Sécurité & Mesures de protection
Comment Mondr.io protège vos données et réagit face aux incidents de sécurité.
1. Principe de minimisation des données
La sécurité de Mondr.io repose d'abord sur un principe fondamental : collecter le minimum de données possible. Le code principal de l'add-on s'exécute côté client, dans la session Google Slides de l'utilisateur (via Apps Script), sans jamais transiter par les serveurs de Mondr.io.
Les serveurs de Mondr.io stockent uniquement :
- L'email Google associé à votre compte (pour la gestion de l'abonnement)
- Le statut et la date de votre abonnement
- Les références de transactions Stripe (pas les données de carte bancaire)
Le contenu de vos présentations Google Slides n'est jamais transmis ni stocké sur les serveurs de Mondr.io.
2. Architecture technique
Add-on (Apps Script)
Code exécuté directement dans votre session Google Slides. Hébergé par Google LLC sur ses propres serveurs. Accède uniquement au scope presentations.currentonly.
API de licences (Cloud Run)
Microservice vérifiant votre statut d'abonnement. Hébergé sur Google Cloud Run. Reçoit uniquement votre email Google et renvoie votre plan actif.
Base de données (Firestore)
Stocke uniquement les données d'abonnement (email, plan, dates). Hébergé sur Google Cloud. Accès restreint par règles IAM strictes.
Paiement (Stripe)
Traitement des paiements délégué intégralement à Stripe, certifié PCI DSS Level 1. Mondr.io ne manipule jamais les données de carte bancaire.
3. Sécurité des communications
- Toutes les communications entre l'add-on, le site vitrine et l'API sont chiffrées en HTTPS / TLS 1.2 minimum
- Le site vitrine utilise HSTS (HTTP Strict Transport Security) pour forcer le HTTPS
- Les tokens OAuth Google ne sont jamais stockés sur les serveurs de Mondr.io — ils restent dans la session Apps Script de Google
- L'API de licences utilise une authentification basée sur le token Google ID vérifié côté serveur
4. Accès humain aux données
- Aucun employé de Mondr.io n'a accès au contenu de vos présentations Google Slides
- L'accès aux données d'abonnement (Firestore) est limité au fondateur, protégé par authentification à deux facteurs (2FA)
- Les accès aux systèmes de production sont consignés dans des journaux d'audit
- Les prestataires tiers (Google, Stripe, Cloudflare) sont régis par leurs propres politiques de contrôle d'accès et de sécurité
5. Gestion des incidents de sécurité
En cas de violation de données personnelles au sens du RGPD :
- Mondr.io s'engage à notifier la CNIL dans les 72 heures suivant la détection de l'incident (Art. 33 RGPD)
- Les utilisateurs dont les données pourraient être affectées seront notifiés par email dans les meilleurs délais si l'incident est susceptible de causer un risque élevé pour leurs droits et libertés (Art. 34 RGPD)
- Un registre des incidents est maintenu en interne, conformément aux exigences du RGPD
6. Signalement de vulnérabilité
Vous avez découvert une faille de sécurité ?
Merci de nous en informer de façon responsable avant toute divulgation publique. Envoyez un email à : [PLACEHOLDER — À COMPLÉTER : security@mondr.io]
Engagements de Mondr.io :
— Accusé de réception sous 48 heures ouvrées
— Analyse et réponse dans les 5 jours ouvrés
— Notification de correction une fois le correctif déployé
— Aucune action légale engagée contre les chercheurs en sécurité de bonne foi
7. Dépendances tierces
Mondr.io repose sur des prestataires reconnus, chacun disposant de certifications de sécurité solides :
- Google LLC (Google Workspace APIs, Apps Script, Cloud Run, Firestore) — SOC 2, ISO 27001, PCI DSS
- Stripe, Inc. (Paiement) — PCI DSS Level 1, SOC 2 Type II
- Cloudflare, Inc. (CDN, Site vitrine) — SOC 2 Type II, ISO 27001
8. Révisions et mises à jour
Les mesures de sécurité décrites dans ce document sont révisées régulièrement. La date de dernière mise à jour est indiquée ci-dessous. En cas de changement substantiel affectant la sécurité des données des utilisateurs, une communication sera adressée par email.
Dernière mise à jour : Septembre 2026