Sécurité & conformité

• Application : Vercel (CDN edge global, fonctions exécutées à Dublin, Irlande)
• Base de données : Supabase (PostgreSQL managé, hébergement UE, Irlande)
• Stockage fichiers : Vercel Blob (UE, Francfort), bordereaux PDF et photos d'intervention
• Backups : quotidiens automatiques (Supabase Pro PITR, Point-in-Time Recovery sur 7 jours)
• Supervision technique : Sentry, région européenne (Allemagne)
• Vos données métier restent en UE. Clients, interventions, bordereaux, factures et photos sont hébergés et traités dans l'Union européenne.
• Deux sous-traitants relèvent du droit américain, encadrés par les clauses contractuelles types de la Commission européenne : Stripe, qui ne reçoit que les données de facturation de votre abonnement AssainPro et aucune donnée de vos clients, et Resend, qui achemine les e-mails que vous envoyez (rappels, devis, factures) et en voit donc le destinataire et le contenu. Le détail figure dans notre politique de confidentialité.

• HTTPS/TLS partout, certificats automatiques renouvelés
• Mots de passe : hashés via bcrypt (jamais stockés en clair)
• Sessions : NextAuth + JWT (durée 30 jours), refresh JWT toutes les 5 min côté serveur pour rafraîchir rôle, statut d'abonnement et permissions sans déconnecter l'utilisateur
• Encryption at rest sur la base de données (Supabase managé)
• Multi-tenant strict : chaque organisation est isolée par identifiant, vérifié à chaque requête API

• Vous restez propriétaire de vos données. Aucune cession à des tiers, aucune revente, aucun usage publicitaire.
• Soft-delete sur les clients : suppression réversible pendant la période active, hard-delete sur demande RGPD.
• Droits RGPD : accès, rectification, suppression, portabilité, opposition. Exercés sur demande à gabtniamor12@gmail.com.
• Accord de sous-traitance (DPA, article 28 du RGPD) : conclu à votre demande, pour les groupes et les entreprises soumises à une conformité interne.
• Export complet de vos données à tout moment (clients, interventions, factures, FEC).

Au-delà de la protection technique de vos données, nous protégeons aussi votre identité en tant que client AssainPro :

• Aucune diffusion d'identité ou de coordonnées de nos clients à des tiers (prospects, presse, partenaires, agences) sans leur accord écrit explicite.
• Témoignages anonymisés par défaut (initiale + département + métier uniquement). Vous n'êtes cité nominativement que si vous le décidez explicitement.
• Pas d'échange de listes clients entre prospects ou concurrents. Si un prospect demande à parler à un de nos clients, nous transmettons sa demande au client concerné : c'est le client qui décide de répondre ou non, jamais nous.
• Cette règle vous protège vous : aucun futur prospect ne saura que vous utilisez AssainPro, sauf si vous le décidez vous-même.

• Factur-X EN16931 : factures hybrides PDF/A-3 + XML, au format exigé par la réforme de la facturation électronique. Pour les PME et TPE, l'obligation d'émettre au format électronique s'applique au 1^er septembre 2027. AssainPro produit ce format ; ce n'est pas une plateforme agréée, et le raccordement à une telle plateforme n'est pas couvert.
• Bordereau SPANC : conforme arrêté 7 septembre 2009, mentions obligatoires (vidangeur agréé, type de fosse, volume, lieu de traitement).
• Export FEC : Fichier des Écritures Comptables conforme article A47 A-1 du Livre des Procédures Fiscales, directement exploitable par votre comptable ou en cas de contrôle fiscal.
• Agrément préfectoral : suivi de la date d'expiration, blocage automatique si périmé pour éviter la non-conformité.
• Registre légal 10 ans : tous vos bordereaux sont conservés et exportables conformément aux obligations.
• Signature client sur tablette : capture du tracé manuscrit sur Canvas HTML5, archivage sur le bordereau et la facture. Suffisant pour la traçabilité métier vidange (équivalent papier signé). Pour une signature électronique qualifiée eIDAS, intégration Yousign possible sur demande Enterprise.

• Sentry : monitoring temps réel des erreurs côté serveur et client, alertes immédiates en cas d'incident.
• Horodatage des actions sensibles : création / modification d'intervention, factures, signatures (champs createdAt / updatedAt sur chaque enregistrement). Journal d'audit complet sur la roadmap 2026.
• Support FR réactif : un interlocuteur direct, réponse sous 4h ouvrées, escalade technique transparente en cas de problème.

Plutôt que d'afficher des certifications qu'on n'a pas, voici la liste honnête :

• •ISO 27001 : non certifié actuellement. Engagement à initier la démarche en 2027 quand notre base de clients corporate le justifiera.
• •SOC 2 : non applicable (référentiel américain). Nos contrôles équivalents sont décrits ci-dessus.
• •HDS (Hébergeur Données Santé) : non applicable au métier vidange (pas de données de santé).