Confiance

Réponses au questionnaire de sécurité.

95 réponses aux questions du HECVAT, dans l’ordre du questionnaire et traduites de sa version anglaise, avec les questions qui ne s’appliquent pas et pourquoi. Chaque réponse décrit ce que LFW fait aujourd’hui, en cohérence avec les politiques de la page Confiance.

Nous remplissons le formulaire propre à votre établissement à partir de ces réponses. Envoyez-le, et il vous revient complété, avec ce qui diffère pour votre contrat signalé.

Envoyez-nous votre formulaire La page Confiance

Dernière mise à jour : 6 octobre 2026

Traduction fournie à titre indicatif. La version anglaise fait foi.

L’ensemble des questions.

HECVAT Lite n’existe plus comme fichier distinct. Le questionnaire actuel, HECVAT 4.1.6, réunit Full, Lite et On-Premise dans un seul classeur, et désigne ses questions d’importance critique pour remplacer l’approche Lite. Voici ces questions, vérifiées par rapport au classeur le 6 octobre 2026.

Ce qui figure iciLes huit questions de cadrage, les renseignements sur l’organisation et toutes les questions critiques du HECVAT 4.1.6, chacune avec la réponse de LFW. Les identifiants des questions sont ceux du classeur, pour que votre évaluateur puisse les rapprocher.
Ce qui n’y figure pasLes questions standard et mineures, que le classeur complet ajoute. LFW y répond sur votre formulaire, à partir des mêmes faits. Si votre établissement utilise encore un ancien HECVAT Lite, ses catégories correspondent aux sections ci-dessous.
Le périmètre retenuLa solution est le service de gestion web de LFW : l’exploitation d’un site web sur l’hébergement propre de l’établissement, plus le Portail client sur my.lfw.com, où le personnel de l’établissement envoie ses demandes et lit les rapports. Le portail est le seul système que LFW héberge.

Commencez ici

Questions de cadrage.

Les huit questions qui déterminent les sections applicables. Leurs réponses expliquent pourquoi les sections HIPAA, cartes de paiement et IA ci-dessous sont marquées sans objet.

REQU-01 Proposez-vous un produit dans le cloud ? Oui En partie. Le service fonctionne dans votre propre compte d’hébergement. Le Portail client (my.lfw.com) est une application hébergée que LFW exploite ; les questions sur le produit ci-dessous sont donc traitées pour lui.
REQU-02 Votre produit ou service a-t-il une interface ? Oui Le Portail client pour votre personnel, et le site web que LFW construit ou maintient pour vos visiteurs et vos rédacteurs.
REQU-03 Fournissez-vous des services de conseil ? Oui Le personnel de LFW travaille dans vos systèmes : votre système de gestion de contenu, votre compte d’hébergement et votre zone Cloudflare, par des comptes que vous accordez.
REQU-04 Votre solution comporte-t-elle des fonctions d’IA, ou est-il prévu d’en mettre en place dans les 12 prochains mois ? Non Le Portail client n’a aucune fonction d’IA. Le portail peut être relié à un assistant d’IA de votre choix, avec votre propre consentement, par une connexion standard ; LFW n’appelle aucun modèle en votre nom. LFW utilise des outils d’IA dans son propre travail, traités sous Confidentialité ci-dessous.
REQU-05 Votre solution traite-t-elle des informations de santé protégées (PHI) ou des données couvertes par la loi HIPAA (Health Insurance Portability and Accountability Act) ? Non LFW ne prend pas en charge de sites ou de formulaires qui collectent des informations de santé couvertes par la HIPAA.
REQU-06 La solution est-elle conçue pour traiter, stocker ou transmettre des informations de carte de crédit ? Non Ni le Portail client ni le site propre de LFW ne traitent de données de carte. Sur le site d’un client, les paiements vont au prestataire de paiement propre à l’établissement, jamais par des pages dont LFW conserve les données.
REQU-07 L’exploitation de votre solution exige-t-elle que l’établissement fasse tourner un équipement physique ou virtuel dans son propre environnement, ou qu’il ouvre des exceptions entrantes dans son pare-feu pour que vos employés administrent à distance des systèmes de l’établissement ? Non Aucun équipement et aucune exception entrante. LFW se connecte à vos systèmes hébergés comme le fait votre propre personnel.
REQU-08 Votre solution a-t-elle accès à des données personnelles ou à des données de l’établissement ? Oui Le contenu de votre site web, les comptes des rédacteurs et les envois de formulaires, dans vos systèmes. Dans le portail : les noms et adresses de courriel de votre personnel, les demandes qu’ils envoient et les fichiers qu’ils joignent.

GNRL, COMP, DOCU

Organisation.

Qui est LFW, et les documents qu’elle détient.

GNRL-01 Nom du fournisseur de la solution Réponse de LFW LFW.com LLC, exerçant sous le nom commercial LFW.
GNRL-02 Nom de la solution Réponse de LFW La gestion web de LFW (le contrat de gestion de sites web, Web Operations Retainer) et le Portail client.
GNRL-03 Description de la solution Réponse de LFW La gestion d’un site web sous contrat mensuel : mises à jour, sécurité, tests et corrections d’accessibilité, modifications de contenu et un rapport mensuel écrit, sur un hébergement qui appartient à l’établissement. Le Portail client est l’endroit où le personnel de l’établissement envoie ses demandes et lit les rapports.
GNRL-04 Nom du contact chez le fournisseur de la solution Réponse de LFW Leland Fiegel, Founder & Technical Lead.
GNRL-06 Courriel du contact chez le fournisseur de la solution Réponse de LFW hello@lfw.com ; les signalements de sécurité, à security@lfw.com.
GNRL-07 Téléphone du contact chez le fournisseur de la solution Réponse de LFW (703) 662-1617.
GNRL-08 Pays du siège de l’entreprise Réponse de LFW États-Unis (Arlington, Virginie). Tout le travail de LFW est fait aux États-Unis, depuis Arlington.
COMP-01 Avez-vous une ou des équipes dédiées au développement de logiciels et de systèmes (par exemple support client, mise en œuvre, gestion de produit, etc.) ? Non LFW compte une personne, son fondateur, qui assure le développement, le support et la mise en œuvre (1, au 27 septembre 2026).
COMP-02 Décrivez l’historique de votre organisation et sa structure de propriété, y compris toutes les relations avec des sociétés mères et des filiales. Réponse de LFW LFW.com LLC est une société à responsabilité limitée de Virginie, constituée dans le District de Columbia en 2020 et transférée en Virginie en 2022, détenue entièrement par Leland Fiegel. Elle n’a ni société mère, ni filiale, ni montage à l’étranger.
COMP-03 Avez-vous exploité cette solution sans interruption imprévue au cours des 12 derniers mois ? Non Une interruption causée par LFW elle-même, d’environ une minute, le 8 septembre 2026, lorsqu’un déploiement a arrêté le service web avant la fin de sa sauvegarde. La procédure de déploiement a été remplacée le jour même, et les versions ne basculent désormais le trafic qu’après que la nouvelle version a passé ses vérifications.
COMP-04 Avez-vous du personnel ou un service dédié à la sécurité de l’information ? Non Le fondateur est le contact de sécurité (security@lfw.com). Il n’y a pas de service distinct.
COMP-05 Utilisez cette zone pour partager des informations sur votre environnement qui aideront à évaluer le programme de sécurité des données de votre entreprise. Réponse de LFW Un serveur chez Hetzner à Ashburn, en Virginie, derrière Cloudflare. Le pare-feu n’accepte le trafic web que depuis les adresses de Cloudflare ; SSH se fait par clé, mots de passe désactivés. L’application, sa base de données et l’index de recherche écoutent sur l’adresse de bouclage. Le détail figure dans la politique de sécurité de l’information.
DOCU-01 Avez-vous un plan de continuité d’activité (PCA) bien documenté, avec un responsable clair, testé chaque année ? Non Pas sous la forme d’un plan testé. Le dispositif de continuité publié par LFW : votre compte d’hébergement et votre dépôt à votre nom dès le premier jour, un guide d’exploitation dans votre dépôt mis à jour chaque mois, le support 24/7 de votre hébergeur et l’accès restitué sans frais à la fin du contrat.
DOCU-02 Avez-vous un plan de reprise après sinistre (PRA) bien documenté, avec un responsable clair, testé chaque année ? En partie Les sauvegardes sont documentées et automatiques : un instantané chiffré et dédupliqué chaque jour et à chaque mise en production, vérifié chaque semaine, avec une copie hors site. Un exercice annuel de restauration planifié ne fait pas encore partie du registre ; le responsable est le fondateur.
DOCU-03 Avez-vous fait l’objet d’un audit SSAE 18/SOC 2 ? Non LFW ne détient aucun rapport SOC 2. Les rapports de votre hébergeur couvrent l’infrastructure sur laquelle tourne votre site.
DOCU-04 Vous conformez-vous à un référentiel de sécurité standard du secteur (par exemple NIST Cybersecurity Framework, CIS Controls, ISO 27001, etc.) ? Non LFW ne revendique la conformité à aucun référentiel. Ses pratiques sont publiées en intégralité sur ce site pour que vous puissiez les rapprocher de votre propre référentiel.
DOCU-05 Pouvez-vous fournir des schémas d’architecture d’ensemble du système ou de l’application, avec une description complète du flux de données de tous les composants du système ? Oui Sur demande. Le flux de données est court : visiteur, Cloudflare, nginx sur le serveur, l’application Node, une base de données SQLite sur le même serveur, avec des sauvegardes chiffrées dans le répertoire de sauvegarde du serveur et dans Cloudflare R2.
DOCU-06 Votre organisation a-t-elle une politique de confidentialité des données ? Oui Publiée sur lfw.com/privacy, avec sa date et ses versions précédentes.
DOCU-07 Avez-vous une politique documentée, et actuellement appliquée, d’arrivée et de départ des employés ? Sans objet LFW n’a aucun salarié. La politique de contrôle d’accès décrit comment l’accès propre de LFW à vos systèmes est accordé et retiré, ce qui sert aussi de liste de sortie.

THRD, CHNG, PPPR

Tiers et changements.

Les entreprises sur lesquelles LFW s’appuie, et la façon dont les changements et les correctifs sont gérés.

THRD-01 Réalisez-vous des évaluations de sécurité des entreprises tierces avec lesquelles vous partagez des données (par exemple hébergeurs, services cloud, PaaS, IaaS, SaaS) ? En partie LFW lit la documentation de sécurité publiée par chaque fournisseur avant de l’utiliser et garde publique la liste des fournisseurs (les sous-traitants de la page Confiance). Elle ne réalise pas ses propres audits de ces fournisseurs.
THRD-02 Avez-vous des clauses contractuelles avec des tiers encadrant l’accès aux données de l’établissement ? Oui Les conditions standard et les conditions de traitement des données de chaque fournisseur. LFW ne négocie pas de contrats sur mesure avec eux.
THRD-03 Les contrats conclus avec ces tiers traitent-ils de la responsabilité en cas de violation de données ? En partie Seulement dans la mesure où les conditions standard de chaque fournisseur le font. LFW n’a négocié avec aucun fournisseur de clauses de responsabilité en cas de violation.
THRD-04 Avez-vous mis en place une stratégie de gestion des tiers ? En partie Une liste courte et publiée, revue à chaque ajout ou retrait d’un fournisseur ; la politique de confidentialité, la page Sécurité et la page Confiance changent ensemble.
CHNG-01 L’établissement sera-t-il informé des changements majeurs de votre environnement susceptibles d’affecter sa posture de sécurité ? Oui Dans votre rapport mensuel, et sur les documents datés de la page Confiance, qui évoluent au grand jour.
CHNG-02 Le système conserve-t-il les personnalisations du client d’une version à l’autre ? Oui Votre site web est un thème sur mesure dans un dépôt qui vous appartient ; aucune mise à jour n’écrase donc ce qui est à vous. Le Portail client n’est pas personnalisé par client.
CHNG-03 Avez-vous mis en place un processus de gestion de la configuration des systèmes (par exemple des images « de référence » sécurisées, etc.) ? Oui Le script de provisionnement du serveur, les unités de service, les règles de pare-feu et la configuration du serveur web sont dans le contrôle de version. Chaque version est construite dans un conteneur jetable et activée d’un seul bloc.
PPPR-01 Avez-vous un processus documenté de gestion des correctifs ? Oui Pour votre site : mises à jour mensuelles, versions de sécurité appliquées avant le cycle et un pare-feu qui bloque les attaques connues entre-temps. Pour les systèmes de LFW : les dépendances sont auditées à chaque mise en production et une version publiée depuis moins de sept jours est refusée.
PPPR-02 Votre organisation peut-elle se conformer aux politiques de l’établissement en matière de confidentialité et de protection des données à l’égard des utilisateurs de ses systèmes, si nécessaire ? Oui Dans le cadre de votre contrat. Envoyez la politique ; LFW la lit avant de signer.
PPPR-03 Votre entreprise est-elle soumise aux lois et règlements de la région géographique de l’établissement ? Oui LFW est une entreprise des États-Unis. Dans le cadre du contrat d’un établissement public, elle accepte le droit de l’État et la juridiction de l’établissement.

CONS

Accès du consultant.

Comment LFW travaille dans vos systèmes.

CONS-01 Le consultant aura-t-il besoin d’accéder aux ressources réseau de l’établissement ? Non Aucun accès au réseau, aucun VPN ni équipement. LFW utilise des comptes nominatifs que vous accordez dans vos systèmes hébergés.
CONS-02 Le consultant a-t-il reçu une formation au traitement des données (sensibles, HIPAA, PCI, etc.) ? Non Il n’existe pas de programme de formation formel ; une seule personne détient l’accès. Les règles écrites sont la politique d’utilisation acceptable et la politique de contrôle d’accès de ce site.
CONS-03 Les données sont-elles chiffrées (au repos) lorsqu’elles sont en possession du consultant ? En partie LFW garde vos données dans vos systèmes et évite d’en conserver des copies sur son propre matériel. Le travail en cours se trouve dans le dépôt qui vous appartient. Les sauvegardes chiffrées de LFW couvrent les enregistrements du Portail client.
CONS-04 L’accès peut-il être restreint selon l’adresse IP source ? Oui Lorsque votre plateforme le permet. LFW travaille dans le cadre d’une liste d’adresses autorisées que vous fixez.

APPL, FIDP, VULN, DCTR

Application et infrastructure.

Le Portail client et le serveur sur lequel il tourne.

APPL-01 Les contrôles d’accès aux comptes de l’établissement reposent-ils sur des règles structurées, comme le contrôle d’accès fondé sur les rôles (RBAC), sur les attributs (ABAC) ou sur les politiques (PBAC) ? Oui Les rôles du portail sont propriétaire, membre et lecteur, avec des accès par site pour les membres. Le personnel de LFW ne peut pas écrire au nom d’un client : la consultation d’un compte client par le personnel est en lecture seule et journalisée.
APPL-02 Utilisez-vous un pare-feu applicatif web (WAF) ? Oui Le pare-feu applicatif de Cloudflare devant LFW.com et le portail ; le serveur n’accepte le trafic web que depuis Cloudflare. Les sites des clients utilisent Wordfence Premium et le pare-feu de Cloudflare.
APPL-03 Les systèmes ou applications qui auront accès aux données de l’établissement n’utilisent-ils que des systèmes d’exploitation, logiciels et bibliothèques actuellement pris en charge ? Oui Une version actuelle de Node.js et des bibliothèques actuelles, figées dans un fichier de verrouillage et auditées à chaque mise en production. La construction refuse une vulnérabilité connue de gravité élevée.
APPL-04 Votre application a-t-elle besoin d’accéder à des données de localisation ou GPS ? Non Non. Les statistiques de pages vues ne gardent qu’un pays ou une région déduit de l’adresse, qui n’est pas stockée.
APPL-05 Votre application assure-t-elle la séparation des tâches entre l’administration de la sécurité, l’administration du système et les fonctions d’utilisateur standard ? En partie Entre LFW et les clients, oui : l’administration interne et le portail client sont des sites distincts avec des sessions distinctes. Au sein de LFW, non : une seule personne tient les rôles d’administration de la sécurité et des systèmes.
APPL-06 Soumettez-vous votre code à une analyse statique ou à des tests statiques de sécurité applicative avant chaque mise en production ? En partie Le lint, un audit des dépendances des deux arbres de production et la suite de tests tournent dans un conteneur jetable avant chaque mise en production et la font échouer. Il n’y a pas de produit SAST distinct.
APPL-07 Avez-vous des processus de test logiciel (dynamiques ou statiques) établis et suivis ? Oui Une suite de tests automatisés à chaque mise en production, des vérifications dans le navigateur des pages modifiées et les vérifications quotidiennes du site en ligne par LFW Monitor.
FIDP-01 Utilisez-vous un pare-feu à inspection d’état des paquets (SPI) ? Oui Le pare-feu de l’hôte (netfilter via ufw), avec Cloudflare devant.
FIDP-02 Avez-vous une politique documentée pour les demandes de modification du pare-feu ? Oui Les règles de pare-feu sont dans le script de provisionnement, dans le contrôle de version ; une modification est un commit revu et un déploiement.
FIDP-03 Avez-vous mis en place un système de détection d’intrusion (réseau) ? Non Aucun système de détection d’intrusion réseau. Le pare-feu et la protection DDoS de Cloudflare sont devant le serveur, et seul Cloudflare peut l’atteindre sur les ports web.
FIDP-04 Utilisez-vous une détection d’intrusion au niveau de l’hôte ? En partie fail2ban bannit les adresses après des échecs de connexion répétés. Il n’y a pas de produit plus large de détection d’intrusion sur l’hôte.
FIDP-05 Des journaux d’audit sont-ils disponibles pour toutes les modifications du réseau, du pare-feu et des systèmes IDS et IPS ? Oui Chaque modification du pare-feu ou de la configuration du serveur est un commit dans le contrôle de version, avec son auteur et sa date, et un journal de déploiement.
VULN-01 Vos systèmes et applications font-ils l’objet d’une analyse de vulnérabilités avec un compte utilisateur authentifié (vulnérabilités ensuite corrigées) avant chaque nouvelle version ? Non Aucun scanner authentifié ne tourne avant une mise en production. Ce qui tourne : l’audit des dépendances, la suite de tests et les vérifications quotidiennes non authentifiées de LFW Monitor sur les en-têtes, TLS et la politique de contenu.
VULN-02 Fournirez-vous à l’établissement les résultats des analyses de vulnérabilités de l’application et du système ? Oui La vérification quotidienne de LFW.com par LFW Monitor est publique, et le résultat de l’audit des dépendances est communiqué sur demande.
VULN-03 Autoriserez-vous l’établissement à réaliser ses propres tests ou analyses de vulnérabilités de vos systèmes ou de votre application, à une date et une heure convenues d’un commun accord ? Oui À un moment convenu, dans le cadre des règles de la politique de divulgation des vulnérabilités sur lfw.com/security.
DCTR-06 Une barrière physique entoure-t-elle entièrement l’espace physique, empêchant tout contact physique non autorisé avec vos équipements ? Oui LFW ne possède aucun centre de données. Le serveur se trouve dans les installations de Hetzner à Ashburn ; ses contrôles physiques sont ceux de Hetzner, décrits dans la documentation publiée par Hetzner, et non vérifiés sur place par LFW.
DCTR-10 Les dispositifs d’alimentation redondante sont-ils testés ? Oui Selon l’exploitant du centre de données. LFW ne l’a pas vérifié sur place.

AAAI

Authentification et audit.

Comment les personnes se connectent au Portail client, et ce qui est journalisé.

AAAI-01 Votre solution prend-elle en charge des protocoles d’authentification unique (SSO) pour les utilisateurs et les administrateurs ? Oui OpenID Connect, directement avec votre fournisseur d’identité (par exemple Entra ID, Okta ou Google Workspace). L’adresse de redirection est enregistrée par votre personnel informatique.
AAAI-02 Pour les clients qui n’utilisent pas le SSO, votre solution prend-elle en charge des protocoles d’authentification locale pour les utilisateurs et les administrateurs ? Oui Un lien envoyé par courriel qui ne fonctionne qu’une fois et expire au bout de 15 minutes, ou une clé d’accès. Il n’y a pas de mots de passe.
AAAI-03 Pour les clients qui n’utilisent pas le SSO, pouvez-vous imposer des exigences de complexité des mots de passe ou phrases de passe (fixées par l’établissement) ? Sans objet Il n’y a pas de mots de passe auxquels appliquer des règles.
AAAI-04 Pour les clients qui n’utilisent pas le SSO, le système impose-t-il des limites ou des restrictions de complexité ou de longueur des mots de passe ? Sans objet Pas de mots de passe.
AAAI-05 Pour les clients qui n’utilisent pas le SSO, avez-vous des procédures documentées de réinitialisation des mots de passe ou phrases de passe, appliquées dans le système ou par le support client ? Sans objet Rien à réinitialiser. Un nouveau lien de connexion remplace un lien perdu ; une clé d’accès peut être enregistrée à nouveau après une connexion par courriel.
AAAI-06 Votre organisation participe-t-elle à InCommon ou à une autre fédération de confiance affiliée à eduGAIN ? Non Pas membre. Le SSO est configuré par établissement avec votre propre fournisseur d’identité.
AAAI-07 Des mots de passe ou phrases de passe sont-ils codés en dur dans vos systèmes ou solutions ? Non Les secrets se trouvent dans un fichier sur le serveur, limité à l’administrateur du serveur et au compte de service. Le dépôt n’en contient aucun ; la revue de septembre 2026 l’a vérifié.
AAAI-08 Stockez-vous des mots de passe en clair ? Non LFW ne stocke aucun mot de passe.
AAAI-09 Des journaux d’audit sont-ils disponibles et comprennent-ils AU MINIMUM tous les éléments suivants : connexion, déconnexion, actions effectuées et adresse IP source ? En partie Le portail enregistre les actions sur les demandes et les documents (un historique en ajout seul), chaque consultation d’un compte client par le personnel et les jetons de connexion utilisés. Les journaux du serveur web conservent l’adresse source de chaque requête. Un rapport des connexions et déconnexions par utilisateur n’est pas encore proposé aux clients.
AAAI-11 Pouvez-vous fournir à l’établissement une documentation sur la durée de conservation de ces journaux, leur protection et leur accessibilité pour le client (et, le cas échéant, comment) ? Oui Sur demande, par écrit, pour les journaux cités ci-dessus.

DATA

Données.

Où se trouvent les données de l’établissement dans les systèmes de LFW, chiffrées ou non, et ce qu’elles deviennent à la fin.

DATA-01 Les données de l’établissement seront-elles stockées sur des équipements (serveurs de bases de données, serveurs de fichiers, SAN, NAS, etc.) configurés avec des adresses IP hors RFC 1918/4193 (c’est-à-dire routables publiquement) ? Oui Le seul serveur a une adresse publique. Son pare-feu n’accepte le trafic web que depuis les plages de Cloudflare et SSH que par clé ; la base de données est un fichier sur ce serveur, lisible par le seul compte de service.
DATA-02 Le transport des données sensibles est-il chiffré au moyen de protocoles ou d’algorithmes de sécurité (par exemple du système au client) ? Oui TLS 1.3 vers les visiteurs, avec une politique HSTS d’un an ; les versions plus anciennes de TLS sont refusées. Le trafic entre Cloudflare et le serveur est également chiffré.
DATA-03 Le stockage des données sensibles est-il chiffré au moyen de protocoles ou d’algorithmes de sécurité (par exemple chiffrement de disque, au repos, des fichiers et dans une base de données en fonctionnement) ? En partie Les sauvegardes sont chiffrées avant de quitter le serveur. La base de données en production est protégée par les permissions de fichiers et le pare-feu ; LFW ne revendique pas de chiffrement de disque pour elle.
DATA-04 Tous les modules cryptographiques utilisés dans votre solution sont-ils conformes aux Federal Information Processing Standards (FIPS PUB 140-2 ou 140-3) ? Non Aucune validation FIPS n’est revendiquée.
DATA-05 Les données de l’établissement resteront-elles disponibles dans le système pendant un certain temps à la fin de ce contrat ? Oui Pendant 30 jours après la fin, lors de la transition prévue par le contrat de services, et sur demande LFW exporte vos enregistrements du portail.
DATA-06 Les droits de propriété sur toutes les données, entrées, sorties et métadonnées sont-ils conservés même en cas de rachat ou de faillite du fournisseur ? Oui Votre contenu et vos données restent les vôtres selon le contrat de services, et le travail que vous payez vous appartient une fois payé. Un changement de propriétaire de LFW n’y change rien.
DATA-07 Les sauvegardes contenant des données de l’établissement quittent-elles parfois la zone de données de l’établissement, physiquement ou par routage réseau ? Oui Le serveur et ses sauvegardes sont à Ashburn, en Virginie. La copie chiffrée hors site est dans Cloudflare R2, dans la juridiction par défaut de Cloudflare, ce qui peut la placer hors des États-Unis ; la copie est chiffrée avant de quitter le serveur. Les sauvegardes de votre site web restent chez votre hébergeur.
DATA-08 Les supports utilisés pour la conservation à long terme et l’archivage des données de l’entreprise sont-ils stockés dans une zone sécurisée et protégée de l’environnement ? Oui Aucun support physique. La conservation se fait dans les centres de données de Hetzner et de Cloudflare.

ITAC

Accessibilité numérique.

Pour le Portail client et LFW.com, et pour les sites que LFW construit.

ITAC-06 Un VPAT ou un ACR a-t-il été créé ou mis à jour pour la solution et la version examinées au cours des 12 derniers mois ? Oui Un rapport de conformité d’accessibilité de LFW.com daté du 2 octobre 2026 est publié sur la page Confiance. Pour un site que LFW construit, un rapport est remis à la mise en ligne.
ITAC-07 Votre entreprise acceptera-t-elle de respecter la norme d’accessibilité qu’elle déclare ou les WCAG 2.1 AA dans le cadre de votre accord contractuel pour la solution ? Oui Pour les gabarits et les pages que LFW construit et maintient, comme norme de votre contrat. LFW ne promet pas la conformité à une date donnée pour un contenu qu’elle ne contrôle pas.
ITAC-08 La solution est-elle substantiellement conforme aux WCAG 2.1 AA ? Oui LFW.com, selon le rapport auto-établi : chaque critère de niveau A et AA est pris en charge ou sans objet. Le rapport précise qu’il ne s’agit pas d’un audit indépendant.
ITAC-09 Avez-vous un processus documenté et appliqué pour signaler et suivre les problèmes d’accessibilité ? Oui Signalez un obstacle par courriel, comme l’indique la déclaration d’accessibilité, ou dans le Portail client. Les constats sont suivis comme des demandes, et LFW Monitor revérifie les pages chaque jour.

PCOM, PTHP, PDAT, PRPO, DPAI

Confidentialité.

Violations de données, tiers, les types de données que LFW ne collecte pas, et les outils d’IA.

PCOM-01 Avez-vous subi, au cours des trois dernières années, une violation de données personnelles ayant donné lieu à une déclaration à une autorité publique, à une notification aux personnes (y compris volontaire) ou à une notification à une autre organisation ou un autre établissement ? Non Aucune.
PTHP-01 Avez-vous des accords contractuels avec des tiers qui les obligent à maintenir des normes et à respecter toutes les exigences réglementaires ? Oui Les conditions standard et les conditions de traitement des données de chaque fournisseur.
PDAT-01 Collectez-vous, traitez-vous ou stockez-vous des informations démographiques ? Non Non.
PDAT-02 Captez-vous ou créez-vous des informations génétiques, biométriques ou comportementales (par exemple reconnaissance faciale ou empreintes digitales) ? Non Non. La vérification biométrique d’une clé d’accès se fait sur l’appareil de l’utilisateur ; LFW ne reçoit qu’une clé publique.
PDAT-03 Combinez-vous des données de l’établissement (y compris des données « désidentifiées », « anonymisées » ou autrement masquées) avec des données personnelles provenant d’autres sources ? Non Non.
PRPO-06 Avez-vous un programme de sensibilisation ou de formation à la protection de la vie privée ? Non Pas de programme formel. La politique de confidentialité est la règle écrite.
PRPO-12 Partagez-vous des données de l’établissement avec les forces de l’ordre sans mandat ni assignation valide ? Non Non.
DPAI-02 Des données de l’établissement sont-elles conservées dans le traitement par IA ? Non Les systèmes de LFW n’ont aucune fonction d’IA. Dans le travail propre de LFW, des outils d’IA peuvent traiter des informations des clients pour rédiger et vérifier le travail ; elles ne servent jamais à entraîner des modèles, une personne relit chaque résultat et toute donnée que vous désignez dans votre contrat est exclue.
DPAI-03 Avez-vous des accords avec des tiers ou des sous-traitants concernant la protection des données des clients et l’utilisation de l’IA ? Oui Les conditions commerciales d’Anthropic, qui interdisent l’entraînement sur le contenu des clients. La liste des sous-traitants de la page Confiance nomme chaque fournisseur d’IA.

HIPA, PCID, sections IA

Sans objet, et pourquoi.

Les questions critiques que les réponses de cadrage écartent. Chacune est listée pour que votre évaluateur voie que l’identifiant n’a pas été omis.

HIPA-01 à HIPA-04 Formation HIPAA, zones de risque, plans testés et accords de partenaire commercial (BAA). Sans objet LFW ne traite aucune information de santé protégée (REQU-05).
PCID-01 à PCID-03 Attestation PCI DSS, inscription à la liste PA-DSS et traitement des données de titulaires de carte par des tiers. Sans objet Aucune donnée de carte ne passe par les systèmes de LFW (REQU-06). Les paiements sur le site d’un client vont au prestataire propre à l’établissement.
AIGN-01 à AIGN-03 Modèle de risques de l’IA, désactivation des fonctions d’IA, formation à une IA responsable. Sans objet Aucune fonction d’IA dans la solution (REQU-04).
AIPL-01 à AIPL-04 Politiques d’IA publiées, risques de l’IA mesurés, désactivation et réactivation des fonctions d’IA après un incident. Sans objet Aucune fonction d’IA dans la solution (REQU-04).
AISC-01 à AISC-03 Suppression de données d’un modèle, influence des saisies des utilisateurs sur un modèle, journalisation des actions de l’IA. Sans objet Aucune fonction d’IA dans la solution (REQU-04).
AIML-01, AIML-02, AILM-01 à AILM-04 Séparation des données d’entraînement et retours de l’apprentissage automatique ; privilèges, données d’entraînement, intervention humaine et extensions des grands modèles de langage. Sans objet Aucune fonction d’IA dans la solution (REQU-04).

Envoyez-nous le formulaire de votre établissement.

HECVAT, un questionnaire d’État ou votre propre tableur. Il vous revient complété à partir de ces réponses, avec des liens vers les politiques qu’il cite.

Écrire à hello@lfw.com Comment acheter