CHIFFREMENT
PASSlibsodium AEAD pour les jetons
Tous les jetons d'accès Shopify et OAuth Google Merchant Center sont chiffrés au repos via libsodium AEAD (XChaCha20-Poly1305). Jamais en clair en base.
Confiance & sécurité
Sécurité, conformité et données.
Comment nous protégeons les données de vos boutiques, ce que nous stockons réellement, et notre feuille de route SOC 2.
TLS
PASSTLS partout
TLS 1.3 sur l'admin embarqué, l'API et la landing, avec HSTS activé. Certificats provisionnés par Infomaniak (Let's Encrypt automatisé).
RGPD
PASSWebhooks RGPD opérationnels jour un
customers/data_request, customers/redact et shop/redact sont implémentés et testés. Délai de purge 48 h après shop/redact pour permettre la récupération en cas d'erreur.
AUDIT
PASSJournal d'audit append-only
Chaque mutation d'état (modification de produit, push de correction, demande de réintégration) est enregistrée dans un journal append-only consultable depuis l'admin.
SOC2
WARNINGSOC 2 Type II - feuille de route
Pas encore audité, et nous ne prétendrons pas le contraire. Le chiffrement au repos, le contrôle d'accès et la journalisation d'audit en ajout seul sont en place aujourd'hui ; l'audit formel viendra lorsque notre volume en justifiera le coût. Nous publierons le rapport ici le jour où il existera.
PII
PASSAucune donnée client
Nous ne stockons aucune information personnelle des clients de votre boutique - uniquement les jetons d'accès chiffrés et les métadonnées de scan. La conformité s'applique aux données du marchand, pas aux acheteurs finaux.
Sous-traitants
Tous les services tiers que nous utilisons.
| Service | Usage | Région |
|---|---|---|
| Shopify | Plateforme de la boutique - les données marchand que nous lisons et écrivons | US + global |
| Infomaniak | Hébergement application + base de données + e-mail | Switzerland |
| Cloudflare R2 | Stockage des PDFs (Rapports de Réintégration, rapports de scan) | EU + global CDN |
| Postmark | E-mails transactionnels et newsletters | US (DPA EU+US) |
| Anthropic | Modèles IA (Sonnet, Opus) pour réécritures de flux et synthèses | US |
| Google (Merchant API, Ads API) | Intégration Merchant Center et Google Ads | US + global |
| Stripe (P2) | Paiements pour produits ponctuels (à venir) | US (DPA EU+US) |
Cette liste est mise à jour avant qu'un nouveau sous-traitant ne commence à traiter vos données.