1. Infrastructure et hébergement
L’ensemble de l’infrastructure Atonis est déployé sur des services cloud dont les données sont localisées dans l’Union Européenne :
Chaque fournisseur a signé un accord de traitement des données (DPA) conforme au RGPD, incluant les clauses contractuelles types (CCT) approuvées par la Commission Européenne pour tout transfert résiduel.
2. Mesures techniques de sécurité
Chiffrement en transit
TLS 1.3 sur toutes les communications entre le navigateur, l’application et les bases de données. Aucune donnée ne transite en clair.
Chiffrement au repos
Toutes les données stockées (base de données, fichiers factures, accès techniques aux distributeurs Enedis et GRDF) sont chiffrées par AES-256.
Contrôle d’accès par rôle (RBAC)
Chaque membre de l’équipe n’accède qu’aux données strictement nécessaires à sa mission. Les accès sont révisés trimestriellement.
Isolation des données clients (RLS)
Des politiques Row Level Security (RLS) sont appliquées sur toutes les tables Supabase. Un client ne peut jamais accéder aux données d’un autre.
Gestion sécurisée des secrets
Les clés API, tokens et secrets applicatifs sont gérés via les variables d’environnement chiffrées de l’infrastructure de déploiement. Jamais exposés côté client.
Journalisation des accès
Les accès aux données sensibles (PRM/PCE, factures, accès distributeurs Enedis et GRDF) sont journalisés avec horodatage, identifiant de l’opérateur et action effectuée.
3. Sécurité spécifique aux données des distributeurs réseaux (Enedis & GRDF)
Les accès techniques aux plateformes d’Enedis (portail SGE, électricité) et de GRDF (gaz), ainsi que les données récupérées, font l’objet de mesures de protection renforcées :
- Secrets et certificats côté serveur exclusivement : les éléments d’authentification (certificats, clés) ne sont jamais exposés au navigateur ni stockés en localStorage. Les échanges ont lieu uniquement entre les serveurs Atonis et les plateformes Enedis et GRDF.
- Coupure automatique : en cas de retrait de l’autorisation, de clôture du compte, ou d’incident de sécurité détecté, l’accès est immédiatement coupé et les données acquises sont détruites.
- Traçabilité complète : chaque demande de données auprès d’Enedis ou GRDF est journalisée (PRM ou PCE, données interrogées, horodatage, finalité déclarée) et conservée 5 ans.
- Principe de minimisation : seules les données strictement nécessaires à la finalité déclarée sont interrogées. Aucun accès « par précaution » ou « pour l’avenir ».
4. Gestion des incidents de sécurité
En cas de violation de données ou d’incident de sécurité, Atonis applique la procédure suivante :
5. Certifications et audits de sécurité
Atonis est actuellement en phase d’amorçage. Les certifications formelles de sécurité requièrent une durée d’observation minimale (généralement 6 à 12 mois en production) et un processus d’audit externe structuré.
- Mesures techniques documentées (sections 1–3)
- DPA en vigueur avec chaque sous-traitant
- Politique de sécurité interne formalisée
- Gestion documentée des incidents
- Questionnaire de sécurité Enedis (en cours de préparation)
- 2026 – T3Audit de sécurité externe (prestataire indépendant)
- 2026 – T4Tests de pénétration (pentest) applicatif
- 2027Démarche de certification ISO 27001 ou SOC 2 Type II
Les résultats de l’audit externe seront partagés sur demande avec les partenaires institutionnels (Enedis, CRE, etc.).
Note de transparence : ISO 27001 et SOC 2 Type II sont des certifications qui requièrent une période d’observation en production. Annoncer une certification sans l’avoir obtenue serait contraire à notre engagement de transparence. Nous préférons décrire honnêtement nos mesures actuelles et notre calendrier réaliste de certification.
6. Signaler une vulnérabilité
Si vous découvrez une vulnérabilité de sécurité sur la plateforme Atonis, nous vous demandons de nous en informer de manière responsable avant toute divulgation publique.
Contact sécurité : contact@atonis.fr
Nous nous engageons à accuser réception sous 48 heures, à qualifier la vulnérabilité sous 5 jours ouvrés, et à tenir le déclarant informé de la résolution.
Pour toute question relative à la sécurité de la plateforme ou à la protection de vos données :