Conformité
Conformité
Localisation des données, fonctions RGPD, mesures de sécurité, et certifications que Formabi ne détient pas.
Hébergé en Allemagne
L'application, la base de données et chaque sauvegarde des deux se trouvent dans un centre de données à Falkenstein, en Allemagne. Les e-mails transactionnels partent via un relais en France. Aucune partie des données de vos formulaires ne transite par un prestataire hors de l'UE.
- ✓ Deux sous-traitants au total, tous deux dans l'UE
- ✓ L'analyse d'audience du site et le CRM sont auto-hébergés, pas confiés à un tiers
Un centre de données certifié ISO/IEC 27001
Nos serveurs tournent chez Hetzner Online GmbH, dont les parcs de centres de données allemands sont certifiés ISO/IEC 27001 pour le management de la sécurité de l'information. Ce certificat est celui de Hetzner, pas le nôtre. Il couvre le site physique, l'alimentation, le contrôle d'accès et le réseau sous Formabi.
Fonctions RGPD dans le produit
Les demandes des personnes concernées se traitent dans Formabi même, sans ticket de support ni export manuel.
- ✓ Droit d'accès (art. 15) : retrouver tout ce qui est détenu sur une personne dans tous les formulaires et l'exporter en un seul lot
- ✓ Droit à l'effacement (art. 17) : purger un champ, un envoi, un formulaire ou un espace de travail entier, chaque demande étant enregistrée
- ✓ Limitation de la conservation (art. 5) : définir une durée de conservation par espace de travail, les envois plus anciens étant purgés automatiquement
- ✓ Consentement (art. 7) : conservé avec un instantané du libellé exact affiché, le retrait étant enregistré en regard
- ✓ Registre des traitements (art. 30) : un journal d'audit des connexions, modifications et actions liées aux personnes concernées, conservé 365 jours
Chiffré en transit et au repos
Chaque connexion se fait uniquement en HTTPS, en TLS 1.2 ou 1.3 avec HSTS. Les bases de données et les volumes des clients reposent sur des disques chiffrés. Les sauvegardes sont chiffrées sur le serveur avant d'aller où que ce soit.
Authentification
Authentification à deux facteurs avec codes de récupération, et authentification unique via n'importe quel fournisseur OpenID Connect, comme Google Workspace, Microsoft Entra ID ou Okta. Vous pouvez imposer le SSO, restreindre l'inscription à votre domaine e-mail et synchroniser les rôles depuis votre annuaire.
- ✓ Mots de passe hachés avec bcrypt, et jetons de session stockés uniquement sous forme de hachage
- ✓ Voir chaque session ouverte et révoquer n'importe laquelle
- ✓ Les tentatives de connexion sont limitées en fréquence
Une base de données distincte par client
Chaque client tourne dans son propre conteneur, avec sa propre base de données. Le serveur de base de données ne laisse un client ouvrir que la base qui porte son nom, et les droits de connexion sont retirés à tous les autres.
Sauvegardes et tests de restauration
Sauvegardes nocturnes chiffrées, conservées sept quotidiennes, quatre hebdomadaires et six mensuelles. Les restaurations sont testées ; le dernier test a eu lieu le 22 septembre 2026.
Les modifications d'infrastructure sont relues et versionnées
Notre infrastructure est déclarée en code (NixOS) : la configuration de chaque serveur est versionnée et chaque modification passe en revue. Les dépendances sont analysées pour les vulnérabilités connues à chaque build de version.
Électricité renouvelable
Hetzner alimente ses centres de données allemands avec de l'électricité issue de sources renouvelables.
Certifications
Formabi ne détient aucune certification ISO 27001 ou SOC 2. Tout ce qui figure sur cette page est un contrôle que nous opérons et pouvons prouver. La référence complète, rédigée pour les audits préalables, se trouve sur Sécurité et conformité, et les prestataires que nous utilisons sont listés sur Sous-traitants.
Documentation d'audit
Sur demande : accord de traitement des données (art. 28 RGPD), questionnaire de sécurité rempli, présentation de ces mesures.
Ou écrivez-nous directement à help@formabi.com