chiffrées avec AES-256 à l'aide de clés gérées par AWS KMS. Cela inclut les bases de données (RDS), le stockage d'objets (S3), les sauvegardes, les snapshots et les journaux. Les clés sont renouvelées chaque année.
Chaque tenant enterprise dispose d'une base de données dédiée avec une chaîne de connexion dédiée. Il n'y a pas de schéma partagé entre les clients — les requêtes ne peuvent pas fuir d'un tenant à un autre, car il n'y a aucune table partagée d'où elles pourraient fuir.
L'authentification API est limitée par locataire et par clé. Les requêtes inter-locataires renvoient 403, point final.
Nous utilisons un petit ensemble de sous-traitants vérifiés pour faire fonctionner Huup. Chacun est lié par un Accord de Traitement des Données. Nous donnons un préavis de 30 jours avant d'ajouter de nouveaux sous-traitants qui traitent des données clients.
Nous maintenons un plan de réponse aux incidents documenté avec rotation d'astreinte, classification de gravité et canaux de communication clairs. Pour les incidents affectant les données clients, nous notifierons les clients impactés dans les 72 heures suivant la confirmation du périmètre (calendrier GDPR Art. 33), avec un post-mortem de suivi.
Le statut et les incidents en cours sont publiés sur status.huup.com.
Si vous pensez avoir découvert un problème de sécurité, veuillez envoyer un e-mail à [email protected]. Nous nous engageons à accuser réception dans les 24 heures ouvrées et à collaborer avec vous de bonne foi. Nous ne disposons pas actuellement de programme de bug bounty rémunéré, mais nous honorons la divulgation responsable dans notre hall of fame sécurité.
Veuillez ne pas effectuer de tests qui dégradent le service, accèdent aux données d'autres clients ou enfreignent la loi applicable.
Cette page est fournie pour la transparence et n'est pas un contrat. Les termes juridiquement contraignants régissant les obligations de sécurité sont définis dans vos Conditions d'utilisation, Politique de confidentialité et (le cas échéant) l'Accord de Traitement des Données. Nous mettons à jour cette page à mesure que nos pratiques évoluent.