Aperçu de la Sécurité

Sommaire

1. 1. En bref
2. 2. Où vos données sont conservées
3. 3. Chiffrement
4. 4. Séparation des données de chaque entreprise
5. 5. Protection de la connexion
6. 6. Piste d'audit et détection des altérations
7. 7. Sauvegardes et rétablissement
8. 8. Paiements et argent
9. 9. Intelligence artificielle
10. 10. L'accès de notre équipe
11. 11. Surveillance et réponse aux incidents
12. 12. Certifications
13. 13. Ce que vous pouvez faire
14. 14. Signaler une vulnérabilité

Version : 1.2 · Publié le : 16 octobre 2026 · En vigueur : à l'acceptation pour les nouveaux Espaces de travail ; pour les Espaces de travail qui ont accepté une Version antérieure, à la date indiquée par STAK dans sa notification conformément à la clause 20 des Conditions de Service du Client · Texte faisant foi : Anglais (clause 23.9 des Conditions de Service du Client)

Émis par : STAK Global, LLC, société à responsabilité limitée constituée dans l'État du Delaware, États-Unis d'Amérique (numéro de dossier 10798493), qui détient STAK (ستاك) et les Services. Contact : [email protected].

Le présent Aperçu de la Sécurité explique en langage clair comment nous protégeons les données de votre entreprise et en conservons des copies, dans l'état des choses à la Date d'Entrée en Vigueur de la présente Version. Nous le mettons à jour lorsque cela change. Il est fourni à titre d'information uniquement. Nos engagements contractuels figurent dans l'Accord de Traitement des Données. Les expressions définies dans les Conditions de Service du Client STAK ont le même sens dans le présent Aperçu de la Sécurité.

1. En bref

• Vos données sont chiffrées pendant leur transmission et pendant leur stockage dans nos systèmes.
• Les données de chaque entreprise sont séparées de toutes les autres dans la base de données elle-même.
• Nous effectuons des Sauvegardes continues et conservons des copies quotidiennes et mensuelles dans un autre pays, protégées contre une suppression anticipée.
• Nous ne stockons pas de numéros de carte, et nous ne recevons ni ne détenons jamais votre argent.
• Toute modification importante est consignée dans une piste d'audit qu'aucun Utilisateur ne peut altérer.
• Nous ne détenons actuellement ni certification ISO 27001 ni rapport SOC 2. Nous l'indiquerons ici lorsque nous les obtiendrons.

2. Où vos données sont conservées

2.1 Les Services fonctionnent sur l'infrastructure en nuage d'Amazon Web Services dans la région de Francfort, en République fédérale d'Allemagne. Les Sauvegardes sont copiées vers une région distincte d'Amazon Web Services en République d'Irlande. Cette séparation permet de conserver une copie de vos données même si toute la région d'hébergement principale tombe en panne.

2.2 Nous pourrons à l'avenir déplacer l'hébergement vers une autre région. Nous vous en informerons au moins 30 jours à l'avance. L'exploitation temporaire des Services à partir des Sauvegardes en République d'Irlande après la perte de la région d'hébergement principale n'est pas un déplacement, et nous vous en informerons sans délai.

2.3 STAK est fourni par STAK Global, LLC, société constituée aux États-Unis d'Amérique. Notre fournisseur d'hébergement et certains de nos prestataires de services sont également soumis au droit des États-Unis. Nous protégeons vos données contre tout accès illicite par un gouvernement quel qu'il soit, comme le prévoit la clause 13 de l'Accord de Traitement des Données : nous ne divulguons des données que sur demande contraignante, nous vous en informons sauf si la loi l'interdit, nous limitons la divulgation au minimum et nous contestons les demandes que nous estimons raisonnablement illicites. Vos données sont chiffrées pendant leur stockage et pendant leur transmission.

3. Chiffrement

3.1 Toute connexion aux Services est chiffrée avec TLS version 1.2 ou ultérieure, et l'application vérifie l'identité du serveur de base de données à chaque connexion.

3.2 Les bases de données, les disques, les fichiers, les Sauvegardes et le coffre de secrets sont chiffrés au repos avec AES-256, au moyen de clés gérées par le service de gestion de clés d'Amazon ou par le fournisseur d'hébergement.

3.3 Les dossiers de vos employés et les dossiers cliniques sont en outre chiffrés au sein de l'application avec des clés distinctes, et les clés de connexion aux Prestataires de Services de Paiement et aux autres prestataires sont conservées dans un coffre de secrets distinct chiffré avec une clé distincte.

4. Séparation des données de chaque entreprise

4.1 Chaque enregistrement des données d'une entreprise dans la base de données porte l'identifiant de l'Entreprise à laquelle il appartient. La base de données applique elle-même des règles de sécurité au niveau des lignes qui empêchent l'application de lire ou d'écrire les enregistrements d'une autre Entreprise. Il s'agit d'une couche de protection indépendante, située sous les propres contrôles de l'application.

4.2 Le compte de base de données utilisé par l'application n'a pas la permission de contourner ces règles.

5. Protection de la connexion

5.1 Vous pouvez vous connecter avec :

• un code de vérification envoyé par WhatsApp à un numéro vérifié ;
• une clé d'accès (passkey), avec reconnaissance faciale ou d'empreinte digitale ;
• un compte Google, Apple ou Microsoft.

Une application d'authentification peut être utilisée comme seconde étape après la connexion. Nous n'utilisons pas de mots de passe.

5.2 Vous pouvez exiger la connexion en deux étapes pour des rôles précis, et les Propriétaires et Administrateurs sont alertés lorsque quelqu'un modifie ses méthodes de vérification. Chaque personne est alertée lorsque son propre Compte est utilisé depuis un nouvel appareil. Sur les Formules qui les incluent, vous pouvez également définir un délai d'inactivité de session, et les Propriétaires sont alertés lorsque quelqu'un se connecte depuis un nouvel appareil.

5.3 Chaque Membre du Personnel se voit attribuer un rôle et des permissions définis, et son accès peut être limité à certaines Succursales. Le personnel qui utilise des Appareils partagés emploie un numéro d'identification personnel (PIN) à six chiffres, et la connexion avec celui-ci se verrouille après cinq tentatives erronées.

6. Piste d'audit et détection des altérations

6.1 Toute modification importante est consignée dans une piste d'audit, avec l'auteur, la date, le lieu et l'adresse IP d'où elle a été faite. Aucun Utilisateur ne peut altérer ou supprimer cette piste, sauf que l'exécution d'une demande d'effacement des données d'un Client Final supprime l'identité de cette personne dans ses entrées tout en conservant ce qui a été fait, par qui et quand. La piste est supprimée avec les Données du Client à la résiliation conformément aux Conditions.

6.2 Les écritures comptables sont reliées en chaîne, ce qui révèle toute modification ultérieure, et vous pouvez vérifier leur intégrité depuis la page Sécurité.

7. Sauvegardes et rétablissement

7.1 Nous effectuons des Sauvegardes continues des bases de données, qui permettent de les restaurer à tout moment des 35 derniers jours. Nous effectuons également :

• Sauvegardes quotidiennes, conservées pendant 35 jours ;
• Sauvegardes mensuelles, conservées pendant 12 mois ;
• une Sauvegarde logique de la base de données (export de base de données) chaque nuit, conservée pendant 35 jours dans un stockage verrouillé.

7.2 Les Sauvegardes quotidiennes et mensuelles sont copiées en Irlande. La politique des coffres de sauvegarde de Francfort et d'Irlande empêche quiconque, y compris notre propre équipe, de supprimer une Sauvegarde avant la fin de sa durée de conservation ou de modifier cette durée. Les coffres sont en outre verrouillés en mode de conformité du fournisseur d'hébergement, qui est conçu pour que personne, y compris quiconque prendrait le contrôle de l'un de nos comptes auprès du fournisseur d'hébergement, ne puisse supprimer une Sauvegarde au cours de ses 35 premiers jours.

7.3 Chaque mois, nous testons la restauration de la base de données à partir des Sauvegardes. Nous visons à ne pas perdre plus de 15 minutes de données en cas de défaillance d'une base de données, ni plus de 24 heures en cas de perte de l'ensemble de la région d'hébergement, conformément aux objectifs de rétablissement de l'Accord de Niveau de Service.

7.4 Nous conservons des Sauvegardes pour rétablir le service, et non comme archive pour vous. Veuillez donc exporter régulièrement vos données depuis la page de la Formule et de la facturation ou depuis chaque Application.

8. Paiements et argent

8.1 Les Services sont conçus de sorte que les numéros de carte ne transitent pas par nos systèmes et n'y soient pas stockés : le paiement a lieu sur les pages propres aux Prestataires de Services de Paiement ou sur leurs terminaux et applications certifiés d'acceptation des cartes. Les écrans des Services ne comportent aucun champ pour les numéros de carte ou leurs codes de sécurité, et vous pouvez demander, depuis la page Sécurité, que les champs de texte soient analysés pour détecter des numéros de carte saisis par erreur.

8.2 Votre argent est réglé directement du Prestataire de Services de Paiement vers votre compte bancaire. Nous ne le recevons ni ne le détenons jamais.

8.3 La modification du compte bancaire enregistré dans STAK pour recevoir les règlements exige une étape de vérification supplémentaire et ne prend effet qu'après 48 heures. Les Propriétaires sont alertés immédiatement afin de pouvoir l'annuler.

9. Intelligence artificielle

9.1 Des données ne sont envoyées au fournisseur d'IA que lorsqu'un Utilisateur demande une Fonctionnalité d'IA, téléverse un document pour qu'elle le lise, comme un reçu, ou lorsqu'une automatisation configurée par un Utilisateur exécute une étape d'IA, et seules les données nécessaires à cette demande ou à cette étape sont envoyées.

9.2 Vos données ne sont pas utilisées pour entraîner des modèles d'intelligence artificielle. Les Fonctionnalités d'IA ne modifient un enregistrement qu'après votre confirmation expresse, ou dans le cadre d'une automatisation qu'un Utilisateur autorisé a configurée et activée.

10. L'accès de notre équipe

L'accès à l'environnement de Production est réservé à un nombre limité de membres du personnel nommément désignés et exige une authentification multifacteur, et le début de chaque session d'accès est consigné. L'accès administratif aux serveurs passe uniquement par le service de gestion de systèmes d'Amazon, sans connexion directe aux serveurs.

Nous ne consultons vos données que dans les cas suivants :

• fournir l'assistance que vous demandez ;
• exploiter, maintenir et rétablir les Services ;
• enquêter sur un Incident de Sécurité ou sur un manquement présumé à la Politique d'Utilisation Acceptable ;
• lorsque la loi l'exige.

11. Surveillance et réponse aux incidents

11.1 Nous surveillons l'infrastructure en nuage automatiquement en permanence, avec des alertes immédiates à notre équipe. Chaque action administrative sur l'infrastructure en nuage est consignée, et les menaces et les permissions excessives sont détectées automatiquement.

11.2 Si une Violation de Données à Caractère Personnel touche vos données, nous vous en informons sans retard injustifié : dans les 24 heures suivant la prise de connaissance lorsque c'est possible, et en tout état de cause dans les 48 heures. Nous vous indiquons ce qui s'est passé et ce que nous avons fait.

12. Certifications

Nous ne détenons actuellement ni certification ISO 27001 ni rapport SOC 2. Nous ne détenons pas non plus de certification PCI DSS, car les Services sont conçus de sorte que les données de carte ne transitent pas par nos systèmes : elles sont traitées sur les pages propres aux Prestataires de Services de Paiement ou sur leurs terminaux et applications certifiés. Les Prestataires de Services de Paiement que vous connectez aux Services détiennent leurs propres certifications. Nous indiquerons ici toute certification que nous obtiendrons à l'avenir.

Si vous acceptez des paiements par carte via vos pages STAK, l'acheteur est redirigé vers la propre page de votre Prestataire de Services de Paiement, ou vous utilisez ses terminaux et applications certifiés, de sorte que les pages de STAK ne collectent jamais de données de carte. Vérifiez auprès de votre Prestataire de Services de Paiement vos propres obligations au titre du PCI DSS ; une entreprise qui utilise une telle redirection remplit généralement le questionnaire d'auto-évaluation le plus court (SAQ A). STAK ne se prévaut d'aucune certification PCI DSS.

13. Ce que vous pouvez faire

• Activez la connexion en deux étapes pour les Propriétaires et les Administrateurs.
• N'accordez à chaque Membre du Personnel que les permissions dont son travail a besoin, et supprimez immédiatement l'accès de toute personne qui part.
• Exportez régulièrement vos données, au moins une fois par mois.
• Gardez les Appareils de point de vente connectés jusqu'à ce que les ventes enregistrées hors ligne aient fini de se synchroniser, avant d'effacer ou de déconnecter un Appareil.
• Maintenez à jour les systèmes et les navigateurs de vos appareils.
• Signalez-nous immédiatement toute activité suspecte.

14. Signaler une vulnérabilité

Si vous découvrez une vulnérabilité de sécurité, écrivez-nous à [email protected]. Nous traitons les signalements de manière confidentielle. Nous autorisons les tests de sécurité effectués de bonne foi dans les limites de la clause 10 de la Politique d'Utilisation Acceptable, et nous ne formulons aucune plainte ni réclamation contre quiconque reste dans ces limites et nous signale la vulnérabilité sans délai.