Signaux Entreprises conserve les informations de votre compte : vos segments de prospection, vos paramètres de livraison, l’URL et la clé de signature de votre webhook. Cette page explique, sans jargon, ce que nous faisons pour les protéger. Elle complète la politique de confidentialité et l'accord de sous-traitance.
1. Un hébergement en France
Le service est hébergé en France chez OVHcloud. Vos segments, vos paramètres et l’historique de vos livraisons sont stockés sur des serveurs situés en France. Les sauvegardes sont décrites au point 3 : une copie chiffrée est conservée sur un serveur de l’éditeur, lui aussi situé en France.
2. Des échanges chiffrés
Les échanges entre votre navigateur et Signaux Entreprises sont chiffrés par TLS (le « cadenas » du navigateur). Personne ne peut lire en chemin les données que vous envoyez ou recevez.
3. Des sauvegardes chaque jour
Nous effectuons des sauvegardes quotidiennes, afin de pouvoir restaurer le service et vos données après un incident technique :
- la sauvegarde automatique du serveur proposée par OVHcloud [option et durée de conservation chez OVHcloud à confirmer] ;
- des copies quotidiennes de la base chiffrées (outil age), conservées 3 jours sur le serveur d’hébergement ;
- une copie chiffrée de ces sauvegardes rapatriée chaque jour sur un serveur de l’éditeur situé en France, conservée 30 jours. La clé de déchiffrement n’est pas stockée sur ce serveur.
Effacements et sauvegardes : lorsque vous supprimez des données ou votre compte, l’effacement n’est pas répercuté dans les sauvegardes déjà faites ; celles-ci expirent d’elles-mêmes, et les données effacées en disparaissent au plus tard 30 jours plus tard.
4. Une connexion sans mot de passe
Vous vous connectez grâce à un lien magique envoyé par courriel, valable pour une seule connexion et limité dans le temps. Il n’y a pas de mot de passe à retenir, à réutiliser ou à se faire voler. En contrepartie, protégez l’accès à votre messagerie : c’est elle qui ouvre votre compte.
5. Un accès restreint
Seules les personnes qui en ont besoin pour faire fonctionner le service (maintenance, support) peuvent accéder aux données, dans la limite de leur mission. Les données d’un client ne sont pas visibles par les autres clients.
6. Une trace des accès
Nous journalisons les accès et les actions sensibles (connexion, modification d’un segment ou d’un webhook, export). Ces journaux servent à détecter les anomalies et à enquêter en cas d’incident. Le journal d’audit (connexions, actions sensibles) est conservé 12 mois ; les journaux d’accès du serveur web et les journaux applicatifs le sont 30 jours au plus.
7. Des webhooks signés et des paiements qui ne passent pas par nos serveurs
Chaque appel de webhook est signé (HMAC) avec une clé propre à votre compte, ce qui permet à votre outil de vérifier qu’il vient de nous. À l’ouverture des offres payantes, les paiements seront traités par Stripe : nous ne voyons ni ne stockons les numéros de carte bancaire.
8. Ce que nous ne faisons pas
- Nous ne stockons pas de numéros de carte bancaire.
- Nous ne vendons ni ne louons vos données, et ne les utilisons pas pour de la publicité.
- Nous ne revendiquons aucune certification (par exemple ISO 27001) à ce jour.
- Nous ne pouvons pas garantir un risque zéro : aucun système n’en est exempt. C’est pourquoi nous limitons les données collectées, les chiffrons et surveillons les accès.
9. Que faire de votre côté
- Utilisez une messagerie protégée (mot de passe fort, double authentification).
- Ne transférez pas vos liens de connexion et déconnectez-vous d’un poste partagé.
- Vérifiez l’adresse du site (signaux-entreprises.fr) avant de cliquer ; nous ne vous demanderons jamais votre numéro de carte par courriel.
- Informez-nous sans délai si vous pensez que votre accès est compromis.
10. Signaler une vulnérabilité
Si vous pensez avoir découvert une faille, écrivez-nous à support@signaux-entreprises.fr (chiffrement possible sur demande). Merci de nous donner assez d’informations pour reproduire le problème, de ne pas accéder à des données qui ne sont pas les vôtres au-delà de ce qui est nécessaire pour démontrer la faille, et de nous laisser un délai raisonnable pour corriger avant toute divulgation publique.
De notre côté, nous accusons réception sous un délai raisonnable, vous tenons informé de l’avancement et n’engagerons pas de poursuites à l’encontre d’une personne agissant de bonne foi dans ce cadre, sous réserve du respect de la loi. Nous publions une page security.txt à l’adresse /.well-known/security.txt indiquant ce contact.
11. Incidents
En cas de violation de données, nous prévenons la CNIL dans les 72 heures lorsque la loi l’exige et informons sans retard les clients concernés (voir la politique de confidentialité et l’accord de sous-traitance).