Hébergement en UE
Hetzner Online GmbH — Gunzenhausen, Allemagne. Centres de données en Union européenne, droit allemand, RGPD applicable.
JuriDX héberge ses données en Union européenne, chiffre au repos comme en transit, n'utilise jamais les contenus de vos dossiers pour entraîner un modèle, et publie sa politique de sous-traitance. Le document de référence est ce SECURITY.md que nous gardons à jour.
Hetzner Online GmbH — Gunzenhausen, Allemagne. Centres de données en Union européenne, droit allemand, RGPD applicable.
AES-256 au repos pour les données stockées. TLS en transit pour toutes les communications. Cookies de session HttpOnly uniquement.
Les contenus des dossiers, notes, brouillons et situations de fait ne sont jamais utilisés pour entraîner un modèle, chez nous ou chez nos sous-traitants.
HttpOnly nommé juridx-access.
HttpOnly juridx-refresh, scope path: /api.
getAccessToken() : le jeton d'accès est reforgé à la première requête après expiration, sans interaction.
SECURITY.md.
Toute route mutante (POST, PATCH, PUT, DELETE) vérifie Origin ou Referer via verifyOrigin(). Les requêtes cross-origin reçoivent HTTP 403. Les appels serveur-à-serveur sans ces en-têtes restent acceptés ; la garde JWT s'applique toujours.
Toutes les routes en écriture valident le corps de la requête avec des schémas Zod définis dans src/lib/schemas/. Une entrée invalide renvoie HTTP 400 avec erreurs par champ. Les query params des routes admin sont allowlistés.
Les routes /login et /register transmettent X-Forwarded-For à l'API amont, qui applique un rate limiting par IP. Les en-têtes Retry-After et X-RateLimit-* sont relayés au navigateur.
Les routes /api/admin/* exigent un JWT valide ; l'application des rôles (admin / super_admin) est faite par l'API amont, source autoritaire. Le proxy ne parse pas le JWT.
| En-tête | Valeur |
|---|---|
Strict-Transport-Security |
max-age=63072000; includeSubDomains; preload (2 ans, preload) |
X-Frame-Options |
DENY |
X-Content-Type-Options |
nosniff |
Referrer-Policy |
strict-origin-when-cross-origin |
Permissions-Policy |
Caméra et géolocalisation désactivées ; microphone restreint à l'origine |
Content-Security-Policy |
Allowlist : self + iframes Stripe + API Stripe |
JuriDX s'appuie sur quatre sous-traitants identifiés. Un DPA complet est annexé à votre contrat professionnel ; une version téléchargeable est disponible sur demande.
Allemagne. Hébergement et infrastructure. Droit allemand, RGPD, centres de données en Union européenne.
États-Unis. Paiements. Transfert UE vers US encadré par clauses contractuelles types.
États-Unis. Capacités d'IA (chat, analyse, brouillon). Conditions de l'API OpenAI applicables — pas d'utilisation des données pour l'entraînement des modèles.
Emails transactionnels : réinitialisation de mot de passe, bienvenue, factures, digest hebdomadaire.
Conformément au RGPD, vous pouvez à tout moment exercer les droits suivants sur vos données personnelles.
Pour exercer ces droits : privacy@juridx.fr, avec une copie de pièce d'identité. Nous répondons dans un délai d'un mois. Vous pouvez également saisir la CNIL — 3 Place de Fontenoy, 75007 Paris.
Les rapports de vulnérabilité sont bienvenus à security@juridx.fr. Nous répondons sous 5 jours ouvrés. Merci de nous donner un délai raisonnable de correction avant publication.
Ces éléments sont documentés textuellement dans SECURITY.md, section « Known Limitations ».
HttpOnly et durée courte.unsafe-inline dans la CSP sur les scripts, nécessaire au script d'initialisation du thème. À remplacer par un nonce dans une prochaine itération.Pour les organisations avec des exigences spécifiques (banque, santé, collectivités, barreaux), nous adaptons le DPA à votre contexte.