Sécurité et protection des données
Dernière mise à jour : 2 octobre 2026
Comment Piaflo protège les données des marchands et de leurs clients. Questions ou signalement de vulnérabilité : [email protected].
Hébergement
- L'application, la base de données, les médias et les sauvegardes sont hébergés par Hetzner Online GmbH en Allemagne (UE).
- Le service fonctionne dans des conteneurs isolés derrière un proxy inverse ; seuls HTTPS (443) et SSH avec authentification par clé sont exposés.
- Le trafic passe par Cloudflare pour le DNS, le TLS et la protection réseau.
Chiffrement
- En transit : TLS partout (boutique, administration, webhooks, API). Les webhooks de Shopify et de Zernio sont vérifiés par des signatures HMAC-SHA256.
- Au repos : les champs personnels (noms, numéros de téléphone, adresses e-mail, preuves de consentement), le contenu et les données des messages, les contextes des flows et les événements webhook bruts sont chiffrés en base de données avec AES-256-GCM. Les numéros de téléphone et les e-mails utilisent un chiffrement déterministe, ce qui permet de les rapprocher sans les stocker en clair. Les médias reçus des clients sont chiffrés sur disque.
- Sauvegardes : les instantanés quotidiens de la base de données sont compressés et chiffrés avec AES-256-GCM avant d'être écrits sur un volume de sauvegarde séparé, avec une copie hors site optionnelle. Aucune sauvegarde n'est jamais écrite en clair.
- Les clés de chiffrement sont stockées uniquement dans la configuration de l'environnement de production, jamais dans le code source ni dans le dépôt.
Prévention des pertes de données
- Sauvegardes chiffrées quotidiennes, conservées 14 jours, avec une procédure de restauration documentée et testée.
- Instantanés cohérents (
VACUUM INTO) réalisés sans interruption de service. - Base de données en mode journal d'écriture anticipée (WAL) ; migrations de base de données appliquées automatiquement et relues avant chaque mise en production.
- Des durées de conservation limitées et des purges automatiques ne conservent que les données nécessaires (voir la Politique de confidentialité).
- Les messages sortants utilisent des clés d'idempotence : une défaillance n'envoie jamais un message en double.
Séparation des environnements
Le développement et les tests utilisent des bases de données distinctes, avec des données synthétiques et un faux transport WhatsApp. Les données de production ne sont jamais copiées sur les machines de développement.
Contrôle d'accès
- Seul l'ingénieur fondateur a accès à la production (clé SSH protégée par une phrase secrète, authentification à deux facteurs sur les comptes Shopify, GitHub, Meta et d'hébergement).
- Mots de passe du personnel : 14 caractères minimum, uniques pour chaque service, stockés dans un gestionnaire de mots de passe, avec authentification à deux facteurs partout où elle est disponible.
- Dans l'app, chaque consultation de contacts et de conversations par le personnel du marchand est enregistrée dans un journal d'accès (qui, quoi, quand), conservé 12 mois. Les accès d'administration à la production sont consignés dans un registre des accès.
- Le personnel du marchand s'authentifie via Shopify (jetons de session) ; l'app ne manipule jamais les mots de passe des marchands.
Sécurité applicative
- Webhooks signés et vérifiés, contrôle des plans côté serveur, aucun secret côté client.
- Dépendances tenues à jour ; vérification des types, linting et tests automatisés exécutés avant chaque mise en production.
- Les messages des clients sont traités comme des entrées non fiables (échappés dans l'interface, jamais exécutés).
Réponse aux incidents
Nous suivons une politique écrite de réponse aux incidents : détection, confinement, évaluation, notification des marchands concernés dans les meilleurs délais et au plus tard 48 heures après la confirmation d'une violation de données personnelles (afin que les marchands puissent respecter leur obligation de 72 heures prévue par le RGPD), remédiation et analyse après incident.
Conformité
- Les webhooks de confidentialité obligatoires de Shopify (
customers/data_request,customers/redact,shop/redact) sont implémentés et testés. - Le consentement marketing WhatsApp est enregistré dans le champ de consentement natif de Shopify, et Piaflo conserve la preuve du consentement ; le STOP est appliqué immédiatement.
- Un accord de traitement des données fait partie de nos Conditions : voir le DPA.
Politique de réponse aux incidents de sécurité
S'applique à tout événement susceptible de compromettre la confidentialité, l'intégrité ou la disponibilité des données traitées par Piaflo (données des marchands, données personnelles des clients, accès aux comptes WhatsApp). Responsable : le responsable sécurité de Piaflo ([email protected]).
1. Détection et signalement
- Sources : alertes d'erreurs et d'anomalies (signatures de webhook invalides, schémas d'accès inhabituels, anomalies de la file d'envoi), avis de Shopify, Meta, Zernio ou Hetzner, signalements de marchands ou de chercheurs à [email protected].
- Toute personne qui soupçonne un incident le signale immédiatement ; chaque signalement est consigné avec l'heure, la source et une description.
2. Tri (sous 4 heures)
Classer la gravité :
- Critique : accès avéré ou probable à des données personnelles par un tiers non autorisé, fuite d'identifiants ou de clés de chiffrement, compromission de l'envoi WhatsApp.
- Élevée : vulnérabilité exploitable pour accéder à des données personnelles, interruption prolongée de l'envoi des messages.
- Faible : autres événements de sécurité sans exposition de données.
3. Confinement
Selon le cas : renouveler les secrets exposés (secret d'API Shopify, clé Zernio, secrets des webhooks, clé de chiffrement), révoquer les jetons, activer l'arrêt d'urgence global des envois, bloquer les adresses IP en cause, mettre hors ligne les services touchés, préserver les journaux et les preuves.
4. Évaluation
Déterminer les données, les boutiques et les clients concernés, la période, la cause première et le risque pour les personnes. S'appuyer sur le journal d'accès, les journaux serveur et les sauvegardes.
5. Notification
- Les marchands (responsables de traitement) concernés par une violation de données personnelles sont notifiés dans les meilleurs délais et au plus tard 48 heures après la confirmation, avec : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises et proposées, et un point de contact, afin qu'ils puissent notifier leur autorité dans les 72 heures (article 33 du RGPD) et les personnes concernées si nécessaire (article 34).
- Shopify est notifié conformément au Shopify Partner Program Agreement et aux API Terms ; Meta et Zernio lorsque des actifs WhatsApp sont en jeu.
- Les autorités sont notifiées directement lorsque Piaflo agit en tant que responsable de traitement (données du personnel des marchands).
6. Rétablissement
Corriger la cause première, restaurer depuis les sauvegardes chiffrées si nécessaire (procédure dans scripts/restore-backup.ts), vérifier l'intégrité, surveiller de près pendant 30 jours.
7. Analyse après incident
Sous 10 jours ouvrés : chronologie écrite, cause première, impact, ce qui a fonctionné, actions correctives avec responsables et échéances. La politique est mise à jour en conséquence.
8. Révision
Cette politique est revue au moins une fois par an et après chaque incident critique.