01Notre approche
uMyris traite des données de réservation, des messages de voyageurs et des accès à des logements. Nous préférons décrire ici ce que nous faisons réellement, plutôt qu'aligner des promesses génériques : notre dispositif est proportionné à la taille de notre structure — trois personnes, un parc d'une quinzaine de logements en production — et progresse avec elle.
Un principe simple guide l'ensemble : ne collecter que le nécessaire, restreindre chaque accès à ceux qui en ont besoin, et pouvoir dire à tout moment qui a accédé à quoi.
02Hébergement et infrastructure
- L'application et ses données sont hébergées chez OVH SAS, en France. Aucune donnée n'est stockée hors de l'Union européenne par notre hébergeur.
- Les environnements de production et de développement sont séparés ; les données réelles ne servent pas aux tests.
- Les systèmes sont maintenus à jour ; les mises à jour de sécurité sont appliquées en priorité.
03Chiffrement et authentification
- Toutes les communications entre votre navigateur (ou l'application) et nos serveurs sont chiffrées en TLS (HTTPS). Aucun service n'est exposé en clair.
- Les accès à l'administration de la plateforme sont nominatifs et limités à l'équipe.
04Accès internes et moindre privilège
L'équipe compte trois personnes. Chacune accède uniquement à ce que sa mission exige : le développement n'implique pas de consulter les messages des voyageurs, l'exploitation ne nécessite pas d'accéder à la facturation des autres clients. Les accès sont tracés — l'application tient un journal d'événements qui permet de savoir qui a fait quoi, et quand.
05Objets connectés et accès aux logements
MyBric, notre écosystème connecté, touche à des sujets sensibles : codes d'accès, capteurs, caméras extérieures. Trois règles s'appliquent :
- Les codes d'accès aux logements sont générés par séjour et expirent après le départ. Un code n'ouvre rien en dehors de sa fenêtre de validité.
- Les capteurs (température, humidité, niveau sonore) mesurent des grandeurs physiques : ils ne captent ni son intelligible, ni image à l'intérieur des logements.
- Les caméras, lorsqu'un logement en est équipé, ne filment que les abords extérieurs et sont signalées aux occupants, conformément à la réglementation.
06Sauvegardes et continuité
Les données sont sauvegardées régulièrement. Nous considérons qu'une sauvegarde qu'on n'a jamais restaurée n'en est pas une : les restaurations sont donc vérifiées, et le dispositif de reprise après incident majeur évolue avec la taille du parc servi.
07En cas de violation de données
Si une violation de données susceptible d'engendrer un risque pour les personnes survenait, nous la notifierions à la CNIL dans les 72 heures (article 33 du RGPD) et informerions directement les personnes concernées lorsque le risque est élevé (article 34). Nos clients hôtes, pour les données qu'ils nous confient en tant que responsables de traitement, seraient prévenus sans délai indu — c'est un engagement de notre accord de sous-traitance.
08Signaler une vulnérabilité
Vous avez identifié une faille ? Nous vous remercions de nous la signaler de façon responsable :
- Écrivez à sas@agregate.fr avec une description du problème et, si possible, les étapes pour le reproduire.
- N'exploitez pas la faille au-delà de la démonstration minimale ; n'accédez pas aux données d'autres utilisateurs ; ne dégradez pas le service.
- Laissez-nous un délai raisonnable pour corriger avant toute divulgation publique.
Nous accusons réception sous 48 heures ouvrées et vous tenons informé de la correction. Nous n'opérons pas de programme de récompense, mais nous créditons volontiers les découvreurs qui le souhaitent. Ces informations sont également publiées au format standard dans notre fichier security.txt.
09Vos bonnes pratiques
La sécurité est partagée. Si vous êtes hôte :
- Choisissez un mot de passe long et unique — un gestionnaire de mots de passe aide.
- Ne partagez pas votre compte : chaque intervenante dispose de son propre accès, limité à ce qui la concerne.
- Ne transmettez jamais un code d'accès logement par un canal public.