T+0
1. Détection
Alerte automatique (Vercel monitoring, Supabase logs, scanner Dependabot) ou signalement externe (security.txt). Horodatage immédiat.
PLAYBOOK INCIDENT RESPONSE
En cas d’incident,
voici le plan.
Happy Unity publie ce playbook de gestion d’incident par transparence envers ses clients. Toute violation de données est traitée selon les 6 étapes ci-dessous, avec pour boussole les obligations RGPD (articles 33 et 34) et notre engagement de communication claire.
LES 6 ÉTAPES
T+30min
2. Qualification
Évaluation initiale : incident réel ou faux positif ? Impact potentiel : utilisateurs concernés, nature des données, portée technique.
T+1h
3. Containment
Actions immédiates pour limiter la propagation : rotation des secrets compromis, révocation des sessions suspectes, blocage des IPs, désactivation de la fonctionnalité affectée.
T+4h
4. Investigation forensic
Analyse approfondie : logs Vercel, audit Supabase, timeline reconstruite, vecteur d'attaque identifié, étendue confirmée. Preservation des preuves.
T+72h max
5. Notification
Notification aux clients affectés (RGPD art. 34 si risque élevé) + CNIL (RGPD art. 33) dans les 72h max. Email transparent : nature, étendue, actions prises, recommandations utilisateur.
T+7j à J+30
6. Remédiation
Correctif déployé + post-mortem public si incident significatif. Mise à jour des procédures, formation équipe, amélioration des contrôles.
RÔLES & RESPONSABILITÉS
ENGAGEMENTS DE DÉLAI
Qualification initiale
30 min
Premier containment
1 heure
Investigation complète
4 heures
Notification client
72 heures max
(RGPD art. 34)
Notification CNIL
72 heures max
(RGPD art. 33)
Post-mortem public
30 jours
si incident significatif
NOTIFICATION CLIENT
Ce qu’un client affecté reçoit.
En cas d’incident affectant vos données, vous recevez un email signé par Fabien Rémon contenant :
- Nature de l’incident (sans jargon technique)
- Type de données affectées et volume
- Date et heure de détection
- Actions déjà prises et celles à venir
- Recommandations que vous pouvez suivre (ex. changer un mot de passe, révoquer un token)
- Point de contact pour toute question : fabien@happy-unity.com
SIGNALER UNE VULNÉRABILITÉ
Vous avez identifié une faille ? Consultez notre politique de divulgation responsable ou contactez directement fabien@happy-unity.com avec le préfixe [Sécurité].