Sécurité et confiance

Dernière mise à jour : septembre 2026

Vos données de flotte et de RH sont sensibles : identité des salariés, documents personnels, notes de frais, permis de conduire. Cette page décrit ce qui les protège techniquement, en toute transparence — pas une promesse marketing, ce qui tourne réellement en production aujourd'hui.

Authentification et accès

La double authentification (TOTP, via une application comme Google Authenticator ou Authy) est disponible pour tous les comptes, quel que soit le palier tarifaire. Elle est vérifiée à chaque connexion pour les comptes qui l'ont activée — pas seulement à l'écran de connexion, mais directement au niveau des règles d'accès à la base de données : un compte n'ayant pas complété le second facteur ne peut pas accéder aux données, y compris via un appel direct à l'API en dehors de l'interface.

Chaque entreprise cliente est isolée des autres au niveau de la base de données elle-même (row-level security), pas seulement par un filtre applicatif : un compte gestionnaire ne peut techniquement pas lire ou modifier les données d'une autre entreprise, même en cas d'erreur ou de contournement de l'interface. À l'intérieur d'une même entreprise, les droits sont distincts entre gestionnaire et conducteur/salarié, avec un accès coupé automatiquement un mois après un départ déclaré.

Hébergement et infrastructure

La base de données et l'authentification des utilisateurs sont hébergées par Supabase, dans l'Union européenne. Le site et l'application sont servis par Vercel. Tous les échanges entre votre navigateur et nos serveurs sont chiffrés en HTTPS/TLS ; aucune donnée ne transite en clair.

Les mots de passe ne sont jamais stockés en clair (hachage géré par notre fournisseur d'authentification) et les paiements sont traités par Stripe : nous ne stockons à aucun moment de numéro de carte bancaire sur nos propres serveurs.

Traçabilité et RGPD

Les actions sensibles (validation d'une note de frais, refus d'un congé, réaffectation d'un véhicule, etc.) sont journalisées dans une piste d'audit consultable par l'équipe support. Après le départ d'un salarié, son accès au service est coupé automatiquement au bout d'un mois ; un responsable habilité de l'entreprise cliente peut ensuite déclencher une purge RGPD complète depuis l'espace administrateur, qui supprime les données personnelles du conducteur concerné en ne conservant que ce que la loi impose (pièces comptables : 10 ans ; infractions et désignations de conducteur : durée légale applicable). Cette purge n'est pas automatique : elle reste sous le contrôle de votre entreprise.

Vous pouvez à tout moment demander l'export de vos données ou exercer vos autres droits RGPD (accès, rectification, effacement, portabilité) — voir notre politique de confidentialité complète pour le détail des durées de conservation et des modalités.

Sous-traitants techniques

Conformément à l'article 28 du RGPD, voici les prestataires qui interviennent techniquement dans le fonctionnement du service :

Vercel Inc. (États-Unis) — hébergement du site et de l'application.
Supabase (Union européenne) — hébergement de la base de données et de l'authentification des utilisateurs.
Stripe (Irlande / États-Unis) — traitement des paiements et de la facturation de l'abonnement.
Yousign (France) — signature électronique des attestations de prêt de véhicule, lorsque cette fonctionnalité est utilisée.
Google Ireland Limited (API Gemini) (Union européenne / États-Unis) — lecture automatique (OCR) des photos de tickets et justificatifs, et fonctionnement de l'assistant conversationnel, lorsque ces fonctionnalités sont utilisées.

Aucune donnée personnelle n'est vendue ni cédée à des tiers à des fins commerciales.

Transparence sur nos pratiques

Nos tarifs sont publics (voir la page Tarifs), sans "frais de gestion" cachés. Notre politique de confidentialité, nos conditions d'utilisation et nos conditions de vente le sont également. Nous préférons documenter précisément ce qui existe plutôt que de promettre plus que ce qui est réellement construit.

Signaler une vulnérabilité

Si vous pensez avoir identifié une faille de sécurité, merci de nous la signaler de façon responsable à contact@creneauct.fr avant toute divulgation publique. Nous nous engageons à accuser réception rapidement et à vous tenir informé du traitement.