Confiance
Pratiques de sécurité et d’achat, publiées en intégralité.
Pour votre service des achats, votre revue de sécurité informatique et votre conseil juridique : ce que LFW fait de vos données et de vos systèmes, par écrit, avec une date sur chaque document. Lisez-le avant de demander, et demandez tout ce qui manque.
Politiques.
Quatre documents, chacun décrivant ce que LFW fait aujourd’hui. Chacun porte sa version et la date de sa dernière modification, comme les contrats, sur une page distincte.
- Politique de sécurité de l’information (en anglais) Version 1.0, 6 octobre 2026 Ce que LFW protège, où tournent ses systèmes, comment les versions sont construites, comment les données sont sauvegardées et comment un problème est signalé. Lire (en anglais)
- Politique de contrôle d’accès (en anglais) Version 1.0, 6 octobre 2026 Qui peut accéder à quoi : des comptes client au nom du client, une connexion sans mot de passe, un accès délégué aux systèmes du client et la façon dont l’accès est révoqué. Lire (en anglais)
- Plan de réponse aux incidents (en anglais) Version 1.0, 6 octobre 2026 Ce qui compte comme incident, qui est prévenu et quand, comment les systèmes de LFW et le site d’un client sont restaurés, et ce qui est consigné ensuite. Lire (en anglais)
- Politique d’utilisation acceptable (en anglais) Version 1.0, 6 octobre 2026 Les règles que LFW suit avec les données des clients, leurs systèmes, les identifiants, les outils d’IA et son propre matériel. Lire (en anglais)
Comment nous traitons les données des clients.
La version courte. La politique de sécurité de l’information et la politique de confidentialité (en anglais) portent le détail.
- Ce que nous détenonsLe contenu de votre site, les comptes de vos rédacteurs et les envois de formulaires restent dans vos systèmes. Dans le Portail client, nous détenons les noms et adresses de votre personnel, les demandes envoyées, les fichiers joints et les rapports que nous rédigeons.
- Où elles se trouventVotre site tourne sur votre compte d’hébergement, au nom de votre organisation. Le Portail client et LFW.com tournent sur le serveur propre de LFW chez Hetzner, à Ashburn, en Virginie, derrière Cloudflare, avec une copie de sauvegarde chiffrée dans Cloudflare R2.
- Combien de temps nous les gardonsPendant le contrat et les 30 jours de transition qui suivent. Les sauvegardes expirent selon un calendrier fixe : les quotidiennes après 30 jours, les hebdomadaires après 26 semaines, les mensuelles après 24 mois, et une copie annuelle est gardée plus longtemps.
- Supprimées sur demandeDemandez-le, et nous restituons ou détruisons vos informations confidentielles sous 15 jours, comme le prévoit le contrat de services. Les sauvegardes chiffrées expirent selon le calendrier ci-dessus et ne sont restaurées que pour se remettre d’une panne.
- À votre nomL’hébergement, le domaine, le dépôt de code et les comptes administrateur de votre site sont au nom de votre organisation dès le premier jour. À la fin du contrat, l’accès vous revient sans frais.
- Ce que nous ne collectons jamaisNi mots de passe (la connexion se fait par lien à usage unique ou clé d’accès), ni données de carte, ni informations de santé couvertes par la HIPAA. Les statistiques de visite de LFW.com ne conservent aucune adresse IP et ne posent aucun cookie de suivi.
Sous-traitants.
Les entreprises qui traitent des données pour LFW, et ce que chacune voit. La politique de confidentialité (en anglais) nomme les mêmes entreprises.
- Kinsta, or the host you chooseFait tourner votre site web : ses fichiers, sa base de données, ses sauvegardes et les journaux du serveur, sur un compte au nom de votre organisation. LFW approuve l’offre ; l’hébergeur vous facture à ses tarifs publiés.
- HetznerLe serveur propre de LFW à Ashburn, en Virginie : le Portail client, les formulaires de LFW.com, l’audit gratuit et LFW Monitor, et leur base de données.
- CloudflareDevant LFW.com et les sites des clients : DNS, TLS, le pare-feu applicatif et la protection contre les attaques DDoS. Il voit les données des requêtes et les adresses IP, et conserve la copie de sauvegarde chiffrée hors site de LFW.
- Google WorkspaceLe courriel et l’agenda de LFW. Les messages de contact, les demandes de rendez-vous et la correspondance avec vous y arrivent ; les réponses en partent.
- ResendLe courriel applicatif des systèmes de LFW : liens de connexion, rapports d’audit et reçus. Il reçoit l’adresse et le contenu de chaque message qu’il envoie.
- Anthropic and OpenAIUne assistance par IA pour la recherche, la rédaction, le développement logiciel et les tâches administratives, comme assistants de LFW. Les données des clients ne servent jamais à entraîner des modèles, et une personne relit chaque résultat. Le compte API Claude fonctionne sous les conditions commerciales d’Anthropic, qui interdisent l’entraînement sur le contenu des clients.
Engagements, chiffrés.
Issus de l’annexe de gestion (en anglais) et du contrat de services (en anglais). Les délais de réponse sont des objectifs de bonne foi en heures ouvrées, pas des garanties.
- Des mises à jour chaque moisLe cœur de WordPress, les thèmes et les extensions sur un cycle mensuel, depuis le contrôle de version, avec des vérifications après chaque publication. Une version de sécurité est appliquée avant le cycle, et les pare-feu bloquent les attaques connues entre-temps.
- Notification d’incident sous 24 heuresSi nous confirmons un incident de sécurité touchant vos données ou votre site, nous vous le disons dans les 24 heures suivant sa confirmation, par écrit, avec ce que nous savons et ce que nous faisons.
- Des heures ouvrées, énoncéesDu lundi au vendredi, de 9 h à 17 h, heure de l’Est (de 6 h à 14 h, heure du Pacifique), hors jours fériés fédéraux. Nous n’assurons ni permanence en dehors de ces heures ni astreinte. Le support de votre hébergeur s’occupe des serveurs 24 heures sur 24.
- Objectifs d’accusé de réceptionLes nouvelles demandes sont accusées sous 1 jour ouvré, ou 4 heures ouvrées au niveau Prioritaire. Des objectifs issus de l’annexe de gestion, pas des garanties.
- Restauration dès le jour ouvré suivantSi votre site est compromis, signalez-le dans le Portail client à toute heure. Nous commençons la restauration depuis la sauvegarde de votre hébergeur dès le jour ouvré suivant. L’investigation et le nettoyage approfondis sont chiffrés d’abord.
- L’accès restitué sans fraisAvec un préavis écrit de 30 jours, le contrat prend fin. Les identifiants, l’accès aux comptes et l’accès au dépôt vous reviennent sans frais ; il n’y a pas de frais de résiliation.
Rapport de conformité d’accessibilité.
Le rapport propre de LFW.com, daté du , sur la structure VPAT 2.5 : WCAG 2.1 A et AA, critères de performance fonctionnelle et documentation d’assistance, établi à partir du registre de tests. Il est auto-établi et le précise.
Questionnaires de sécurité.
Les réponses de LFW aux questions critiques du HECVAT sont publiées, dans l’ordre du questionnaire, avec les questions qui ne s’appliquent pas et pourquoi. Nous remplissons le formulaire propre à votre établissement à partir de ces réponses.
Documents fournisseur.
Les immatriculations pour votre dossier fournisseur, et les documents qui accompagnent une offre. Les données complètes sont sur Comment acheter (en anglais).
- Immatriculée en
- Virginia, SCC ID 11400695
- Fournisseur eVA
- SUP364899Active
- SAM.gov
- CAGE 25DX4Active
- UEI
- VBCGH1QLKSB1
- W-9 Envoyé sous un jour ouvré sur demande. Il n’est pas publié ici parce qu’il porte un numéro fiscal et une signature. Demander le W-9 par courriel
- Attestations d’assurance Assurances responsabilité civile générale, responsabilité civile professionnelle et cyber, aux plafonds fixés par votre contrat, souscrites à l’attribution et attestées avant le début des travaux.
- Déclaration de capacités Données de l’entreprise, codes, compétences principales et personnel clé, en un PDF d’une page pour votre dossier fournisseur. Télécharger le PDF
Ce que nous n’avons pas.
Dit simplement, pour que votre revue n’ait pas à le demander.
- Aucun rapport SOC 2 ni ISO 27001 propre à LFWLes rapports de votre hébergeur couvrent l’infrastructure sur laquelle tourne votre site. LFW ne détient aucune attestation pour ses propres opérations et n’en revendique aucune.
- Pas encore de test d’intrusion annuel par un tiersLa revue propre de LFW.com figure dans la politique de sécurité de l’information. Quand votre contrat exige un test indépendant de votre site, LFW l’organise et en rapporte le résultat.
- Aucun salariéLFW, c’est son fondateur, Leland Fiegel. Chaque politique de cette page décrit la pratique d’une personne, et le dit là où cela compte.
Pour votre dossier d’achat.
Comment acheter contient les données de l’entreprise, les conditions que nous acceptons sous votre contrat et ce qui se passe si LFW n’est pas disponible. La déclaration de capacités en est le résumé d’une page.