Politique RGPD

Toutes les données sont chiffrées en transit (TLS 1.2+). Les mots de passe sont hachés avec bcrypt (12 tours). PostgreSQL Flexible Server utilise le chiffrement transparent des données au repos. Azure Blob Storage est chiffré au repos. Les images de permis de conduire et les signatures sont chiffrées au repos en AES-256 par Azure Storage et Azure Database for PostgreSQL (clés gérées par Microsoft), et leur accès est limité selon le rôle et l'organisation. Les jetons JWT sont signés cryptographiquement (HS256). Les secrets sont gérés via Azure Key Vault, accessible par l'identité managée d'App Service — aucun secret dans le code, les fichiers d'environnement ou les images de conteneur.

Contrôle d'accès basé sur les rôles (RBAC) sur les routes authentifiées, avec un périmètre locataire appliqué côté serveur. L'isolation des locataires est testée automatiquement avant chaque déploiement : le contrôle de mise en production effectue un balayage inter-locataires qui appelle l'API en tant qu'une organisation avec les identifiants d'enregistrement d'une autre organisation, et le déploiement est bloqué si des données de cette organisation peuvent être lues ou modifiées. Authentification unique (SAML 2.0, Google, Microsoft) ; MFA par mot de passe à usage unique basé sur le temps, obligatoire pour les administrateurs de la plateforme et disponible pour tous les utilisateurs.

Journalisation d'audit complète des actions des utilisateurs : identité de l'utilisateur, horodatage, adresse IP, verbe d'action, entité concernée, anciennes et nouvelles valeurs. Les actions pertinentes au regard des GMP sont signalées séparément (is_gmp_relevant=1). Rendant toute altération détectable et en ajout seul, appliqué en base de données par une chaîne de hachage ; les entrées pertinentes au regard des GMP sont conservées pendant au moins 7 ans pendant la durée du contrat de service, les autres entrées d'audit pendant 365 jours. Pseudonymisées mais non supprimées en cas d'effacement au titre de l'Art. 17 (dérogation pour obligation légale Art. 17(3)(b)). À la fin du contrat, le client reçoit une exportation complète de sa piste d'audit avant sa suppression, sauf s'il la refuse par écrit ou s'il ne peut pas être contacté après des tentatives raisonnables ; YARDtwin ne la conserve plus longtemps que sur instruction écrite du client, à l'exception des sauvegardes jusqu'à leur expiration et de son propre enregistrement de la remise.

Hébergé sur Microsoft Azure (Sweden Central + Norway East, EEE). Service d'application conteneurisé déployé via Azure Container Registry avec permutation par slot de staging. Le trafic atteint l'application via Azure Front Door avec un Web Application Firewall en mode Prévention ; la base de données n'accepte les connexions que depuis les services Azure et une liste blanche d'adresses IP administrateur. Application Insights avec alerte de dérive de schéma sur les erreurs Postgres "column / relation does not exist" (fenêtre de 15 minutes). Une sonde de bout en bout /health/db-write vérifie que l'application peut écrire et lire la base de données à chaque déploiement.

Nous collectons uniquement les données nécessaires à la fourniture du service. Les champs chauffeur facultatifs (téléphone, e-mail) peuvent être laissés vides lorsque le processus du client le permet. Le personnel de portail peut prendre une photo du visage du chauffeur à titre de preuve au portail. Lorsqu'un site active la comparaison faciale par IA, notre fournisseur IA (Anthropic) compare cette photo en mode un-à-un avec la photo du permis ou la photo enregistrée du chauffeur afin d'aider le personnel à confirmer l'identité du chauffeur. Le résultat est consultatif : le personnel de portail décide et peut admettre un chauffeur que la comparaison n'a pas confirmé en indiquant un motif. Chaque comparaison est enregistrée sur nos serveurs avec son résultat. Lorsque la comparaison faciale est désactivée (par défaut), aucune photo du visage n'est envoyée au fournisseur IA et le personnel compare lui-même le chauffeur avec la photo du permis ; les images de permis sont néanmoins lues par IA lorsque la lecture IA est activée. YARDtwin ne stocke aucun gabarit facial et n'effectue aucune identification un-à-plusieurs. La newsletter collecte uniquement l'e-mail et, de manière facultative, le nom de l'entreprise.

Chaque pull request doit passer npm audit (vulnérabilités de dépendances), Semgrep (analyse statique) et gitleaks (détection de secrets) avant de pouvoir être fusionnée, avec un scan d'image de conteneur Trivy à titre consultatif ; ces vérifications s'exécutent également à chaque push sur master et chaque nuit, accompagnées d'un scan de référence OWASP ZAP consultatif (tests dynamiques) du site de production. Les alertes Dependabot signalent les vulnérabilités nouvellement divulguées dans nos dépendances.