BordolyCompagnon opérationnel
+33 6 63 33 23 27Essayer gratuitement
Sécurité & conformité

La sécurité, par défaut. Pas en option.

Hébergement UE, Google SSO (SAML 2.0 sur la roadmap), audit trail exportable et engagements opérationnels écrits dans l'annexe technique du contrat. Aucune option payante pour atteindre la baseline attendue par votre DSI.

Voir les engagements Entreprise

DPA, fiche d'hébergement et questionnaire sécurité partageables sous 48 h ouvrées.

Hébergement dans l'Union européenneTLS 1.3 · AES-256 au reposSSO SAML 2.0 (Okta · Azure AD · Google), sur la roadmapAudit trail JSON / CSV exportableSauvegardes quotidiennes chiffrées · verrouillage 30 joursEngagements opérationnels écrits (annexe contrat)
Trois piliers

Une posture de sécurité tenable, pas un argumentaire.

Les éléments ci-dessous sont publiés tels qu'ils figurent dans le contrat. Si un point manque pour votre référencement fournisseur, dites-le nous et nous documentons la réponse plutôt que de promettre.

Hébergement & disposition

Vos données sont hébergées dans l'Union européenne : application et base de données sur VPS Hostinger (actuellement Allemagne, Düsseldorf), photos, signatures et sauvegardes sur AWS Paris (France, eu-west-3). Aucun transfert hors Union européenne pour ces données ; les deux sous-traitants ultérieurs situés aux États-Unis (paiement, email transactionnel) sont encadrés par des Clauses Contractuelles Types et listés sur la page Confidentialité. Le chiffrement TLS 1.3 protège les flux et l'AES-256 le stockage. Les sauvegardes sont quotidiennes et exportables à tout moment au format JSON/CSV. Le plan Entreprise documente un RPO de 4h et une cible de restauration sous 8h ouvrées, formalisée dans l'annexe technique du contrat.

  • Hébergement dans l'Union européenne (application, base, photos et signatures)
  • TLS 1.3 en transit · AES-256 au repos
  • Sauvegardes quotidiennes · export JSON/CSV à la demande

Identité & accès

Aujourd'hui : Google SSO disponible. SSO SAML 2.0 (Okta, Azure AD, Google Workspace) sur la roadmap. Scope cadré au diagnostic Entreprise. L'app technicien et l'app chauffeur s'authentifient par PIN avec rate-limit, TTL et stockage chiffré (Keychain / Keystore). Les portails externes s'appuient sur l'authentification réelle de chaque partie : le transporteur se connecte par OAuth TrackDéchets, le client par e-mail et code à usage unique, limité en tentatives. Les rôles (admin, opérateur, technicien, chauffeur, lecture seule) appliquent une RBAC stricte, vérifiée à chaque appel API.

  • Google SSO disponible · SAML 2.0 + SCIM sur la roadmap
  • App mobile : PIN + rate-limit + SecureStore
  • RBAC par rôle · vérifiée à chaque endpoint

Audit & traçabilité

Chaque action sensible (création, signature, refus, export, modification de configuration) est journalisée avec horodatage, utilisateur, périmètre et identifiant de requête. Le journal est append-only en base (trigger PostgreSQL bloquant UPDATE/DELETE) et exportable en JSON ou CSV pour un audit interne, un contrôle DREAL ou une demande de votre commissaire aux comptes. Conservation 10 ans (durée comptable de référence, L. 123-22 c. com.).

  • Journal qui · quoi · quand · depuis où
  • Append-only en base · conservation 10 ans · export JSON / CSV
  • requestId présent sur chaque erreur API
Engagements publiés (extrait)
  • Hébergement UE. Application et base de données dans l'Union européenne · photos, signatures et sauvegardes en France (AWS Paris) · sous-traitants hors UE encadrés par CCT · DPA disponible sur demande.
  • RGPD & confidentialité. DPO (délégué à la protection des données) dédié, registre des traitements à jour, DPA signable en 48h.
  • SSO & SCIM (Google dispo · SAML roadmap). SSO SAML 2.0 (Okta, Azure AD, Google) + SCIM est sur la roadmap, cadré au diagnostic Entreprise. Aujourd'hui : Google SSO disponible.
  • Audit trail. Traçabilité complète (qui, quoi, quand, depuis où) exportable JSON/CSV pour audit interne ou DREAL.
  • Chiffrement. TLS 1.3 en transit, AES-256 au repos. Fichiers servis par URL signées à durée limitée, jamais publics.
  • Engagements opérationnels. Notification incident P1 sous 1h ouvrée (lun-ven 9h-18h CET), sauvegarde quotidienne (RPO 24h), post-mortem écrit sous 5 j ouvrés (systématique sous 3 j ouvrés en Entreprise). Liste complète sur demande.
Architecture & contrôles fournisseur

Pour le passage en référencement DSI.

Section technique scannable. Une ligne = un contrôle. Tout est partageable sous NDA dans le cadre d'un avant-contrat.

Hébergement & localisation

Région
Union européenne
Hébergeur principal
Hostinger (serveurs et base de données, Union européenne) · AWS (stockage objet S3 et sauvegardes, France — Paris, eu-west-3)
Transferts hors UE
Aucun pour les données que nous hébergeons : application, base, photos, signatures, sauvegardes · CCT pour Stripe et Resend

Chiffrement

En transit
TLS 1.3 (min. TLS 1.2 imposé) · HSTS · cookies HttpOnly + Secure + SameSite=Lax
Au repos
AES-256, Postgres + S3 + sauvegardes
Rotation des clés API internes
Manuelle, sur incident ou changement d'équipe

Identité & accès

Aujourd'hui
TrackDéchets SSO · Google SSO · Email + PIN (mobile chauffeur)
Sur la roadmap
SAML 2.0 (Okta · Azure AD · Google Workspace) · provisioning SCIM 2.0
RBAC
Rôles fins par périmètre (admin, opérateur, technicien, chauffeur, lecture seule) · vérifiés à chaque endpoint

Audit log applicatif

Modèle
Append-only en base, trigger PostgreSQL bloquant UPDATE/DELETE depuis le 3 mai 2026
Conservation
10 ans (durée comptable de référence, L. 123-22 c. com.)
Export
JSON · CSV, disponible aux administrateurs du tenant

Sauvegarde & continuité

Sauvegardes Postgres
Quotidiennes · chiffrées avant envoi · verrouillage d'objet 30 jours · test de restauration périodique
Stockage S3
Accès privé, URL signées à durée limitée · sauvegardes verrouillées 30 jours
Engagements RPO / RTO
RPO 24h (sauvegarde quotidienne), tous plans. RTO < 24h. Entreprise : restauration cible < 8h ouvrées (annexe contrat).

Sous-traitants (RGPD art. 28)

Hébergement
Hostinger (Union européenne) : serveurs et base de données · AWS (France, Paris) : stockage objet S3 et sauvegardes
Paiement
Stripe Payments Europe Ltd (IE) : facturation, abonnements
Email transactionnel
Resend Inc. (US) : codes PIN, factures, invitations · CCT UE
Observabilité
Sentry, région UE (Francfort) : erreurs applicatives · scrubbing PII serveur · CCT UE avec l'entité américaine
Détail contractuel
DPA (article 28) téléchargeable · liste exhaustive des sous-traitants ultérieurs en annexe

Tests & audits externes

Scan de dépendances
En continu · CI bloquante sur CVE critique
Tests de pénétration
Audit externe prévu 2026 H2, rapport synthétique partageable sous NDA
Questionnaires sécurité
Réponses sous 48h ouvrées (CAIQ ou modèle interne) · NDA réciproque
Document fournisseur sur demande

DPA RGPD article 28, fiche d'hébergement, questionnaire sécurité (CAIQ ou équivalent), résumé continuité d'activité, partagés sous 48 h ouvrées avec NDA réciproque.

SLA & engagements

Ce qui est contractuel, ce qui ne l'est pas.

Aucun SLA contractuel sur les plans SaaS (Starter / Pro / Business) : best-effort documenté. SLA Entreprise (99,9 % uptime mensuel) figure dans l'annexe technique du contrat annuel.

CritèreSaaS · Starter / Pro / BusinessEntreprise · contrat annuel
Niveau d'engagementBest-effort · pas de SLA contractuel uptimeSLA contractuel : 99,9 % uptime mensuel
Notification incident P1< 1h ouvrée (lun-ven · 9h-18h CET)< 30 min ouvrées (lun-ven · 8h-20h CET) + Slack channel dédié
RPO / RTORPO 24h · RTO < 24hRPO 24h · RTO < 8h ouvrées
Post-mortem écrit P1Sur demande · sous 5 j ouvrésSystématique · sous 3 j ouvrés
GTI (garantie temps d'intervention)Non contractuelleSelon contrat (cadrée en avant-vente Entreprise)
Données & conformité réglementaire

Le cadre réglementaire, traduit en obligations contractuelles.

Bordoly agit comme sous-traitant au sens du RGPD. Les obligations propres au producteur et au transporteur ICPE restent les vôtres ; le produit en outille la tenue.

Code de l'environnement · art. R. 541-78

Les manquements à la traçabilité (BSD non émis, informations incorrectes) exposent l'exploitant à des contraventions au titre de l'article R. 541-78, sans préjudice des peines de l'article L. 541-46. Le produit aide à documenter le registre chronologique des déchets et à exporter le registre attendu par la DREAL.

Code de l'environnement · art. L. 541-46

Les sanctions peuvent aller jusqu'à plusieurs années d'emprisonnement et plusieurs dizaines à plusieurs centaines de milliers d'euros d'amende selon la qualification des faits, l'article applicable et la situation. À cadrer au cas par cas avec votre conseil juridique. Les preuves terrain horodatées et géolocalisées sont attachées au BSD.

Archivage : BSD 5 ans · audit log 10 ans

BSD, registres et preuves terrain conservés 5 ans (R. 541-45 c. env.). Audit log applicatif et factures conservés 10 ans (L. 123-22 c. com.). Détail complet par catégorie sur la page Conformité.

RGPD · art. 28 (sous-traitant)

Bordoly agit comme sous-traitant au sens de l'article 28 du RGPD. DPO désigné, registre des traitements à jour, base légale documentée pour chaque finalité. DPA téléchargeable depuis la page DPA.

DPA & questionnaire sécurité sur demande

Notre DPA standard (RGPD article 28) est consultable en ligne et partageable au format PDF sous 48 heures ouvrées dans le cadre d'un avant-contrat. Nous répondons aux questionnaires sécurité fournisseurs (CAIQ ou modèles internes) avec un NDA réciproque. La fiche d'hébergement détaillant la localisation des données et les sous-traitants est jointe.

Surface technique

Ce qui tourne sous le capot.

Liste factuelle, pas un argumentaire fournisseur. Nous ne mentionnons que ce qui est effectivement câblé en production.

  • TLS 1.2+ obligatoire sur tous les endpoints publics
  • Secrets injectés via variables d'environnement · pas de credentials en repo
  • Surveillance applicative et erreurs via Sentry (apps web, API, mobile)
  • Scan de dépendances en continu · CI bloquante en cas de CVE critique
  • Migrations de base versionnées (drizzle-kit) · revues avant déploiement
  • Sauvegardes Postgres quotidiennes · point de récupération vérifié
  • Pagination obligatoire sur les listes · pas de N+1 en API
  • Erreurs normalisées avec requestId pour rendre le support traçable
    • FAQ sécurité

    Les questions que votre DSI va poser.

    Réponses orientées référencement fournisseur et passage en comité sécurité.

    Dans l'Union européenne. L'application et la base de données sont sur un serveur Hostinger, actuellement en Allemagne (Düsseldorf) ; les photos, les signatures et les sauvegardes sont stockées en France, sur AWS Paris (eu-west-3). Bordoly ne traite aucune donnée de santé à caractère personnel : un BSDASRI décrit un déchet produit par un établissement de soins, pas l'état de santé d'une personne, donc l'agrément HDS n'est pas requis pour cet usage et nous ne le revendiquons pas. Deux sous-traitants techniques (paiement, email transactionnel) sont situés aux États-Unis et encadrés par des Clauses Contractuelles Types — la liste complète figure sur la page Confidentialité. Le DPA et la fiche d'hébergement sont disponibles sur demande dans le cadre d'un avant-contrat.
    Google SSO est disponible aujourd'hui. SSO SAML 2.0 (Okta, Azure AD, Google Workspace) et provisioning SCIM 2.0 sont sur la roadmap, scope cadré au diagnostic Entreprise.
    Oui. Notre DPA standard est partageable sous 48 heures ouvrées. Nous répondons aux questionnaires sécurité (modèle CAIQ ou équivalent interne) sur demande, avec accord de confidentialité réciproque.
    Tous les plans permettent l'export à tout moment des BSDs, du registre, des preuves terrain et du journal d'audit, en JSON et en CSV. À la résiliation, un export complet vous est livré et les données sont supprimées dans les délais contractuels (typiquement 30 jours).
    Strictement les utilisateurs habilités via la RBAC : admins de votre tenant, opérateurs sur leur périmètre, et le transporteur ou l'exutoire concerné par le BSD via un portail dédié : le transporteur s'y authentifie par OAuth TrackDéchets, le client par e-mail et code à usage unique.
    En Entreprise : notification sous 30 minutes ouvrées (8h-20h CET, lun-ven) par email et Slack channel dédié, première réponse sous 1 heure ouvrée, mise à jour de statut toutes les heures, post-mortem écrit systématique sous 3 jours ouvrés. La page de statut publique reste alimentée. Détail complet dans la matrice ci-dessus.
    Cadrage sécurité

    Préparons un cadrage sécurité 30 min.

    Un appel technique avec un référent, pas un commercial. On parcourt ensemble la matrice d'engagements, le DPA, votre questionnaire fournisseur et le périmètre des données. Note de cadrage envoyée sous 5 jours ouvrés.

    Voir les plans Entreprise