Sécurité
Ce qui protège les données de votre écurie, et ce qui n’existe pas. Chaque fait de cette page a été contrôlé le 24 octobre 2026.
Hébergé à Paris
L’application tourne à Paris, chez Vercel (région cdg1), et sa base de données est hébergée à Paris par Supabase (région eu-west-3). Les autres prestataires (connexion, paiement, e-mails, suivi des erreurs) sont nommés dans le contrat de sous-traitance.
Chaque écurie isolée des autres
Chaque requête porte l’identifiant de l’écurie et ne lit que ses données. Un audit automatique tente d’atteindre les données d’une écurie depuis une autre : il tourne chaque nuit où le code a changé, et au moins une nuit sur trois sinon. Un échec ouvre une alerte.
Une base fermée au public
Les rôles publics de la base de données n’ont aucun droit sur ses tables, et la sécurité par ligne (RLS) est activée sur toutes les tables, sans aucune règle d’ouverture : même un droit rendu par erreur ne laisserait lire aucune ligne. Les documents et les logos sont rangés dans des espaces de stockage privés.
Des composants logiciels surveillés
Le même audit automatique vérifie les composants logiciels utilisés en production : une faille connue, critique ou élevée, le fait échouer, sauf exception écrite, justifiée et limitée à trois mois.
Des paiements par Stripe
Les numéros de carte se saisissent sur les pages de Stripe et ne passent jamais par HorsePlan.
Des mots de passe gérés par Clerk
Les mots de passe se saisissent chez Clerk, qui gère les comptes : HorsePlan n’en conserve aucun. Les mots de passe connus des fuites publiques sont refusés, et un compte est verrouillé une heure après dix essais manqués.
Contrôles et auto-évaluation
Au 24 octobre 2026 : SSL Labs donne A+ (TLS 1.2 et 1.3 seulement) et MDN HTTP Observatory donne A+ (130 points, 12 tests réussis sur 12). Auto-évaluation selon OWASP ASVS 5.0, niveau 1, mise à jour le 25 octobre 2026 : 50 exigences conformes sur 61 applicables, soit 82,0 %. Auto-évaluation selon le guide de la CNIL sur la sécurité des données personnelles (édition 2024) : 19 précautions conformes sur 53 applicables, soit 35,8 %. Chaque résultat est documenté exigence par exigence, avec sa preuve.
RGPD
Un registre des traitements est tenu (article 30 du RGPD), le contrat de sous-traitance est publié, et une procédure écrite fixe la conduite à tenir en cas de fuite de données : prévenir les écuries concernées dans les meilleurs délais, pour qu’elles puissent notifier la CNIL sous 72 heures.
Lire le contrat de sous-traitanceSignaler une faille
Écrivez à l’adresse ci-dessous. Elle figure aussi dans le fichier security.txt du site.
Fichier security.txtCe qui n’existe pas
HorsePlan n’a aucune certification de sécurité (ni ISO 27001, ni SOC 2) et n’a été audité par aucun cabinet extérieur. Les résultats de cette page viennent de contrôles publics automatisés et d’une auto-évaluation menée par l’éditeur.