Traduction fournie à titre informatif. Seule la version allemande fait foi.

Conformément à l’art. 32 RGPD | Mise à jour : mai 2026 | Version : 2.0
Sous-traitant : Tapcoat GmbH, Hanauer Landstraße 204, 60314 Frankfurt am Main

Champ d’application : La présente annexe décrit les mesures techniques et organisationnelles au sens de l’art. 32 RGPD mises en œuvre à la date de la signature. Tapcoat s’engage à communiquer par écrit au responsable du traitement toute modification substantielle au moins 30 jours à l’avance.

A. Contrôle de l’accès physique

La plateforme Tapcoat est exploitée en tant que service cloud sur DigitalOcean (centre de données FRA1, Francfort-sur-le-Main) et Hetzner (centres de données de Falkenstein/Nuremberg), tous situés en Allemagne. Le contrôle de l’accès physique aux locaux des serveurs incombe à DigitalOcean et est documenté dans le DPA de DigitalOcean ainsi que dans les rapports SOC 2. Tapcoat n’exploite pas de matériel serveur propre.

Matériel serveur exclusivement dans des centres de données certifiés des fournisseurs d’hébergement en Allemagne (DigitalOcean FRA1, Francfort-sur-le-Main ; Hetzner, Falkenstein/Nuremberg ; chacun certifié ISO 27001)
Aucun accès physique propre aux serveurs par le personnel de Tapcoat n’est nécessaire ni existant
Accès à l’infrastructure serveur exclusivement logique, via VPN et bastion (voir section D)

B. Contrôle de l’accès aux systèmes

Mesures visant à empêcher l’utilisation non autorisée des systèmes de traitement de données.

B.1 Procédures d’authentification

Connexion avec adresse e-mail et mot de passe (standard)
Magic Link : connexion sans mot de passe via un lien envoyé par e-mail, signé cryptographiquement et à durée limitée
QR Login : authentification par scan d’un code à usage unique avec un appareil déjà authentifié
Authentification à deux facteurs (2FA) pour les accès d’administration internes aux systèmes de production : obligatoire

B.2 Sécurité des mots de passe

Longueur minimale du mot de passe : 8 caractères
Caractères obligatoires : majuscule, minuscule, chiffre, caractère spécial (les quatre classes sont requises)
Hachage des mots de passe : bcrypt (algorithme de hachage adaptatif et résistant aux collisions ; aucun mot de passe stocké en clair)

B.3 Gestion des sessions

Les sessions sont intégralement invalidées côté serveur lors d’un changement de mot de passe
Protection contre les attaques par force brute : limitation automatique du débit (rate limiting) par adresse IP

B.4 Chiffrement des transmissions

Toutes les connexions exclusivement via HTTPS (TLS 1.2 imposé au minimum, TLS 1.3 privilégié)
Points de terminaison des pass Wallet et de l’API : exigences TLS identiques

C. Contrôle de l’accès aux données et gestion des autorisations

Mesures garantissant que les personnes autorisées ne peuvent accéder qu’aux données qui leur sont attribuées.

C.1 Personnes disposant d’un accès à la production

3 à 5 personnes au maximum disposent d’un accès technique à la base de données de production
Personnes autorisées : direction de Tapcoat GmbH ainsi que l’équipe de développement de formwandler interactive / Molchkragen Media GmbH
Aucun accès à la production pour les freelances externes, les prestataires d’administration informatique ou tout autre tiers

C.2 Concept de rôles et principe du moindre privilège

Rôles clairement séparés : Dev, Admin, Support, chacun avec des niveaux d’autorisation différents
Principe du moindre privilège : chaque personne ne reçoit que les droits nécessaires à son activité
Les accès sont contrôlés systématiquement chaque trimestre ; les accès qui ne sont plus nécessaires sont désactivés sans délai

C.3 Journalisation d’audit

Les actions d’accès suivantes sont journalisées :

Connexions administrateur (horodatage, identifiant)
Modifications de configuration des paramètres système
Accès directs à la base de données via psql / SSH
Corrections manuelles de données dans la base de données de production

D. Contrôle de la transmission

Mesures garantissant que les données à caractère personnel ne peuvent être ni lues, ni copiées, ni modifiées, ni supprimées sans autorisation lors de leur transmission électronique.

D.1 Chiffrement lors de la transmission

Toutes les transmissions de données entre client et serveur exclusivement via TLS 1.2 / TLS 1.3 (HTTPS)
Communication API entre les services backend de Tapcoat également chiffrée
Signature des pass Wallet : signature cryptographique de tous les pass Apple Wallet et Google Wallet avec un certificat propre

D.2 Accès aux certificats et identifiants

Certificats de signature des pass Wallet conservés dans un gestionnaire de mots de passe protégé par mot de passe (LastPass)
Accès aux identifiants de production limité à 3 à 5 personnes au maximum
Accès SSH aux systèmes de production exclusivement via VPN et bastion ; authentification par clé (pas d’authentification par mot de passe)

D.3 Protection DDoS et sécurité réseau

Cloudflare en tant que protection DDoS en amont, CDN et fournisseur DNS pour tous les points de terminaison de Tapcoat
Limitation du débit (rate limiting) configurée via Cloudflare

E. Contrôle de la saisie

Mesures permettant de vérifier a posteriori si des données ont été saisies, modifiées ou supprimées, et par qui.

Les connexions administrateur, les modifications de configuration, les accès directs à la base de données et les corrections manuelles de données sont journalisés (voir C.3)
Protection contre l’injection SQL : utilisation sans exception de requêtes paramétrées et d’un ORM
Protection contre le cross-site scripting (XSS) : encodage des sorties côté serveur à tous les points de sortie
Protection contre la falsification de requêtes intersites (CSRF) : jeton CSRF actif sur tous les points de terminaison liés à des formulaires
Validation des entrées sur tous les points de terminaison de l’API (côté serveur)

F. Contrôle de la sous-traitance

Mesures garantissant que les données à caractère personnel sont traitées exclusivement conformément aux instructions du responsable du traitement.

Engagement contractuel conformément à l’art. 28 RGPD : Tapcoat traite les données exclusivement dans le cadre du contrat de sous-traitance
Séparation technique des Clients : aucun traitement de données entre Clients n’est possible (voir section H)
Sous-traitants ultérieurs : intégralement énumérés à l’annexe 2 du DPA et autorisés par le responsable du traitement
Le personnel de Tapcoat s’est engagé par écrit à respecter la confidentialité des données ; l’obligation de suivre les instructions est inscrite dans le contrat de travail

G. Contrôle de la disponibilité

Mesures garantissant que les données à caractère personnel sont protégées contre la destruction ou la perte accidentelles.

G.1 Infrastructure d’hébergement

DigitalOcean, LLC + Hetzner Online GmbH : backend / base de données — calcul, base de données managée, stockage objet — FRA1 Francfort-sur-le-Main (DigitalOcean) + Falkenstein/Nuremberg (Hetzner)
Mittwald CM Service GmbH & Co. KG : site marketing tapcoat.com — hébergement web — Espelkamp, Allemagne
Cloudflare, Inc. : CDN / protection DDoS — DNS, CDN, WAF, rate limiting — PoP de Francfort (routage UE)

G.2 Haute disponibilité

Services applicatifs : cluster haute disponibilité avec basculement automatique (failover) en cas de défaillance d’instances individuelles

G.3 Sauvegarde des données (backup)

La sauvegarde des données est assurée par le service DigitalOcean Managed Database (automatisée par le fournisseur)
Les sauvegardes restent exclusivement au sein de l’infrastructure des fournisseurs d’hébergement concernés (DigitalOcean, Hetzner) ; aucune exportation vers des systèmes tiers non contrôlés
Chiffrement des données au repos : AES-256 (standard chez DigitalOcean Managed Database et Hetzner)

G.4 Gestion des situations d’urgence

Un plan de reprise après sinistre (disaster recovery) documenté par écrit est en place
Le plan fait l’objet d’un test pratique au moins une fois par an

G.5 Surveillance et exploitation

Sentry : surveillance des performances applicatives (APM) et suivi des erreurs en temps réel (application + backend)
Better Stack : gestion des journaux, surveillance de la disponibilité (uptime) et pages de statut
Oh Dear (Immutable VOF) : surveillance externe et indépendante de la disponibilité de tous les points de terminaison de Tapcoat
Alertes automatiques en cas de panne de serveur ou d’API et de hausse des taux d’erreur

H. Principe de séparation (séparation des Clients)

Mesures garantissant que les données collectées à des fins différentes sont traitées séparément.

H.1 Modèle de séparation des données

Modèle hybride : les Clients Enterprise disposent d’instances de base de données dédiées et logiquement isolées
Clients Standard : infrastructure de base de données partagée avec sécurité au niveau des lignes (Row-Level Security, RLS) appliquée de bout en bout au niveau de la base de données — chaque requête est automatiquement limitée à l’identifiant du Client concerné
Vérification cohérente de l’identifiant du Client sur tous les points de terminaison de l’API (imposée côté serveur)
Revues de code manuelles axées explicitement sur la séparation correcte des identifiants de Client lors de modifications de code pertinentes pour la sécurité

H.2 Unicité des pass Wallet

Les ID de pass Wallet reposent sur des UUID (générés de manière cryptographiquement aléatoire, impossibles à deviner)
Impossibilité technique d’un accès non autorisé aux pass Wallet d’autres Clients en raison de la longueur des UUID et de leur distribution aléatoire

I. Protection des données dès la conception (art. 25 RGPD)

I.1 Privacy by Design et Privacy by Default

Minimisation des données : pour chaque nouvelle fonctionnalité, il est systématiquement vérifié si le traitement du volume de données prévu est nécessaire
Pseudonymisation : mise en œuvre lorsque cela est techniquement pertinent et possible
Privacy by Default : les paramètres par défaut respectueux de la vie privée sont la norme ; les Clients n’ont pas à effectuer activement de réglages de confidentialité

I.2 Politique d’effacement

À la demande du Client : anonymisation complète ou suppression du compte dans un délai de 30 jours ; délai d’export préalable de 30 jours
Les obligations légales de conservation prévues par le HGB et l’AO sont prises en compte dans la logique du système et ne prévalent pas sur les obligations d’effacement

J. Sécurité des applications

Des requêtes de base de données paramétrées (prepared statements) sont utilisées sans exception — aucune concaténation SQL dynamique
ORM en tant que couche de protection supplémentaire contre la manipulation SQL directe
Mises à jour de sécurité automatisées des dépendances : Renovate / Dependabot / Snyk actifs dans le processus CI/CD
Vérification manuelle supplémentaire des mises à jour de dépendances avant le déploiement en environnement de production
Scan de ports externe réalisé lors du soft launch (20 mai 2026)
Scans de vulnérabilités automatisés des bibliothèques et dépendances (Snyk) intégrés au processus de développement

K. Personnel, formation et engagement de confidentialité

K.1 Engagement de confidentialité des données

Ensemble du personnel de Tapcoat ayant accès aux données : engagé par écrit à respecter la confidentialité des données conformément à l’art. 28, par. 3, point b), RGPD
Ensemble du personnel de formwandler interactive / Molchkragen Media GmbH ayant accès aux données de Tapcoat : engagé par écrit
Personnel de Symplion GmbH (administration informatique) disposant d’un accès administrateur à l’infrastructure informatique interne (e-mail, terminaux), sans accès aux systèmes de production : engagé par écrit
Freelances externes ayant accès aux données : engagés par écrit

K.2 Formations

Formation à la protection des données lors de l’onboarding de chaque nouvelle personne ayant accès aux données
Formations ponctuelles à la suite d’incidents de sécurité, de modifications importantes de la plateforme ou d’évolutions législatives

K.3 Off-boarding

Processus d’off-boarding documenté : tous les accès sont désactivés de manière centralisée le dernier jour de travail
Obligation de restituer tous les moyens d’accès (clés, appareils, certificats) lors du départ

L. Réponse aux incidents

Un plan de réponse aux incidents documenté par écrit est en place (document distinct)
Les responsabilités en cas d’incident (responsable de l’incident, responsable technique, personne de contact pour la protection des données) sont attribuées nominativement
Les voies d’escalade jusqu’à la direction de Tapcoat GmbH sont définies
Un modèle de notification à l’autorité de contrôle compétente conformément à l’art. 33 RGPD est disponible
Un modèle de communication aux personnes concernées conformément à l’art. 34 RGPD est disponible
Aucune violation de données connue au cours des 12 derniers mois (état : mai 2026)

Autorité de contrôle : Autorité compétente : Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI, commissaire à la protection des données et à la liberté d’information du Land de Hesse), Gustav-Stresemann-Ring 1, 65189 Wiesbaden. Les incidents soumis à notification sont notifiés dans un délai de 72 heures après en avoir pris connaissance (art. 33, par. 1, RGPD). En cas de sous-traitance : information du Client concerné sans délai après en avoir pris connaissance.

M. Certifications et contrôles externes

Scan de ports / contrôle de sécurité : réalisé — scan de ports lors du soft launch, 20 mai 2026
Scans de vulnérabilités automatisés : actifs (en continu) — Snyk / Dependabot intégrés au processus CI/CD
ISO 27001 : aucune
BSI C5 / SOC 2 : aucune
Fournisseurs d’hébergement (infrastructure) : DigitalOcean : SOC 2 Type II + ISO 27001 ; Hetzner : ISO 27001

Tapcoat ne dispose actuellement d’aucune certification propre en matière de sécurité de l’information. Les infrastructures cloud utilisées sont certifiées : DigitalOcean selon SOC 2 Type II et ISO 27001, Hetzner selon ISO 27001. Ces certificats peuvent être fournis sur demande à titre de référence.

N. Récapitulatif des mesures mises en œuvre

A Contrôle de l’accès physique : entièrement assuré par les fournisseurs cloud (DigitalOcean, Hetzner ; chacun ISO 27001)
B Contrôle de l’accès aux systèmes : mis en œuvre : bcrypt, TLS 1.2+, MFA interne, rate limiting
C Contrôle de l’accès aux données : mis en œuvre : moindre privilège, revue trimestrielle, journal d’audit
D Contrôle de la transmission : mis en œuvre : TLS, VPN/bastion, Cloudflare
E Contrôle de la saisie : mis en œuvre : journalisation, prepared statements, XSS/CSRF/validation des entrées
F Contrôle de la sous-traitance : mis en œuvre : engagement au titre du DPA, confidentialité des données, séparation des Clients
G Contrôle de la disponibilité : mis en œuvre : cluster HA, sauvegarde (DigitalOcean), plan de reprise après sinistre, surveillance
H Principe de séparation : mis en œuvre : RLS, identifiants UUID, modèle hybride, revues de code
I Privacy by Design / Default : mis en œuvre : minimisation des données, pseudonymisation, processus d’effacement
J Sécurité des applications : mis en œuvre : ORM, prepared statements, scans des dépendances
K Personnel et formation : mis en œuvre : engagements, onboarding, off-boarding
L Réponse aux incidents : mis en œuvre : plan, modèles, responsabilités, escalade
M Certifications : certificats d’infrastructure disponibles (DigitalOcean) ; aucune certification propre

O. Prise d’effet et mise à jour

La présente description des MTO fait partie intégrante du contrat de sous-traitance et entre en vigueur à la signature de celui-ci. Tapcoat met à jour la présente annexe en cas de modification substantielle des mesures de sécurité. Le responsable du traitement en est informé par écrit ; une nouvelle version est mise à disposition. La date de la version en vigueur figure dans l’en-tête du document.

Version 1.0 — mai 2026 — version initiale
Version 2.0 — mai 2026 — mentions de planification supprimées ; uniquement les mesures mises en œuvre ; structure classique selon l’art. 32, sections A à M

Annexe 1 au DPA — mesures techniques et organisationnelles (MTO)