Sécurité & Conformité

L'ensemble des données applicatives, bases de données et fichiers uploadés sont hébergés en France, chez un prestataire qualifié :

Aucune donnée client n'est stockée sur un serveur en dehors de l'Union européenne. L'infrastructure respecte la directive NIS 2 et le règlement général sur la protection des données (RGPD).

Disponibilité : SLA 99,9 % (plans Business et supérieurs) · Objectif de reprise (RTO) : 4 heures · Objectif de restauration des données (RPO) : 24 heures.

En transit

• TLS 1.2 minimum, TLS 1.3 actif par défaut (suites modernes uniquement).
• Certificat X.509 ECDSA émis par Let's Encrypt, renouvelé automatiquement.
• En-tête Strict-Transport-Security (HSTS) avec max-age=63072000; includeSubDomains; preload.
• Aucun appel HTTP non chiffré accepté — redirection 301 systématique vers HTTPS.

Au repos

• Base de données avec authentification forte et connexions internes chiffrées.
• Disques serveurs chiffrés AES-256 côté hébergeur.
• Sauvegardes quotidiennes compressées et chiffrées, avec accès restreint au strict nécessaire.
• Les secrets applicatifs (clés JWT, clés Stripe, mot de passe base, clés API IA) sont gérés hors du code source, avec accès restreint au strict nécessaire.

En-têtes de sécurité HTTP

Authentification utilisateur

• Mots de passe hachés avec BCrypt (algorithme adaptatif, haut facteur de coût).
• Sessions authentifiées par jetons signés à durée de vie limitée, stockés en cookie sécurisé.
• Limitation de débit sur l'authentification, les API et les uploads pour prévenir les attaques automatisées.
• Authentification à deux facteurs (2FA TOTP, compatible Google Authenticator / Authy) disponible.
• Isolation stricte des données par client (multi-tenant), vérifiée à chaque requête — impossible d'accéder aux données d'une autre entreprise.

Accès techniques (équipe RH Pro)

• Accès administrateur par clés publiques uniquement · authentification par mot de passe désactivée.
• Bannissement automatique des adresses IP hostiles après plusieurs tentatives échouées.
• Traçabilité complète des accès administrateur, conservée 12 mois.
• Principe du moindre privilège appliqué à tous les comptes techniques.

Chaque sauvegarde fait l'objet d'un contrôle automatique avec alerte en cas d'échec. Une procédure de restauration documentée est maintenue à jour et testée régulièrement.

RH Pro SAS, responsable du traitement, applique le règlement (UE) 2016/679 (RGPD) et la loi Informatique et Libertés du 6 janvier 1978 modifiée.

Référent protection des données

RH Pro SAS n'atteint pas les seuils de désignation obligatoire d'un DPO (art. 37 RGPD). Un référent protection des données est désigné en interne et joignable pour toute question relative au traitement de vos données :

Registre des traitements (art. 30 RGPD)

Un registre des activités de traitement est maintenu à jour en interne. Il documente, pour chaque traitement :

• Le responsable du traitement et son référent protection des données
• Les finalités poursuivies et la base légale
• Les catégories de personnes concernées et de données
• Les destinataires (internes et sous-traitants)
• Les transferts hors UE (le cas échéant)
• Les durées de conservation
• Les mesures techniques et organisationnelles de sécurité

Ce registre est communicable sur demande motivée à la CNIL ou à un client titulaire d'un contrat.

Droits des utilisateurs (art. 15-22 RGPD)

Tout utilisateur peut exercer ses droits d'accès, de rectification, d'effacement, de portabilité, d'opposition et de limitation en écrivant à contact@rhpro-sas.fr. Réponse apportée dans un délai maximum d'un mois (prorogeable de 2 mois en cas de demande complexe, art. 12-3 RGPD).

Analyse d'impact (AIPD)

Une analyse d'impact relative à la protection des données (AIPD / DPIA, art. 35 RGPD) est en cours de réalisation. Elle couvrira les traitements présentant un risque potentiel pour les droits et libertés des personnes concernées, et sera révisée à chaque évolution majeure du produit.

Chaque sous-traitant est lié par un contrat conforme à l'article 28 du RGPD, incluant clauses de confidentialité, obligation de sécurité et interdiction de sous-traitance ultérieure sans autorisation.

Liste complète et à jour des sous-traitants : voir la Politique de confidentialité §3 (source unique de référence).

Aucune donnée personnelle n'est transférée hors Union européenne sans garanties appropriées (clauses contractuelles types, décision d'adéquation ou consentement explicite).

Tout ajout, remplacement ou retrait d'un sous-traitant est notifié aux clients Business au moins 30 jours avant sa mise en œuvre effective, leur laissant le droit de s'opposer et, le cas échéant, de résilier sans pénalité.

RH Pro SAS applique une procédure documentée de réponse aux incidents, conforme aux articles 33 et 34 du RGPD.

Processus en 5 étapes

1. Détection — supervision des logs, alertes automatisées sur activité anormale, monitoring de disponibilité, remontées utilisateurs.
2. Qualification sous 4 h — gravité (mineure / majeure / critique), périmètre, données concernées.
3. Confinement & remédiation — rotation des secrets, coupure d'accès, patch, restauration depuis sauvegarde.
4. Notification :
   • CNIL sous 72 h si l'incident est susceptible d'engendrer un risque pour les droits et libertés (art. 33 RGPD).
   • Personnes concernées si risque élevé (art. 34 RGPD) — email + notification in-app.
   • Clients Business sous 24 h via email de contact technique.
5. Retour d'expérience — rapport post-mortem documenté sous 14 jours, plan d'actions correctives.

Normes applicables

• Factur-X EN 16931 — génération native de factures électroniques hybrides (PDF/A-3 + XML CII), profil BASIC, conformes au standard européen imposé par la DGFiP.
• Format FEC — export conforme à l'arrêté du 29 juillet 2013 (art. A 47 A-1 LPF) pour le contrôle fiscal informatisé.
• TVA CGI — gestion automatique des taux réduits (5,5 %, 10 %) avec attestation CERFA conforme aux articles 278-0 bis et 279-0 bis CGI.
• Code de commerce — mentions obligatoires factures (art. L441-9) : SIRET, TVA intracom, pénalités de retard, indemnité forfaitaire 40 €.

Certifications visées

Certaines déclarations de certification ne sont publiées qu'une fois l'attestation officielle reçue. Les statuts « en cours » et « visée » sont indicatifs et n'ont pas valeur d'attestation.

Audit de sécurité (clients Business)

Les clients sous contrat Business peuvent, avec un préavis de 30 jours, demander :

• Un questionnaire de sécurité complet (CAIQ v4 ou équivalent).
• Les rapports de tests d'intrusion externes (pentest) — programme en cours de mise en place, disponibles après signature d'un NDA dès leur réalisation.
• Une revue annuelle de l'architecture de sécurité sur rendez-vous (visioconférence).

Réversibilité & export des données

À tout moment, vous disposez d'un droit complet à la portabilité de vos données (art. 20 RGPD) :

• Export CSV / Excel de l'ensemble des clients, devis, factures, chantiers depuis l'interface.
• Export FEC pour votre comptable.
• Export PDF de tous les documents émis.
• En cas de résiliation : vos données sont conservées 30 jours puis supprimées définitivement, sauf obligations légales (10 ans pour la comptabilité, art. L123-22 Code de commerce).