Comment nous protégeons vos données : hébergement, cloisonnement, sauvegardes et tests d’intrusion

Un logiciel de facturation contient ce que votre activité a de plus sensible : qui sont vos clients, ce que vous leur facturez, ce que vous encaissez, et votre signature. Nous préférons expliquer ce que nous faisons plutôt que vous demander de nous croire. Voici les choix, et pourquoi, dans l’ordre où un auto-entrepreneur nous pose la question : qui peut voir mes données, où sont-elles, que se passe-t-il si vous disparaissez. La version courte est sur la page Sécurité et données.

Chaque espace est cloisonné, à la racine

Chaque auto-entrepreneur a un espace de travail. Toute donnée (client, document, paiement, dépense, produit, membre d’équipe) lui appartient et porte son identifiant. Le cloisonnement n’est pas une vérification ajoutée page par page, qu’un développeur pourrait oublier sur une nouvelle fonction : il est appliqué au niveau de l’accès aux données, de sorte qu’une requête ne peut tout simplement pas voir un autre espace. Nous testons ce point à chaque livraison, en tentant depuis un compte d’accéder aux données d’un autre par chaque route de l’application. Un test qui échoue bloque la mise en production.

Les rôles dans un espace

Vous pouvez inviter un collaborateur ou donner à votre comptable un accès en lecture. Le propriétaire reste le seul à pouvoir gérer l’abonnement, l’équipe et les données sensibles ; un accès en lecture ne peut rien modifier ni exporter. Les invitations passent par un lien à usage unique, à durée limitée.

Ce qui est chiffré

Tout transite en HTTPS, sans exception. Les mots de passe sont hachés avec un algorithme lent, jamais stockés en clair : nous ne pouvons pas les lire, et personne ne vous les demandera. Les liens de partage de documents et les invitations utilisent des jetons longs et aléatoires dont seule l’empreinte est conservée : même en lisant la base, on ne peut pas les reconstituer. Les données de carte bancaire de votre abonnement ne passent pas par nos serveurs ; elles vont directement à la passerelle de paiement (YouCan Pay), qui nous renvoie seulement la confirmation.

Hébergement et sauvegardes

Les serveurs sont hébergés chez des hébergeurs établis, avec sauvegardes quotidiennes conservées plusieurs semaines, testées en restauration. Les fichiers que vous déposez (logo, signature, justificatifs) sont stockés hors de l’espace public du serveur et servis uniquement à un utilisateur autorisé de votre espace. Vous pouvez, à tout moment, exporter vos clients, factures, encaissements et dépenses en CSV : vos données ne sont pas prisonnières, et une copie chez vous est toujours une bonne idée, comme le rappelle la routine du vendredi.

Ce que nous ne faisons pas

• Nous ne vendons ni ne partageons vos données. Pas de publicité, pas de « partenaires », pas de revente de fichiers clients.
• Nous ne lisons pas vos factures. L’équipe accède aux données d’un espace uniquement sur votre demande de support, et chaque accès est journalisé.
• Nous n’avons pas accès à vos mots de passe et ne vous les demanderons jamais, ni par email, ni par téléphone.
• Nous n’affichons pas de détail technique en cas d’erreur ; les messages d’erreur en production ne révèlent rien de la base.
• Nous ne posons pas de cookies publicitaires ni de traceurs tiers ; les seuls cookies servent à la session, à la protection des formulaires et à la langue.

Tests d’intrusion avant chaque mise en production

Avant de livrer une version, nous passons l’application au crible : isolation entre espaces, droits par rôle, injection dans les PDF et les exports, limites de débit sur les routes publiques (connexion, inscription, réinitialisation de mot de passe), vérification des fichiers déposés (un fichier déguisé en image est refusé), signatures des webhooks de paiement, dépendances vulnérables. Les points trouvés sont corrigés et couverts par un test automatique, pour qu’ils ne reviennent pas. Les versions de l’application et de ses dépendances sont mises à jour régulièrement.

Ce qui se passe si vous partez, ou si nous disparaissons

Si vous arrêtez votre abonnement, votre espace est mis en pause : vous pouvez toujours vous connecter, lire et exporter, rien n’est supprimé sans votre demande. Si vous demandez la suppression, elle est effective et les sauvegardes expirent à leur tour. Et si SoloGestion devait cesser son activité, vous seriez prévenu à l’avance avec un délai pour exporter l’ensemble de vos données : c’est écrit dans nos conditions d’utilisation, pas seulement ici.

Et vous, trois gestes simples

1. 1Un mot de passe long, différent de vos autres comptes. Une phrase que vous seul connaissez vaut mieux qu’un mot avec un chiffre.
2. 2Confirmez votre adresse email dès l’inscription : c’est elle qui permet de récupérer votre compte.
3. 3Exportez vos données une fois par trimestre et gardez l’archive avec vos déclarations.