Des données de santé et d’identité, protégées dès la conception
Un arrêt de travail révèle une information de santé, un NIR identifie une personne. Voici, sans jargon ni promesse creuse, comment L’Exter IJ les protège, et ce qui reste en préparation.
Ce que L’Exter IJ collecte, et ce qu’il ne collecte pas
Nécessaire au recouvrement
Identité du salarié et NIR (chiffré, masqué par défaut)
Dates et nature administrative de l’arrêt (maladie, AT/MP, maternité…)
Salaires de référence, périodes de subrogation
BPIJ, virements reçus, IBAN de l’entreprise (chiffré)
Jamais demandé
Diagnostic, motif médical, pathologie
Copie de l’avis d’arrêt de travail
Pièces médicales, comptes rendus, ordonnances
Identifiants Net-entreprises de vos salariés
Hébergement
Hébergé chez OVHcloud
Le site vitrine lexter-ij.fr et l’application L’Exter IJ sont hébergés chez OVHcloud. Les services du site public et ceux de l’application qui traite les dossiers clients sont à distinguer dans les engagements contractuels.
La certification HDS porte sur des services et des activités précisément définis : elle ne s’étend pas automatiquement à toute offre OVHcloud ni à l’application.
Le périmètre de l’offre retenue, l’activation de l’option HDS et les engagements contractuels doivent être vérifiés avant d’annoncer un hébergement HDS pour les données concernées.
Voir le périmètre HDS publié par OVHcloud.
Base de données PostgreSQL, comptes séparés pour l’application et pour les migrations.
L’application refuse de démarrer si un secret manque, est trop faible ou si un réglage de production est dangereux.
Les journaux techniques masquent cookies, jetons et en-têtes d’autorisation.
Mesures techniques
Comment c’est construit
Chiffrement
En transit comme au repos, et au niveau du champ pour ce qui est le plus sensible.
Toutes les connexions passent par TLS ; en production, HSTS impose HTTPS.
Le NIR, l’IBAN, les secrets de double authentification, les identifiants des connecteurs et ceux du compte de téléphonie sont chiffrés champ par champ en AES-256-GCM ; les enregistrements d’appels, quand l’espace les active, sont chiffrés comme les pièces.
Chaque chiffré est lié à son contexte (client, usage) : copié dans un autre espace, il ne se déchiffre pas.
Un index aveugle (HMAC propre à chaque client) permet de retrouver un salarié par son NIR sans le déchiffrer.
Le NIR est masqué par défaut (seuls le sexe et l’année restent visibles) ; chaque affichage du numéro complet est journalisé.
Les clés de chiffrement sont distinctes, et le format versionné permet leur rotation.
Isolation de chaque client
Un espace par client, à son adresse, cloisonné jusque dans la base de données.
Chaque client accède à L’Exter IJ par son propre sous-domaine ; le client est déterminé par l’adresse, jamais par une donnée envoyée par le navigateur.
Dans PostgreSQL, la sécurité au niveau des lignes (RLS) est activée et forcée sur chaque table client : sans contexte client, aucune ligne n’est visible ni modifiable.
Un test automatique vérifie qu’aucune table portant des données client n’y échappe.
Les clés étrangères incluent l’identifiant du client : il est impossible de relier les données de deux clients.
Les cookies de session sont limités à l’adresse du client : la session d’un espace n’est jamais envoyée à un autre.
Le compte applicatif de la base n’a pas le droit de contourner la RLS.
Authentification
La double authentification n’est pas une option.
Mot de passe haché avec argon2id, puis code à usage unique (TOTP) obligatoire pour tous les utilisateurs.
Dix codes de secours à usage unique, stockés sous forme d’empreinte.
Verrouillage du compte 15 minutes après 5 échecs ; réponse identique que le compte existe ou non.
Sessions côté serveur : expiration après 30 minutes d’inactivité et 12 heures au total, révocation immédiate à la déconnexion ou au changement de rôle.
Les actions sensibles, comme réinitialiser la double authentification d’un utilisateur, exigent de ressaisir le mot de passe et un code.
Protection contre la falsification de requêtes (jeton CSRF, contrôle d’origine), politique de sécurité du contenu stricte, limitation de débit.
Droits d’accès
Chacun ne voit que ce dont il a besoin, et ne peut pas s’accorder plus.
Chaque route de l’API déclare ses droits ; une route qui n’en déclare aucun empêche l’application de démarrer.
Personne ne peut accorder un droit qu’il n’a pas, modifier un utilisateur plus privilégié, ni retirer le dernier administrateur.
Sans le droit « informations médicales », la nature de l’arrêt est masquée partout, y compris dans les réponses de l’agent IA : seuls les montants restent visibles.
Par défaut, l’équipe L’Exter IJ ne voit rien de votre espace. Un administrateur peut ouvrir au support un accès en lecture seule, de 30 minutes à 8 heures, révocable, signalé par un bandeau et tracé écran par écran.
Un cabinet n’entre dans l’espace d’un client qu’avec son accord, sous un rôle plafond qu’il fixe ; ni les utilisateurs, ni les rôles, ni les réglages ne lui sont jamais accessibles.
Clés d’API à portées limitées, avec expiration : une clé ne donne jamais plus de droits que la personne qui l’a créée, et les réponses ne contiennent ni NIR ni information médicale.
Traçabilité
Un journal d’audit que personne ne peut réécrire
Chaque modification est enregistrée automatiquement : qui, quoi, quand, d’où et avec quel résultat. Les connexions,
les échecs, les changements de rôle, la consultation ou la recherche d’un NIR, les validations de lettrage et de
réclamations ont leurs propres événements.
Le journal ne contient que les noms des champs modifiés, jamais leurs valeurs. La base
refuse toute modification ou suppression d’une entrée par l’application : le journal est en ajout seul. Les actions
préparées par l’agent IA y figurent comme celles d’un utilisateur.
Vous restez responsable de traitement, nous sommes votre sous-traitant
Accord de sous-traitance
L’Exter IJ agit pour votre compte (article 28 du RGPD). Le modèle d’accord (DPA) est communiqué sur demande, avec la description des mesures de sécurité.
Sous-traitants ultérieurs
Catégories : hébergement en France, envoi des e-mails de service, paiement de l’abonnement (aucune donnée de carte chez L’Exter IJ). Liste nominative communiquée sur demande et tenue à jour.
Intelligence artificielle
Le recours à un modèle de langage externe est désactivé par défaut. Pour l’assistant écrit, les outils de consultation excluent le NIR, l’IBAN, la nature de l’arrêt et les textes libres d’anomalie. Les questions et l’historique récent sont transmis avec un filtre d’identifiants : ne saisissez aucune information médicale ni pièce sensible dans la conversation. Ce filtre ne reconnaît pas toute donnée sensible formulée en texte libre. L’assistant propose des démarches ; valider une proposition ne génère ni n’envoie un courrier.
Le registre des traitements et l’analyse d’impact (AIPD) sont en cours de finalisation et seront partagés avec nos clients.
Pour les données collectées sur ce site, voir la politique de confidentialité.
Continuité
Sauvegardes et fin de contrat
Sauvegardes
En préparation
Sauvegardes chiffrées, stockées en France, avec des tests de restauration réguliers : la politique (fréquence, durée
de rétention) est arrêtée avec l’hébergeur et sera publiée ici. Les sauvegardes conservent les données jusqu’à leur
expiration, y compris après la suppression d’un espace : cette durée figurera dans le DPA.
Partir avec vos données, et les effacer
En place
1Export complet de toutes vos données en un fichier, avec son empreinte SHA-256 (sans aucun secret technique).
2Demande de clôture : un délai (30 jours par défaut) vous laisse exporter ou annuler.
3Purge vérifiée : toutes les lignes de votre espace sont supprimées, puis la base vérifie qu’il n’en reste aucune, faute de quoi rien n’est supprimé.
4Certificat de suppression : le nombre de lignes supprimées par table, la date et l’empreinte du dernier export sont conservés.
Audits
Tests de sécurité
Tests de sécurité
En préparation
Une revue de sécurité adverse du code a été menée en interne : aucune faille critique, les points relevés sont corrigés ou planifiés. Un test d’intrusion par un tiers indépendant est prévu avant la mise en production.
Divulgation responsable
Vous avez trouvé une faille ? Merci de nous le dire.
Écrivez-nous à l’adresse contact@lexter-ij.fr, publiée aussi dans le fichier
standard /.well-known/security.txt. Décrivez la vulnérabilité, l’adresse concernée et
les étapes pour la reproduire.
Nous accusons réception sous 3 jours ouvrés et vous tenons informé de la correction.
Nous n’engagerons aucune poursuite contre une recherche menée de bonne foi.
N’accédez pas aux données d’un client, ne dégradez pas le service, ne publiez rien avant correction.
Disponibilité du service
Bientôt
Une page de statut publique (disponibilité, incidents, maintenances) sera ouverte avec la mise en production. En cas
d’incident affectant vos données, vous êtes informé sans délai, conformément au DPA.
Un questionnaire sécurité à remplir ?
Envoyez-le-nous : DPA, description des mesures, liste des sous-traitants et réponses à votre RSSI.
