alliance-boreale/docs/constitution/04_cadre_conformite_label.md

# Cadre de Conformité & Label de Prestige
## L'Alliance Boréale

**Version :** 1.0  
**Date :** 12 octobre 2025  
**Révision prévue :** Octobre 2026

---

## PRÉAMBULE — Pourquoi un Label?

Le label **Boréal** n'est pas un "certificat" à accrocher au mur.

C'est une **preuve vivante** que vous incarnez les valeurs de L'Alliance : souveraineté, liberté, sobriété, solidarité, transparence.

Dans un monde où le "greenwashing" et le "privacy-washing" sont monnaie courante, nous voulons un label qui :
- **Se mérite** (audits rigoureux par les pairs)
- **Se maintient** (recertification annuelle obligatoire)
- **Se vérifie** (preuves publiques, indicateurs transparents)
- **A du sens** (alignement réel avec les pratiques quotidiennes)

Le label Boréal est notre réponse à la question : *"Comment savoir si une organisation est vraiment éthique, ou si elle fait juste du marketing?"*

---

## PARTIE I — PRINCIPES DIRECTEURS

### Article 1 — Philosophie du Label

#### 1.1 Alignement de Valeurs

**Le label mesure l'alignement avec nos 5 valeurs cardinales :**

1. **Souveraineté** : Contrôle réel de l'infrastructure et des données
2. **Liberté** : Utilisation de logiciels libres et standards ouverts
3. **Sobriété** : Mesure et réduction de l'empreinte environnementale
4. **Solidarité** : Contribution à la résilience collective
5. **Transparence** : Publication des politiques et indicateurs

**Ce n'est pas :**
- Un concours de popularité
- Une question de taille d'organisation
- Un passe-droit pour les "amis"
- Un label qu'on achète

**C'est :**
- Une reconnaissance de l'effort continu
- Une boussole pour progresser
- Un gage de confiance pour les usagers
- Une fierté collective

#### 1.2 Preuve par l'Évidence

**"Trust, but verify."** (Faire confiance, mais vérifier)

Chaque affirmation doit être **prouvable** :
- Vous dites utiliser des logiciels libres? → Montrez la liste
- Vous dites mesurer votre consommation? → Montrez les métriques
- Vous dites avoir des sauvegardes? → Montrez les tests de restauration

**Types de preuves acceptables :**
- Documents (politiques, procédures)
- Captures d'écran (configurations, dashboards)
- Logs horodatés
- Résultats de tests
- Code source (playbooks, scripts)
- Attestations de tiers (pentests, audits externes)

**Pas acceptables :**
- "Faites-moi confiance"
- "C'est dans ma tête"
- "Je vais le faire bientôt"

#### 1.3 Proportionnalité

**Les exigences doivent être adaptées à la taille et au risque.**

Une micro-entreprise de 2 personnes ne peut pas avoir la même infrastructure qu'une organisation de 50 employés.

**Principe :**
- **Minima absolus** : Obligatoires pour tous (ex: sauvegardes testées)
- **Recommandations graduées** : Selon la taille/complexité
- **Progression par paliers** : Bronze → Argent → Or → Platine

**Exemples de proportionnalité :**
- Micro (<5 employés) : Politique sécurité de 2 pages suffit
- PME (5-20) : Politique de 5-10 pages attendue
- Grande (20+) : Politique complète avec procédures détaillées

#### 1.4 Pairs Avant Tout

**L'évaluation est faite PAR les pairs, POUR les pairs.**

Pas de certificateur externe qui ne comprend rien à notre réalité.  
Pas de consultant qui facture 10 000 $ l'audit.  
**Des pairs qui se connaissent, se respectent, et se challengent mutuellement.**

**Avantages :**
- Bienveillance naturelle (on veut tous progresser)
- Exigence réelle (on se connaît, pas de bullshit)
- Apprentissage mutuel (on partage les bonnes pratiques)
- Coût minimal (temps échangé via Banque de Temps)

**Garde-fous :**
- Pas d'auto-audit
- Pas d'audit par compétiteur direct
- Rotation des auditeurs
- Arbitrage par Cercle Éthique & Conformité si litige

#### 1.5 Transparence Utile

**Principe : "Ce qui impacte les usagers est public. Le reste est prouvable sur demande."**

**Public :**
- Niveau du label (Bronze, Argent, Or, Platine)
- Score global (/100)
- Date d'expiration
- Liens vers politiques publiques (sécurité, vie privée, sobriété)
- Disponibilité (uptime)

**Privé (mais prouvable aux pairs) :**
- Détails techniques d'infrastructure
- Configurations sensibles
- Résultats complets d'audit (seule la synthèse est publique)
- Incidents mineurs non critiques

**Justification :**
Trop de transparence = risque sécuritaire (divulgation de vulnérabilités).  
Pas assez = perte de confiance.  
→ Équilibre intelligent.

---

## PARTIE II — PÉRIMÈTRE DE CONFORMITÉ

### Article 2 — Six Domaines Évalués

Le label évalue **6 domaines** interdépendants. Tous sont importants, certains sont pondérés plus fortement.

---

### 2.1 DOMAINE 1 : Gouvernance & Éthique

**Pourquoi c'est important :**  
Sans gouvernance claire et éthique forte, tout le reste n'est que technique vide de sens.

#### Critères Obligatoires (Bronze minimum)

1. **Charte interne signée**
   - Document définissant mission, valeurs, principes
   - Signé par le CA ou équivalent
   - Publié (au moins résumé)
   - **Preuve :** Résolution CA + lien vers charte

2. **Registre des responsabilités**
   - Qui est responsable de quoi?
   - Délégations claires (technique, légal, sécurité, privacy)
   - Organigramme à jour
   - **Preuve :** Document interne ou page "À propos" sur site web

3. **Politique de conflits d'intérêts**
   - Comment gérer les situations où intérêt personnel ≠ intérêt organisation
   - Déclarations obligatoires
   - **Preuve :** Section dans charte ou document séparé

#### Critères Recommandés (Argent+)

4. **Documentation des décisions importantes**
   - Procès-verbaux de réunions stratégiques
   - Décisions traçables (Git, wiki, etc.)
   - **Preuve :** Accès au dépôt de décisions (peut être privé)

5. **Code de conduite**
   - Comportements attendus/inacceptables
   - Processus de plainte
   - **Preuve :** Publié sur site web

6. **Plan stratégique**
   - Vision 3-5 ans
   - Objectifs mesurables
   - Révision annuelle
   - **Preuve :** Document partagé avec l'auditeur

#### Grille de Notation (0-5 points)

| Score | Description |
|-------|-------------|
| **0** | Aucune gouvernance formelle, chaos total |
| **1** | Informel, tout "dans la tête" du fondateur |
| **2** | Quelques documents de base, mais incomplets |
| **3** | ✅ **BRONZE** — Minima atteints (1+2+3) |
| **4** | ✅ **ARGENT** — Bronze + (4 ou 5) |
| **5** | ✅ **OR/PLATINE** — Tout complet + amélioration continue démontrée |

**Pondération :** 15% du score total

---

### 2.2 DOMAINE 2 : Sécurité de l'Information

**Pourquoi c'est important :**  
Sans sécurité, il n'y a pas de souveraineté. Une faille chez un membre met en péril toute l'Alliance.

#### Critères Obligatoires (Bronze minimum)

1. **Gestion des vulnérabilités**
   - Processus de veille (CVE, alertes sécurité)
   - SLA de correction : Critique <48h, Élevé <7j, Moyen <30j
   - **Preuve :** Logs de mises à jour, politique écrite

2. **MFA pour administrateurs**
   - Authentification multi-facteurs obligatoire pour tous les accès admin
   - TOTP minimum (Authy, Google Authenticator, etc.)
   - **Preuve :** Capture d'écran config ou test en direct

3. **Sauvegardes 3-2-1 testées**
   - **3** copies (production + 2 backups)
   - **2** supports différents (disque + cloud ou autre site)
   - **1** copie hors site (géographiquement séparée)
   - **Testées** : Restauration complète réussie dans les 90 derniers jours
   - **Preuve :** Rapport de test de restauration avec date + screenshots

#### Critères Recommandés (Argent+)

4. **Réponse à incident documentée**
   - Procédure écrite : qui fait quoi en cas d'incident
   - Contacts d'urgence
   - Post-mortem des incidents passés
   - **Preuve :** Document de procédure + 1 exemple de post-mortem

5. **Chiffrement des données sensibles**
   - Données au repos : chiffrées (LUKS, dm-crypt)
   - Données en transit : TLS 1.3 minimum
   - **Preuve :** Configuration serveurs + test SSL Labs

6. **Segmentation réseau**
   - DMZ, réseaux isolés
   - Firewall avec règles strictes
   - **Preuve :** Diagramme réseau + règles firewall

#### Critères Avancés (Or+)

7. **Tests de pénétration annuels**
   - Pentest externe par tiers ou membre pair
   - Rapport partagé avec les pairs (confidentiel)
   - Plan de correction

8. **Surveillance proactive (SIEM/IDS)**
   - Logs centralisés et analysés
   - Alertes automatiques
   - **Preuve :** Accès au dashboard SIEM

#### Grille de Notation (0-5 points)

| Score | Description |
|-------|-------------|
| **0** | Aucune sécurité (serveur root sans mdp...) |
| **1** | Sécurité "de base" mais lacunes graves |
| **2** | Quelques mesures, mais sauvegardes non testées ou MFA absent |
| **3** | ✅ **BRONZE** — (1+2+3) Minima atteints |
| **4** | ✅ **ARGENT** — Bronze + (4 ou 5) |
| **5** | ✅ **OR/PLATINE** — Tout complet + (7 ou 8) |

**Pondération :** 25% du score total (le plus important !)

---

### 2.3 DOMAINE 3 : Vie Privée & Loi 25

**Pourquoi c'est important :**  
Respect de la vie privée = valeur cardinale. Conformité légale = survie de l'organisation.

#### Critères Obligatoires (Bronze minimum)

1. **Registre des traitements**
   - Liste de tous les traitements de données personnelles
   - Pour chaque traitement : finalité, base légale, durée conservation, destinataires
   - **Preuve :** Fichier Excel/YAML ou outil RGPD + accès

2. **Base légale claire**
   - Consentement, contrat, intérêt légitime, obligation légale ?
   - Documenté pour chaque traitement
   - **Preuve :** Inclus dans registre des traitements

3. **Politique de confidentialité publiée**
   - Accessible publiquement (site web)
   - Langage clair, pas juste du jargon juridique
   - Mise à jour récente (<12 mois)
   - **Preuve :** Lien vers la politique

#### Critères Recommandés (Argent+)

4. **DPIA (si nécessaire)**
   - Analyse d'impact si traitement à risque élevé
   - Documentée et revue
   - **Preuve :** Document DPIA (peut être anonymisé)

5. **Droits des personnes**
   - Processus pour exercer droits (accès, rectification, suppression, portabilité)
   - Formulaire ou email dédié
   - Délai de réponse <30 jours
   - **Preuve :** Page web ou procédure documentée

6. **Minimisation des données**
   - Ne collecter que le strict nécessaire
   - Pas de "on sait jamais, ça peut servir"
   - **Preuve :** Revue du registre + justification de chaque champ collecté

#### Critères Avancés (Or+)

7. **Chiffrement bout-à-bout**
   - Pour communications sensibles (emails, fichiers)
   - **Preuve :** Démo ou config

8. **Responsable de la protection des données (RPD)**
   - Personne désignée, formée
   - Point de contact connu
   - **Preuve :** Nom publié + contact

#### Grille de Notation (0-5 points)

| Score | Description |
|-------|-------------|
| **0** | Aucune politique vie privée, données collectées n'importe comment |
| **1** | Politique copier-coller générique, non appliquée |
| **2** | Politique présente mais registre incomplet |
| **3** | ✅ **BRONZE** — (1+2+3) Minima atteints |
| **4** | ✅ **ARGENT** — Bronze + (4+5) |
| **5** | ✅ **OR/PLATINE** — Tout complet + (7 ou 8) |

**Pondération :** 20% du score total

---

### 2.4 DOMAINE 4 : Interopérabilité & Fédération

**Pourquoi c'est important :**  
L'Alliance repose sur l'interopérabilité. Sans elle, on redevient des silos.

#### Critères Obligatoires (Bronze minimum)

1. **DNS fédéré opérationnel**
   - Zones hébergées en secondaire chez ≥2 pairs
   - AXFR/NOTIFY fonctionnels
   - Latence <50ms
   - **Preuve :** Tests dig + logs PowerDNS

2. **Métadonnées de fédération publiées**
   - Endpoints SSO (.well-known/openid-configuration ou équivalent)
   - Endpoints DNS (ns1.membre.ca avec IP)
   - Endpoints VPN (wireguard config ou équivalent)
   - **Preuve :** URLs accessibles publiquement

#### Critères Recommandés (Argent+)

3. **Identités fédérées (SSO)**
   - Keycloak, OpenID Connect, SAML
   - Intégration avec autres membres de l'Alliance
   - **Preuve :** Test de connexion SSO entre 2 membres

4. **Standards ouverts pour email**
   - SMTP, IMAP (pas d'API propriétaire)
   - SPF, DKIM, DMARC configurés
   - **Preuve :** Résultats mail-tester.com >8/10

5. **Partage de fichiers interopérable**
   - WebDAV, CalDAV, CardDAV
   - Nextcloud, ownCloud ou compatible
   - **Preuve :** Test de connexion depuis client standard

#### Critères Avancés (Or+)

6. **API publiques documentées**
   - OpenAPI/Swagger pour services exposés
   - Documentation accessible
   - **Preuve :** Lien vers docs API

7. **Participation active à la fédération**
   - Contribution aux outils communs (playbooks Ansible, scripts)
   - Support technique aux pairs
   - **Preuve :** Commits Git + témoignages

#### Grille de Notation (0-5 points)

| Score | Description |
|-------|-------------|
| **0** | Aucune interopérabilité, silo complet |
| **1** | Quelques standards ouverts mais pas fédéré |
| **2** | DNS configuré mais non fonctionnel ou métadonnées absentes |
| **3** | ✅ **BRONZE** — (1+2) DNS + métadonnées OK |
| **4** | ✅ **ARGENT** — Bronze + SSO ou email ou fichiers |
| **5** | ✅ **OR/PLATINE** — Tout complet + contribution active |

**Pondération :** 15% du score total

---

### 2.5 DOMAINE 5 : Opérations & Résilience

**Pourquoi c'est important :**  
La fiabilité est non négociable. Si ton service est down, les usagers souffrent et l'Alliance est fragilisée.

#### Critères Obligatoires (Bronze minimum)

1. **Monitoring actif**
   - Icinga, Prometheus, Netdata ou équivalent
   - Surveillance 24/7 (automatisée)
   - Alertes configurées (email/SMS/Matrix)
   - **Preuve :** Accès au dashboard + historique

2. **Journaux (logs) conservés ≥90 jours**
   - Logs systèmes, applicatifs, accès
   - Centralisés si possible
   - **Preuve :** Montrer les logs d'il y a 60-90 jours

3. **Tests de restauration trimestriels**
   - Sauvegardes testées tous les 3 mois minimum
   - Documenté avec dates et résultats
   - **Preuve :** Rapports des 2 derniers tests

#### Critères Recommandés (Argent+)

4. **Gestion de capacité**
   - Surveillance des ressources (CPU, RAM, disque)
   - Prévisions de croissance
   - Alertes avant saturation
   - **Preuve :** Dashboard Grafana + tendances

5. **Runbooks et documentation**
   - Procédures d'incident documentées
   - "How-to" pour tâches courantes
   - Wiki ou dépôt Git
   - **Preuve :** Accès au wiki + liste des runbooks

6. **SLA publiés**
   - Engagement de disponibilité (ex: 99,5%)
   - Objectif de temps de rétablissement (RTO)
   - Publié sur page de statut
   - **Preuve :** Lien vers SLA

#### Critères Avancés (Or+)

7. **Haute disponibilité (HA)**
   - Services critiques redondants
   - Failover automatique
   - **Preuve :** Test de bascule réussi

8. **Plan de continuité d'activité (PCA)**
   - Document complet : quoi faire si datacenter détruit
   - Testé annuellement
   - **Preuve :** Document PCA + rapport de test

#### Grille de Notation (0-5 points)

| Score | Description |
|-------|-------------|
| **0** | Aucun monitoring, aucune sauvegarde testée |
| **1** | Monitoring basique mais sauvegardes non testées |
| **2** | Monitoring + sauvegardes mais logs <90j ou tests >3 mois |
| **3** | ✅ **BRONZE** — (1+2+3) Minima atteints |
| **4** | ✅ **ARGENT** — Bronze + (4+5) |
| **5** | ✅ **OR/PLATINE** — Tout complet + HA ou PCA |

**Pondération :** 15% du score total

---

### 2.6 DOMAINE 6 : Sobriété Numérique

**Pourquoi c'est important :**  
L'une de nos 5 valeurs cardinales. Si on ne mesure pas, on ne peut pas réduire.

#### Critères Obligatoires (Bronze minimum)

1. **Mesure de consommation énergétique**
   - Serveurs : mesure via PDU intelligent, IPMI, ou factures électricité
   - Estimation si mesure directe impossible (mais justifiée)
   - **Preuve :** Tableau de conso (kWh/mois) sur 3 mois minimum

2. **Indicateurs de sobriété publiés**
   - PUE (Power Usage Effectiveness) ou équivalent
   - CO2/utilisateur ou CO2/service
   - Publié sur site web ou registraire
   - **Preuve :** Lien vers les indicateurs

#### Critères Recommandés (Argent+)

3. **Optimisation démontrée**
   - Actions concrètes pour réduire l'empreinte :
     - Mise en veille/extinction de VMs inutilisées
     - Consolidation de serveurs
     - Migration vers matériel plus efficient
   - **Preuve :** Comparaison avant/après (métriques)

4. **Choix matériels/logiciels frugaux**
   - Hardware reconditionné privilégié
   - Logiciels légers (pas de bloatware)
   - **Preuve :** Liste du matériel + âge + justifications

5. **Compensation carbone (optionnelle mais valorisée)**
   - Si émissions incompressibles, compensation via projets certifiés
   - **Preuve :** Certificats ou reçus

#### Critères Avancés (Or+)

6. **Infrastructure 100% renouvelable**
   - Électricité verte certifiée (Hydro-Québec = déjà ~99% hydro ✅)
   - Datacenter alimenté par énergies renouvelables
   - **Preuve :** Factures énergie verte ou certification datacenter

7. **Analyse de cycle de vie (ACV)**
   - Empreinte totale : fabrication + usage + fin de vie
   - Documentée
   - **Preuve :** Rapport ACV simplifié

#### Grille de Notation (0-5 points)

| Score | Description |
|-------|-------------|
| **0** | Aucune mesure, aucune conscience de l'impact |
| **1** | Conscience du problème mais pas de mesure |
| **2** | Mesure partielle, indicateurs incomplets |
| **3** | ✅ **BRONZE** — (1+2) Mesure + indicateurs publiés |
| **4** | ✅ **ARGENT** — Bronze + (3 ou 4) optimisation démontrée |
| **5** | ✅ **OR/PLATINE** — Tout complet + (6 ou 7) excellence |

**Pondération :** 10% du score total

---

## PARTIE III — NIVEAUX DE LABEL

### Article 3 — Les Quatre Niveaux

Le label Boréal existe en **4 niveaux progressifs** :

```
Bronze  → Argent → Or → Platine
 (Base)   (Solide) (Référence) (Excellence)
```

Chaque niveau a des exigences claires et un badge visuel distinct.

---

### 3.1 Boréal Bronze — Base Conforme

**Public cible :** Nouveaux membres, organisations en début de parcours

**Exigences :**
- ✅ **Minima atteints sur les 6 domaines**
  - Gouvernance : Charte + Registre responsabilités + Conflits d'intérêts
  - Sécurité : Vulnérabilités gérées + MFA admins + Sauvegardes 3-2-1 testées
  - Vie privée : Registre traitements + Base légale + Politique publiée
  - Interopérabilité : DNS fédéré + Métadonnées publiées
  - Opérations : Monitoring + Logs 90j + Tests restauration trimestriels
  - Sobriété : Mesure conso + Indicateurs publiés

- ✅ **Score minimum : 60/100**

- ✅ **Aucune non-conformité majeure ouverte**
  - Pas de faille de sécurité critique non corrigée
  - Pas de violation de la Loi 25 avérée
  - Pas d'indisponibilité >24h sans raison valable

**Validité :** 12 mois

**Badge :**
- Couleur : Brun/Bronze
- Texte : "Boréal Bronze 2025"
- Usage autorisé sur site web, signatures email

**Message :** *"Nous respectons les fondamentaux de l'Alliance Boréale."*

---

### 3.2 Boréal Argent — Solidité Opérationnelle

**Public cible :** Membres établis avec pratiques solides

**Exigences :**
- ✅ Tout ce qui est dans Bronze
- ✅ **Score minimum : 70/100**
- ✅ **Audit pair semestriel sans réserve majeure**
  - 2 audits/an au lieu d'1
  - Pas de "réserve majeure" (réserves mineures OK)
- ✅ **Transparence renforcée :**
  - Page de statut publique (uptime, incidents)
  - Runbooks publiés (au moins procédures de base)
  - Indicateurs de sobriété détaillés

**Validité :** 12 mois

**Badge :**
- Couleur : Argenté
- Texte : "Boréal Argent 2025"

**Message :** *"Nous sommes transparents, fiables, et améliorés continuellement."*

---

### 3.3 Boréal Or — Référence d'Excellence

**Public cible :** Leaders de l'Alliance, modèles pour les autres

**Exigences :**
- ✅ Tout ce qui est dans Argent
- ✅ **Score minimum : 85/100**
- ✅ **Exercices de crise annuels**
  - Simulation d'incident majeur (ex: perte datacenter)
  - Documenté + rapport + améliorations apportées
- ✅ **Indicateurs de sobriété publiés et exemplaires**
  - Réduction démontrée année après année
  - Ou déjà très bas (≤50% de la moyenne du secteur)
- ✅ **Tests de restauration réussis sur 12 derniers mois**
  - Preuves des 4 tests trimestriels
  - 100% de succès

**Validité :** 12 mois

**Badge :**
- Couleur : Doré
- Texte : "Boréal Or 2025"

**Message :** *"Nous sommes une référence technique et éthique."*

---

### 3.4 Boréal Platine — Excellence Continue

**Public cible :** Les meilleurs des meilleurs, rares

**Exigences :**
- ✅ Tout ce qui est dans Or
- ✅ **Score minimum : 90/100**
- ✅ **Amélioration continue démontrée**
  - Augmentation du score d'au moins 5 points sur 2 ans
  - Ou maintien à 95+ pendant 2 ans
- ✅ **Plan de continuité d'activité (PCA) documenté ET testé**
  - Test réussi dans les 12 derniers mois
  - Rapport public (synthèse)
- ✅ **Chiffrement bout-à-bout quand pertinent**
  - Emails sensibles, fichiers, communications
- ✅ **Preuves tierces**
  - Pentest annuel partagé aux pairs (confidentiel)
  - Ou certification externe reconnue (ISO 27001, SOC 2)

**Validité :** 12 mois (comme les autres, pas d'exception)

**Badge :**
- Couleur : Platine/Blanc brillant
- Texte : "Boréal Platine 2025"

**Message :** *"Nous incarnons l'excellence absolue de l'Alliance Boréale."*

---

## PARTIE IV — SYSTÈME DE POINTS

### Article 4 — Calcul du Score Global

Le score global est calculé sur **/100 points** en fonction des 6 domaines.

#### 4.1 Notation par Domaine (0-5)

Chaque domaine est noté de **0 à 5 points** selon la grille de chaque domaine (voir Partie II).

#### 4.2 Pondération

Les domaines ont des poids différents selon leur importance :

| Domaine | Poids | Points Max |
|---------|-------|------------|
| 1. Gouvernance & Éthique | 15% | 15 pts |
| 2. Sécurité de l'Information | 25% | 25 pts |
| 3. Vie Privée & Loi 25 | 20% | 20 pts |
| 4. Interopérabilité & Fédération | 15% | 15 pts |
| 5. Opérations & Résilience | 15% | 15 pts |
| 6. Sobriété Numérique | 10% | 10 pts |
| **TOTAL** | **100%** | **100 pts** |

#### 4.3 Formule de Calcul

```
Score_Total = Σ (Note_Domaine × Poids_Domaine)

Avec :
- Note_Domaine : de 0 à 5
- Poids_Domaine : % du domaine

Exemple :
Domaine 1 (Gouvernance) : Note 4/5 × 15% = 12/15 pts
Domaine 2 (Sécurité) : Note 5/5 × 25% = 25/25 pts
Domaine 3 (Vie privée) : Note 3/5 × 20% = 12/20 pts
Domaine 4 (Interop) : Note 4/5 × 15% = 12/15 pts
Domaine 5 (Ops) : Note 4/5 × 15% = 12/15 pts
Domaine 6 (Sobriété) : Note 3/5 × 10% = 6/10 pts

Score_Total = 12+25+12+12+12+6 = 79/100
→ Label : Argent (70-84)
```

#### 4.4 Seuils par Niveau

| Niveau | Score Min | Score Max |
|--------|-----------|-----------|
| Bronze | 60 | 69 |
| Argent | 70 | 84 |
| Or | 85 | 89 |
| Platine | 90 | 100 |

**Note :** Un score élevé ne suffit PAS. Les exigences qualitatives de chaque niveau doivent aussi être remplies.

---

## PARTIE V — PROCESSUS D'ÉVALUATION

### Article 5 — Demande de Labellisation

#### 5.1 Qui Peut Demander?

- Tout membre actif de l'Alliance (pas les probatoires)
- Demande volontaire (pas obligatoire, mais fortement encouragée)
- Un membre peut demander n'importe quel niveau (pas forcément Bronze d'abord)

#### 5.2 Procédure de Demande

**Étape 1 : Auto-évaluation (par le membre)**

Le membre remplit la **grille d'auto-évaluation** (voir Annexe A) :
- Note estimée pour chaque domaine
- Liste des preuves disponibles
- Identification des lacunes

**Durée :** 2-4 heures

**Étape 2 : Soumission**

Le membre soumet sa demande au **Cercle Éthique & Conformité** :
- Formulaire de demande
- Auto-évaluation complétée
- Niveau visé (Bronze, Argent, Or, Platine)
- Liste des documents/preuves joints

**Étape 3 : Revue préliminaire (Cercle Éthique, 7 jours)**

Le Cercle vérifie :
- La complétude du dossier
- L'éligibilité (membre actif, pas de non-conformité majeure)
- Le niveau visé est-il réaliste?

**Décision :**
- ✅ Acceptée → Passage à l'audit
- ⚠️ Ajournée → Compléments demandés
- ❌ Refusée → Raisons expliquées (très rare)

**Étape 4 : Audit pair-à-pair (voir Document 5)**

Un audit complet est mené selon le **Protocole d'Audit Pair-à-Pair**.

**Durée :** 2-3 semaines

**Étape 5 : Décision (Cercle Éthique, 7 jours après audit)**

Le Cercle examine le rapport d'audit et décide :
- ✅ Label accordé au niveau demandé
- 🔽 Label accordé à un niveau inférieur (ex: demande Or → octroi Argent)
- ⚠️ Label sous réserve (plan d'action de 30-90j requis)
- ❌ Label refusé (lacunes trop importantes)

**Étape 6 : Publication (J+1)**

Si accordé :
- Badge remis au membre
- Fiche au Registraire mise à jour
- Annonce dans #annonces (Matrix)
- Certificat numérique signé (PGP)

---

## PARTIE VI — SURVEILLANCE CONTINUE

### Article 6 — Entre Deux Audits

**Le label n'est pas un "acquis". Il doit être maintenu.**

#### 6.1 Déclarations d'Incidents

**Obligation :** Tout incident majeur doit être déclaré sous **24h** :
- Indisponibilité >1h
- Faille de sécurité exploitée
- Perte de données
- Violation de vie privée

**Procédure :**
- Email à incidents@alliance-boreale.ca
- Ou issue sur la forge (privée)
- Description, impact, actions prises

**Conséquence sur le label :**
- Déclaration faite = OK, pas de pénalité (on apprend de nos erreurs)
- Déclaration NON faite = Suspension possible du label

#### 6.2 Revue Semestrielle Légère (Pour Argent+)

Les membres Argent, Or et Platine ont une **revue légère tous les 6 mois** :
- Pas un audit complet (trop lourd)
- Vérification des indicateurs clés :
  - Disponibilité (uptime)
  - Tests de sauvegarde (dates)
  - Indicateurs de sobriété (évolution)
- Durée : 1h de visio + revue docs (15 min)

**Si problème détecté :** Plan d'action ou audit de suivi déclenché

#### 6.3 Audits Surprises (Si Suspicion)

**Déclencheur :**
- Signalement par un pair
- Incident grave non déclaré
- Plainte d'un usager
- Rumeur persistante

**Processus :**
- Le Cercle Éthique décide (consentement)
- Audit surprise sous 7 jours
- Le membre doit coopérer (obligation)

**Refus de coopérer = Suspension immédiate du label**

---

## PARTIE VII — RECERTIFICATION ANNUELLE

### Article 7 — Renouvellement du Label

**Tous les labels expirent après 12 mois. Pas d'exception.**

#### 7.1 Processus de Recertification

**6 mois avant expiration :**
- Notification automatique au membre
- Rappel des exigences

**3 mois avant expiration :**
- Planification de l'audit de recertification
- Désignation de l'auditeur

**1 mois avant expiration :**
- Audit de recertification complet
- Même rigueur que l'audit initial

**À expiration :**
- Si audit OK → Label renouvelé 12 mois
- Si audit NOK → Label expiré, passage en "Sans label" (mais membre actif)

#### 7.2 Possibilité de Monter de Niveau

La recertification est l'occasion de demander un niveau supérieur :
- Bronze → Argent
- Argent → Or
- Or → Platine

Même processus, mais exigences du niveau supérieur évidemment.

---

## PARTIE VIII — RÈGLES D'USAGE DU LABEL

### Article 8 — Marque et Badge

#### 8.1 Droit d'Usage

**Le label "Boréal" est une marque collective de L'Alliance Boréale.**

**Droit d'usage accordé pour :**
- La durée de validité du label
- Usage sur site web, signatures email, documents officiels
- Mention dans communications (ex: "Nous sommes Boréal Or 2025")

**Obligation :**
- Toujours mentionner l'année et le niveau
- Lien vers la fiche Registraire (preuve vérifiable)

#### 8.2 Prohibitions

**Usage interdit :**
- Utiliser le badge si label expiré
- Prétendre à un niveau supérieur
- Modifier le logo (couleurs, proportions)
- Créer des variantes non autorisées
- Laisser entendre un endorsement de l'Alliance sans base factuelle

**Sanction :** Suspension immédiate du label + possibilité de radiation

#### 8.3 Visuels Officiels

**Kit graphique fourni par l'Alliance :**
- Logos SVG (Bronze, Argent, Or, Platine)
- Badges PNG (haute résolution)
- Guide d'utilisation (tailles, espaces, couleurs)

**Disponible sur :** git.alliance-boreale.ca/alliance-boreale/brand/

---

## ANNEXE A — Grille d'Auto-Évaluation

**À remplir par le membre demandeur**

### Domaine 1 : Gouvernance & Éthique

| Critère | Oui/Non | Preuve Disponible | Notes |
|---------|---------|-------------------|-------|
| Charte interne signée | ☐ | ☐ | |
| Registre des responsabilités | ☐ | ☐ | |
| Politique conflits d'intérêts | ☐ | ☐ | |
| Documentation des décisions | ☐ | ☐ | |
| Code de conduite | ☐ | ☐ | |
| Plan stratégique | ☐ | ☐ | |

**Note estimée (0-5) :** _____ / 5

### Domaine 2 : Sécurité de l'Information

[Même structure pour les 6 domaines...]

### Score Total Estimé

| Domaine | Note /5 | Poids | Points |
|---------|---------|-------|--------|
| 1. Gouvernance | ____ | 15% | ____ |
| 2. Sécurité | ____ | 25% | ____ |
| 3. Vie privée | ____ | 20% | ____ |
| 4. Interop | ____ | 15% | ____ |
| 5. Ops | ____ | 15% | ____ |
| 6. Sobriété | ____ | 10% | ____ |
| **TOTAL** | | **100%** | **____/100** |

**Niveau visé :** ☐ Bronze ☐ Argent ☐ Or ☐ Platine

---

## ANNEXE B — Exemples de Preuves Acceptables

### Pour chaque critère, voici des exemples de preuves :

**Charte interne signée :**
- PDF de la charte avec signatures
- Résolution CA d'adoption
- Lien vers page web publique

**MFA pour admins :**
- Capture d'écran de la config (SSH, panel admin)
- Test en direct devant l'auditeur

**Sauvegardes 3-2-1 testées :**
- Rapport de test de restauration avec date
- Screenshots du processus
- Logs de backup (anonymisés OK)

**Registre des traitements (RGPD) :**
- Fichier Excel/YAML
- Ou outil RGPD (capture d'écran)

**Indicateurs de sobriété :**
- Page web publique avec graphiques
- Ou document partagé avec auditeur

---

## ANNEXE C — Modèle de Résolution Interne

```
RÉSOLUTION DU CONSEIL D'ADMINISTRATION
[Nom de l'organisation]

Objet : Demande de Label Boréal

IL EST RÉSOLU :

1. De demander l'attribution du label "Boréal [Niveau]" 
   auprès de L'Alliance Boréale ;

2. D'accepter le processus d'audit pair-à-pair selon 
   le Cadre de Conformité & Label de Prestige v1.0 ;

3. D'autoriser la publication de notre fiche au Registraire 
   avec indication du label obtenu ;

4. De s'engager à maintenir les exigences du label pendant 
   toute sa durée de validité ;

5. D'autoriser l'usage du badge "Boréal [Niveau]" sur notre 
   site web et communications selon les règles d'usage.

Adopté à [Ville], le [Date].

Signatures :
[Président] : _________________
[Secrétaire] : _________________
```

---

**FIN DU CADRE DE CONFORMITÉ & LABEL DE PRESTIGE**

*"Le label n'est pas une fin. C'est un voyage."*

🌲 **L'Alliance Boréale**