Sécurité & conformité

Notre engagement

Vos données — ventes, recettes, employés, fournisseurs, finances — sont au cœur de votre activité. Bistrevo applique les standards de l'industrie SaaS B2B et s'engage contractuellement sur les mesures détaillées ci-dessous.

1. Hébergement et localisation

• API et base de données PostgreSQL hébergées par Railway, en Europe (région Europe de Railway).
• Site et interface de l'application servis par Vercel (réseau mondial de diffusion, CDN) : les pages y transitent, les données métier restent enregistrées en Europe.
• Fichiers déposés dans l'application (photos, factures, documents) stockés chez Backblaze, dans un bucket privé en Union européenne (Amsterdam, région eu-central-003), chiffré au repos, sans aucun accès public : seule l'application les lit.
• Sauvegardes chiffrées stockées hors de l'hébergeur principal, chez Backblaze, bucket en Union européenne (Amsterdam, région eu-central-003).
• Aucun transfert de données hors UE sans garanties appropriées (clauses contractuelles types, EU-US Data Privacy Framework). Liste complète des sous-traitants dans la politique de confidentialité.

2. Chiffrement

• En transit : TLS 1.3 minimum sur toutes les communications. HTTPS forcé via HSTS.
• Au repos : chiffrement AES-256 des disques base de données et des sauvegardes.
• Secrets : jamais en clair dans le code, gestion via coffre-fort dédié.

3. Isolation multi-tenant

Chaque client dispose d'un espace logique strictement isolé. La séparation est appliquée à chaque requête par un identifiant d'organisation (tenant_id) injecté côté serveur. Aucun client ne peut accéder, même par erreur, aux données d'un autre.

4. Authentification et accès

• Authentification gérée par Bistrevo, sans prestataire tiers : session signée (JWT) en cookie httpOnly, révocable à tout moment.
• Mots de passe hachés avec PBKDF2-HMAC-SHA256 (600 000 itérations) ; double authentification TOTP avec codes de secours, secret chiffré au repos.
• Rôles fins (gestionnaire / employé avec permissions par module) et principe du moindre privilège.
• Journal d'audit du compte : connexions, blocages après des essais répétés, changements de mot de passe et de double authentification, export des données du compte.
• Accès de l'équipe Bistrevo : chaque ouverture d'un compte client par un membre de l'équipe (pour le support, ou pour ouvrir une démo) est inscrite au journal d'audit du compte ouvert — qui, quand, au nom de quel utilisateur. Cette session dure une heure au plus.

5. Sauvegardes et continuité

• Données sauvegardées chez l'hébergeur et restaurables à un instant donné.
• Aucun taux de disponibilité n'est garanti contractuellement : l'objectif est de 99,5 % (conditions générales de vente, article 7).
• Plan de continuité d'activité documenté et revu chaque trimestre.

6. Conformité RGPD

• Bistrevo agit en qualité de sous-traitant au sens de l'article 28 du RGPD.
• Accord de traitement des données (DPA) standardisé, accepté en ligne par chaque client avec les CGV.
• Liste publique et tenue à jour de nos sous-traitants ultérieurs (voir notre politique de confidentialité).
• Export complet des données et droit à l'effacement intégrés au produit (espace Paramètres → Compte).
• Procédure de notification des violations de données dans les 72 heures, conformément à l'article 33 du RGPD.

7. Sécurité applicative

• Audit automatique des dépendances (npm audit, pip-audit) et patching mensuel.
• Suivi des erreurs serveur (Sentry).
• Protection contre les injections SQL (ORM SQLAlchemy avec requêtes paramétrées) et XSS (échappement automatique React/Next.js).
• Rate-limiting sur les endpoints sensibles (auth, exports).

8. Gestion des incidents

En cas d'incident impactant le service ou la confidentialité des données, vous êtes informés par email dans les meilleurs délais, et au plus tard :

• 2 heures pour une indisponibilité majeure ;
• 72 heures pour une violation de données personnelles (article 33 RGPD).

9. Vos droits

Vous pouvez à tout moment exercer vos droits RGPD : accès, rectification, suppression, portabilité, opposition, limitation. Contactez-nous à contact@bistrevo.com ou utilisez les outils en self-service dans votre espace client.

10. Signaler une vulnérabilité

Vous avez identifié une faille de sécurité ? Écrivez-nous à security@bistrevo.com. Nous nous engageons à accuser réception sous 48 heures et à vous tenir informé du traitement.