VigiCréance traite des informations sensibles pour une entreprise : la liste de ses clients, ses factures, ses créances. Cette page explique, sans jargon, ce que nous faisons pour les protéger. Elle complète la politique de confidentialité et l'accord de sous-traitance.
1. Un hébergement en France
Le service est hébergé en France chez OVHcloud. Vos listes de clients, vos factures et vos déclarations sont stockées sur des serveurs situés en France. Les sauvegardes sont décrites au point 3 : une copie chiffrée est conservée sur un serveur de l’éditeur, lui aussi situé en France.
2. Des échanges chiffrés
Les échanges entre votre navigateur et VigiCréance sont chiffrés par TLS (le « cadenas » du navigateur). Personne ne peut lire en chemin les données que vous envoyez ou recevez.
3. Des sauvegardes chaque jour
Nous effectuons des sauvegardes quotidiennes, afin de pouvoir restaurer le service et vos données après un incident technique :
- la sauvegarde automatique du serveur proposée par OVHcloud [option et durée de conservation chez OVHcloud à confirmer] ;
- des copies quotidiennes de la base et des pièces chiffrées (outil age), conservées 14 jours sur le serveur d’hébergement ;
- une copie chiffrée de ces sauvegardes rapatriée chaque jour sur un serveur de l’éditeur situé en France, conservée 60 jours. La clé de déchiffrement n’est pas stockée sur ce serveur.
Les pièces et signatures sont en outre chiffrées dans l’application. Effacements et sauvegardes : lorsque vous supprimez des données ou votre compte, l’effacement n’est pas répercuté dans les sauvegardes déjà faites ; celles-ci expirent d’elles-mêmes, et les données effacées en disparaissent au plus tard 60 jours plus tard.
4. Une connexion sans mot de passe
Vous vous connectez grâce à un lien magique envoyé par courriel, valable pour une seule connexion et limité dans le temps. Il n’y a pas de mot de passe à retenir, à réutiliser ou à se faire voler. En contrepartie, protégez l’accès à votre messagerie : c’est elle qui ouvre votre compte.
5. Un accès restreint
Seules les personnes qui en ont besoin pour faire fonctionner le service (maintenance, support) peuvent accéder aux données, dans la limite de leur mission. Les données d’un client ne sont pas visibles par les autres clients.
6. Une trace des accès
Nous journalisons les accès et les actions sensibles (connexion, signature, envoi d’une déclaration). Ces journaux servent à détecter les anomalies et à enquêter en cas d’incident. Le journal d’audit (connexions, actions sensibles) est conservé 12 mois ; les journaux d’accès du serveur web et les journaux applicatifs le sont 30 jours au plus.
7. Des paiements qui ne passent pas par nos serveurs
Les paiements sont traités par Stripe. Nous ne voyons ni ne stockons les numéros de carte bancaire.
8. Ce que nous ne faisons pas
- Nous ne stockons pas de numéros de carte bancaire.
- Nous ne vendons ni ne louons vos données, et n’utilisons pas vos factures pour de la publicité.
- Nous ne revendiquons aucune certification (par exemple ISO 27001) à ce jour [à adapter].
- Nous ne pouvons pas garantir un risque zéro : aucun système n’en est exempt. C’est pourquoi nous limitons les données collectées, les chiffrons et surveillons les accès.
9. Que faire de votre côté
- Utilisez une messagerie protégée (mot de passe fort, double authentification).
- Ne transférez pas vos liens de connexion et déconnectez-vous d’un poste partagé.
- Vérifiez l’adresse du site (vigicreance.fr) avant de cliquer ; nous ne vous demanderons jamais votre numéro de carte par courriel.
- Informez-nous sans délai si vous pensez que votre accès est compromis.
10. Signaler une vulnérabilité
Si vous pensez avoir découvert une faille, écrivez-nous à support@vigicreance.fr (chiffrement possible sur demande). Merci de nous donner assez d’informations pour reproduire le problème, de ne pas accéder à des données qui ne sont pas les vôtres au-delà de ce qui est nécessaire pour démontrer la faille, et de nous laisser un délai raisonnable pour corriger avant toute divulgation publique.
De notre côté, nous accusons réception sous un délai raisonnable, vous tenons informé de l’avancement et n’engagerons pas de poursuites à l’encontre d’une personne agissant de bonne foi dans ce cadre, sous réserve du respect de la loi. Nous publions une page security.txt à l’adresse /.well-known/security.txt indiquant ce contact.
11. Incidents
En cas de violation de données, nous prévenons la CNIL dans les 72 heures lorsque la loi l’exige et informons sans retard les clients concernés (voir la politique de confidentialité et l’accord de sous-traitance).