Annexe B — Mesures techniques et organisationnelles de sécurité

Applicable au 14 mai 2026.

La présente annexe décrit les mesures techniques et organisationnelles mises en œuvre par Moofl pour garantir un niveau de sécurité adapté aux risques associés au traitement des données à caractère personnel, conformément à l'article 32 du RGPD. Ces mesures sont régulièrement évaluées et mises à jour pour tenir compte de l'évolution des risques, des technologies et du coût raisonnable de leur mise en œuvre.

B.1 Gouvernance et documentation

• Politique interne de protection des données et de sécurité de l'information.
• Désignation d'un point de contact RGPD (gdpr@moofl.com) ; Délégué à la Protection des Données lorsque l'obligation s'applique.
• Registre des activités de traitement tenu conformément à l'article 30 du RGPD.
• Procédure de gestion des incidents et de réponse aux violations de données.
• Procédure de gestion des sous-traitants et des transferts hors EEE.

B.2 Sécurité applicative

• Authentification des utilisateurs par identifiant et mot de passe haché conformément aux algorithmes conforme à l'état de l'art) en matière de sécurité.
• Authentification renforcée pour les opérations sensibles (eHealth, MDA).
• Protection contre les attaques courantes (CSRF, injection SQL, XSS, etc.)
• Permissions granulaires (utilisateur approuvé, vérifié, rôles internes, etc.).

B.3 Sécurité de l'infrastructure

• Hébergement Infomaniak Network SA en Suisse (datacenters certifiés ISO 27001, neutres en carbone, sous juridiction européenne grâce à la décision d'adéquation de la Commission européenne) ; séparation stricte des accès et gestion granulaire des identités.
• Chiffrement au repos via une solution de gestion de clés souveraine pour les éléments les plus sensibles, chiffrement côté serveur pour le stockage objet Infomaniak ; chiffrement en transit en TLS 1.2 / 1.3 sur l'ensemble des flux.
• Sauvegardes chiffrées, fréquence quotidienne au minimum pour les bases de données, tests de restauration périodiques.

B.4 Surveillance et détection

• Supervision applicative et infrastructure (Logs, journaux applicatifs, métriques, etc.)
• Journaux d'audit conservés douze (12) mois en principe.
• Alertes en cas d'activité inhabituelle, de tentatives d'authentification anormales ou de pic d'erreurs.

B.5 Sécurité organisationnelle

• Engagement de confidentialité signé par chaque collaborateur ; formation sécurité et sensibilisation phishing.
• Principe du moindre privilège pour les accès internes ; revue périodique des accès.
• Postes de travail à jour, antivirus, chiffrement de disque, gestion centralisée des identités.
• Procédures de départ / changement de fonction documentées.

B.6 Cycle de vie sécurité

• Revues de code, tests automatisés, pipeline CI/CD avec contrôles de qualité (scan automatique des vulnérabilités des dépendances).
• Mises à jour régulières des dépendances et veille sur les vulnérabilités publiques (CVE).
• Tests d'intrusion ou audits de sécurité externes effectués périodiquement selon la maturité et le périmètre, avec plan de remédiation suivi jusqu'à clôture.

B.7 Continuité d'activité

• Redondance de disponibilité au sein des datacenters Infomaniak en Suisse.
• Plan de continuité et de reprise après sinistre (PCA/PRA) documenté et révisé périodiquement.
• Rétention pluriannuelle des sauvegardes critiques, dans les limites des obligations RGPD.

B.8 Suppression et restitution des données

• Procédure documentée de suppression, à l'issue du Contrat ou sur demande, conformément au DPA.
• Capacité d'exportation des données du Client (formats lisibles) afin de faciliter la portabilité.
• Pseudonymisation et anonymisation appliquées aux données utilisées à des fins d'amélioration des Services et de statistiques internes.