La configuration de la plateforme
Projets, composants, réseaux, stockage et dimensionnement des machines — la description de ce qui doit être construit.
Accord de traitement des données
Ce que nous détenons, et ce que nous ne détenons délibérément pas.
Une plateforme qui déploie votre logiciel n’a pas besoin de le lire. La distinction entre orchestrer un déploiement et détenir ce qui est déployé est une frontière que nous comptons garder nette.
Votre code source reste le vôtre
La plateforme ne clone, ne lit ni ne stocke vos dépôts.
Elle détient l’adresse d’un dépôt et un identifiant qui permet à un pipeline de l’atteindre, et le pipeline s’exécute sur votre infrastructure. Ce que nous gardons, c’est la configuration qui décrit ce qui doit exister, pas l’application qui finit par tourner.
Ce que nous traitons
Les observations de l’infrastructure
Ce que la cible renvoie : inventaire et synthèses de métriques, utilisés pour montrer l’état et décider si un déploiement peut avoir lieu.
Compte et identité
L’identité de connexion, les coordonnées, et les profils rattachés à chaque projet.
Les actions effectuées
Un journal d’audit des changements d’infrastructure, y compris l’utilisateur qui les a faits. Ce sont des données personnelles, et elles seront traitées comme telles.
Les identifiants, et la limite honnête de leur chiffrement
Les identifiants que vous confiez à la plateforme — jetons d’accès, mots de passe des fournisseurs, jetons de runner — sont chiffrés au repos en AES-256-GCM. Chaque valeur stockée est liée au champ auquel elle appartient, si bien qu’une valeur extraite d’un endroit ne peut pas être rejouée dans un autre.
Ce contre quoi cela protège, précisément : une copie de la base de données, une sauvegarde qui fuit, un réplica lisible par un opérateur, et une lecture au niveau de la base à travers une faille de l’application.
Ce contre quoi cela ne protège pas, c’est la compromission de l’application en fonctionnement, qui détient nécessairement la clé pendant qu’elle travaille. Aucun chiffrement à ce niveau ne le pourrait, et nous préférons le dire plutôt que de laisser entendre une garantie que la conception ne peut pas donner. La défense repose là sur le contrôle d’accès, l’isolement et le renouvellement des clés.
Sous-traitants
Fournir la plateforme implique que d’autres prestataires traitent une partie de ces données. La liste envisagée, à tenir à jour comme une obligation et non comme une politesse :
- GitLab — pipelines, runners, état des déploiements et catalogue de rôles.
- Vercel — hébergement du plan de contrôle.
- Autumn et Stripe — facturation des abonnements et paiement.
- Resend — e-mails transactionnels.
- Google et GitHub — connexion facultative, pour les utilisateurs qui les choisissent.
- Notre hébergeur de base de données — le stockage principal de la plateforme.
Encore à fixer
Les durées de conservation, la procédure de réponse à une demande d’une personne concernée, et l’identité du responsable de traitement et du sous-traitant ne sont pas encore fixées. Elles le seront avec des juristes, et le logiciel sera construit pour les respecter — plutôt que d’écrire l’accord pour décrire ce que le logiciel se trouve faire.