Page sécurité
Auth, chiffrement, sauvegardes, monitoring configurable, logs, hébergement France, RPO/RTO. Ce document présente les mesures techniques et organisationnelles (TOMs) mises en place.
Hébergement
France · OVHcloud
Chiffrement transit
TLS 1.2+
Archivage comptable
10 ans
Sécurité applicative
Les mesures suivantes sont appliquées au niveau applicatif :
- Cookies HttpOnly — les tokens de session sont inaccessibles depuis JavaScript.
- Protections CSRF — token CSRF envoyé en en-tête sur toutes les mutations.
- En-têtes de sécurité HTTP (CSP, X-Frame-Options, HSTS, Referrer-Policy).
- Gestion stricte des secrets — aucun secret en clair dans les logs ou le code versionné.
- Limitation des logs contenant des données personnelles (minimisation).
- Tests automatisés (CI) et durcissement des configurations.
- Objectif : un produit exploitable et fiable en production.
Authentification & accès
Comptes et rôles
Le service applique un contrôle d'accès basé sur les rôles (RBAC) : owner, admin, comptable, lecteur. Chaque rôle conditionne les permissions d'accès aux fonctionnalités et aux données.
- MFA (authentification à deux facteurs) disponible selon configuration.
- Sessions avec durée de vie limitée et invalidation à la déconnexion.
- Toute action réalisée via un compte autorisé est réputée réalisée par le Client.
Responsabilités du Client
Le Client est responsable de la sécurité des accès, des mots de passe et de l'activation du MFA si disponible. Il doit notifier immédiatement l'Éditeur en cas de compromission de compte.
Chiffrement
| Couche | Mécanisme | Notes |
|---|---|---|
| Transit | TLS 1.2+ (TLS 1.3 préféré) | Toutes les communications client ↔ serveur |
| Repos (base de données) | Chiffrement au niveau du fournisseur cloud (OVHcloud) | AES-256 selon configuration |
| Stockage objet (S3) | Chiffrement côté serveur (SSE) | Selon configuration du bucket |
| Secrets applicatifs | Gestion via variables d'environnement sécurisées | Aucun secret en clair |
Hébergement & infrastructure
Fournisseur principal
OVHcloud — Hébergement applicatif et bases de données, France (UE/EEE).
Les données sont hébergées par défaut au sein de l'Union Européenne / EEE. En cas de transfert hors UE/EEE (ex. certains sous-traitants), des garanties appropriées sont mises en place (clauses contractuelles types — SCC).
Monitoring & logs
Monitoring applicatif configurable, journalisation des accès et des événements de sécurité, gestion des incidents selon la criticité. Objectifs RPO/RTO définis au contrat (offre Entreprise).
Sauvegardes & RPO/RTO
Des procédures de sauvegarde automatisées (via scripts) sont mises en place. Les paramètres précis (fréquence, rétention, objectifs RPO/RTO) dépendent de la configuration et sont définis au contrat le cas échéant.
| Élément | Valeur indicative | Précision |
|---|---|---|
| Sauvegardes BD | Quotidiennes (configurable) | Dépend de la configuration |
| Rétention sauvegardes | Selon contrat | Paramétrable |
| RPO (perte max données) | Sur demande / selon contrat | Offre Entreprise |
| RTO (délai remise en ligne) | Sur demande / selon contrat | Offre Entreprise |
Sous-traitants (Annexe 3 DPA)
Liste des sous-traitants ultérieurs. La liste peut évoluer ; notification par email en cas de changement substantiel.
| Nom | Finalité | Localisation | Garanties |
|---|---|---|---|
| OVHcloud | Hébergement applicatif et bases de données | France (UE/EEE) | — |
| Mailgun (Twilio) | Envoi d'emails transactionnels (notifications, factures) | États-Unis (transfert possible) | SCC |
| Stripe | Paiement en ligne et gestion des abonnements | Irlande (UE) + États-Unis | SCC |
| Sentry | Monitoring applicatif et gestion des erreurs | UE | DPA |
| Seqino (PA) | Transmission réglementaire via plateforme agréée (PA, ex‑PDP) | France | Obligatoire pour la transmission e‑invoicing |
Mise à jour : 2026-01-21. Le Client peut s'opposer à l'ajout d'un sous-traitant pour motif légitime dans un délai raisonnable.
RGPD & DPA
Le traitement des données personnelles est encadré par un accord de traitement des données (DPA) conforme à l'article 28 du RGPD.
- Rôles clairement définis : Client = Responsable du traitement, Éditeur = Sous-traitant.
- Traitement uniquement sur instructions documentées du Client.
- Droit à l'oubli, export et portabilité disponibles.
- Contact RGPD / DPO : communiqué sur demande.
Archivage & réversibilité
| Type | Durée | Notes |
|---|---|---|
| Conservation fiscale (factures) | 6 ans | Obligation légale |
| Conservation comptable | 10 ans | Obligation légale |
| Archivage probant | Selon configuration | Immutabilité Object Lock si activé |
| Logs techniques | Limités dans le temps | Données personnelles masquées |
Le Client peut exporter ses données (Factur‑X/PDF/CSV) à tout moment via l'interface. Une restitution supplémentaire peut être fournie sur demande dans un délai raisonnable (ex. 30 jours) après résiliation.
Gestion des incidents
En cas de violation de données personnelles, l'Éditeur notifie le Client sans délai indu après la découverte. La notification comprend la nature de l'incident, les données concernées, les impacts estimés et les mesures correctives.
Le Client peut auditer l'Éditeur dans des conditions raisonnables (préavis, périmètre limité, respect de la confidentialité). Les coûts excessifs ou répétés peuvent être à la charge du Client.
Sources & contacts
Contact sécurité / RGPD
Contact RGPD : communiqué sur demande
Objet : demandes RGPD, exercice des droits, incidents.