Version 2026-10-16.4 · SHA-256 ac8c91ff62d022c14bc37711f19c765d7e3caed6955d5cee548775951dd8c365
Version 2026-10-16.4
Exploitant : Yanis SIDI BOULENOUAR EI, entrepreneur individuel, SIREN 937734622, SIRET 93773462200015, 23 rue de Sauve, 30900 Nîmes, France. KREDIA Finance est le nom commercial du logiciel, non une personne morale distincte.
TVA intracommunautaire : FR81937734622. Contact : yanis@krediafinance.fr. Téléphone : 07 66 29 30 11.
Sécurité et confidentialité du service
Mesures effectivement contrôlées
KREDIA utilise HTTPS, cookies sécurisés et protections CSRF, comptes nominatifs, rôles, affectations de dossier et PostgreSQL RLS forcée. La base n’est pas publiée sur Internet, le web interne est limité à la boucle locale et l’accès SSH à l’IP autorisée du fondateur. Les contenus applicatifs couverts sont chiffrés, les secrets restent hors code et les fichiers d’exploitation sont à accès restreint. Cela ne constitue pas une affirmation que chaque fichier/journal est chiffré de bout en bout.
La qualification de la release e5be309 du 14 octobre a contrôlé deux organisations, refus par URL d’accès à des dossiers, rapports et conversations étrangers, sessions, exports, web/worker/PostgreSQL/Caddy, image ARM64 et restauration isolée de 53 tables. Les preuves juridiques sont append-only et isolées par organisation ; les projets non approuvés ne sont pas accessibles comme contrats publics. Aucune ISO, certification comptable, homologation de sécurité ou garantie d’absence de vulnérabilité n’est revendiquée.
Exploitation et accès humains
Les accès d’exploitation se limitent au besoin justifié ; les Admins de cabinet ne sont pas administrateurs de toute la plateforme. Les données de dossiers ne sont pas utilisées dans des tests publics. Imports, formats, chemins et téléchargements restent contrôlés ; aucune clé ou pièce client ne doit être publiée dans GitHub ou un ticket public. La sécurité est maintenue par contrôle des versions, tests ciblés, revue des habilitations et dépendances, gestion des incidents et sauvegardes.
Les sauvegardes ont fait l’objet de restauration et rapprochement hors production. La rotation locale/offsite préparée conserve trente jours glissants et au moins deux points récents vérifiés, sauf gel justifié. Les versions de contenu sont contrôlées et les suppressions validées réappliquées depuis un journal chiffré indépendant avant réouverture des services ; le journal, la réplication hors VM et le contrôle de reprise sont activés depuis le 16 octobre 2026. Les nettoyages automatiques restent sous gel transitoire documenté ; sa levée et la rotation sont contrôlées avant ouverture. Une mise à jour utilise paquet reproductible, contrôle de migration, sauvegarde préalable et version précédente conservée ; aucun rollback ne doit supprimer de données financières ni remplacer le journal de suppressions courant par un ancien snapshot.
Supervision et limites
La supervision surveille web, worker, files, sauvegarde, disque, erreurs critiques et budget IA. Une alerte réelle a été reçue sur IONOS et sa preuve est conservée ; la disponibilité de chaque canal et une couverture indépendante de panne totale de VM ne sont pas garanties. Une ancienne entrée dead-letter reste signalée, pas masquée. Aucun SLA chiffré, délai de correction ou permanence humaine 24/7 n’est annoncé sans engagement qualifié.
Un incident est signalé à yanis@krediafinance.fr. Yanis SIDI BOULENOUAR EI, exploitant du service, réceptionne les signalements et décide des mesures de confinement et des notifications. Les preuves sont protégées et les corrections proportionnées au risque. Aucun suppléant ou opérateur d’astreinte n’est annoncé sans mandat réel ; la désignation éventuelle et les modalités de relais restent une décision de l’exploitant avant ouverture. Source de méthode : https://www.cnil.fr/fr/guide-de-la-securite-des-donnees-personnelles.
Limites de conservation vérifiées
Les conteneurs examinés utilisent trois fichiers de journaux de 10 Mo chacun ; cette rotation limite le volume, pas l’âge. Le timer de sauvegarde existant et l’envoi vers le bucket Marseille ont été observés. Le nouveau mécanisme ne prétend pas effacer tous les journaux d’infrastructure : il cible les traces applicatives hors dossier après six mois calendaires, le support clos après douze mois et les e-mails traités après trente jours. Les durées, gels et prérequis d’exécution sont distingués dans la politique de conservation. Aucun effacement de données financières réelles n’a servi de test.
Contact commun et version
Les versions applicables sont celles approuvées et mises à disposition dans KREDIA. Les projets accessibles dans l’administration ne valent pas acceptation. Contact : yanis@krediafinance.fr.