Confiance et conformité

Où sont vos données

• Aux Pays-Bas. Stockage, transcodage, traitement des journaux et statistiques tournent sur notre propre infrastructure dans des centres de données néerlandais.
• Exploité depuis les Pays-Bas. L’accès d’administration à la production se fait uniquement depuis les Pays-Bas, par nos propres collaborateurs, avec authentification multifacteur. Pas de support « follow-the-sun », pas de centre de support ni de sous-traitant hors de l’EEE.
• Aucun transfert hors de l’EEE. Les spectateurs du monde entier obtiennent une image rapide via notre CDN européen, tandis que vos données restent sous droit européen.
• Chiffré. Transport et stockage chiffrés, avec des environnements de production et de test séparés.

Deux sous-traitants ultérieurs. C’est tout.

La plupart des plateformes vidéo s’appuient sur une longue chaîne de partenaires cloud, analytiques et publicitaires. StreamZilla travaille avec exactement deux, tous deux européens :

• Leaseweb (Pays-Bas) : centre de données et hébergement. Leaseweb n’a pas accès à vos données.
• BunnyCDN (réseau européen de diffusion de contenu) : mise en cache temporaire de fragments de médias et de métadonnées, et journaux d’accès temporaires, pour que vos vidéos démarrent vite partout.

Pas de traceurs, pas de réseaux publicitaires, pas de cloud américain. Nous informons nos clients au moins 30 jours avant qu’un nouveau sous-traitant ultérieur ne traite des données personnelles.

Contrat de sous-traitance

Pour les données personnelles que nous traitons pour votre compte, StreamZilla est sous-traitant au sens du RGPD. Chaque client reçoit un contrat de sous-traitance. En bref :

• Nous traitons uniquement sur vos instructions, jamais pour nos propres fins.
• Les journaux d’accès sont purgés automatiquement après 30 jours.
• Vous fixez les durées de conservation par compte et par collection ; la suppression s’applique aux originaux, flux, transcriptions, sous-titres et métadonnées.
• En fin de contrat, vous choisissez : vos données restituées dans des formats ouverts, supprimées, ou les deux.
• Nous vous notifions une violation de données dans les 48 heures, pour que vous puissiez respecter votre propre délai de 72 heures.

Sécurité

• L’ISO 27001 en pratique. Nous travaillons déjà selon l’ISO/IEC 27001:2022, avec un système de management de la sécurité de l’information opérationnel. La certification formelle est en cours ; d’ici là, nous ne nous présentons pas comme certifiés.
• Tests d’intrusion. Nous réalisons des tests d’intrusion internes. Un test externe suivra, adapté à la phase de bêta privée.
• Personnes. Vérification des collaborateurs, y compris un certificat de bonne conduite néerlandais (VOG), et formation obligatoire à la sensibilisation à la sécurité.
• Accès. Moindre privilège, authentification multifacteur et journalisation des actions d’administration.
• Surveillance. Infrastructure et flux surveillés jour et nuit.
• Signaler une vulnérabilité. Vous avez trouvé une vulnérabilité ? Notre politique de divulgation coordonnée des vulnérabilités, fondée sur le guide du Nationaal Cyber Security Centrum néerlandais, explique comment la signaler. Nous accusons réception sous deux jours ouvrés et n’engageons jamais de poursuites contre une personne qui respecte notre politique.

Lois et normes

• RGPD : protection de la vie privée dès la conception, aucun transfert hors de l’EEE, aucun suivi individuel des spectateurs par défaut. Voir hébergement vidéo conforme au RGPD.
• Règlement sur l’IA (AI Act) : aucune pratique interdite, aucun système d’IA à haut risque, aucun modèle d’IA à usage général. Vos vidéos ne servent jamais à entraîner une IA. Voir vos vidéos et l’entraînement de l’IA.
• Règlement sur les données (Data Act) : changement sans enfermement, export de tout dans des formats ouverts, aucun frais de sortie. Voir le guide du Data Act.
• NIS2 : Jet-Stream se situe sous les seuils de taille, mais applique volontairement les mesures de gestion des risques, car beaucoup de nos clients y sont soumis. Voir NIS2 et plateformes vidéo.
• Accessibilité : lecteur et pages de publication conçus selon le WCAG 2.2 AA et l’EN 301 549, sur la base d’une évaluation interne. Voir lecteur vidéo accessible.
• Archivage : une auto-évaluation selon l’ISO 16175, y compris l’export vers un système d’archivage électronique.
• Management de la qualité : des mesures équivalentes à l’ISO 9001 au sein de notre SMSI, documentées pour les appels d’offres.
• Durabilité : centres de données certifiés verts et logiciel économe en énergie. Voir hébergement vidéo vert.

Documents disponibles sur demande

Les clients, acheteurs et acheteurs publics peuvent demander les documents suivants :

• Déclaration de sécurité de l’information et état de la certification ISO 27001
• Déclaration de conformité RGPD et contrat de sous-traitance
• Liste des sous-traitants ultérieurs
• Déclaration de conformité au règlement sur l’IA
• Déclaration de conformité au règlement sur les données
• Analyse d’applicabilité et déclaration NIS2
• Déclaration d’accessibilité (WCAG 2.2 AA, EN 301 549)
• Auto-évaluation de souveraineté (EU Cloud Sovereignty Framework)
• Justification de la souveraineté numérique, avec sources
• Déclaration technique de conformité et d’engagement sur la sortie de streaming
• Déclaration d’équivalence ISO 9001 et déclaration d’archivage ISO 16175
• Déclaration sur le développement open source et propriétaire
• Déclaration de durabilité
• Politique de divulgation coordonnée des vulnérabilités

Sur demande et sous accord de confidentialité, vous pouvez aussi consulter la déclaration d’applicabilité et nos politiques principales, ou organiser un audit fournisseur.