Sécurité et gestion des incidents

Clixite met en œuvre des mesures adaptées aux risques, en particulier financiers et d'accès, propres à une plateforme de billetterie et de cashless. Ces mesures couvrent la confidentialité, l'intégrité, la disponibilité et la résilience des données et des services.

La description détaillée des mesures, du modèle de menace et des contrôles figure dans le dossier sécurité communiqué sous accord de confidentialité, ainsi que sur la page Sécurité. En cas d'écart entre les deux documents, le dossier contractuel prévaut.

Les accès sont nominatifs, attribués selon le principe du moindre privilège et révoqués sans délai en cas de départ ou de changement de fonction. Les rôles sensibles (administration, remboursement, export) sont séparés et journalisés.

L'authentification des utilisateurs de la plateforme repose sur des identifiants individuels et des sessions expirables. Les accès d'administration de l'infrastructure sont restreints, tracés et protégés par des mécanismes renforcés.

Les actions sensibles — vente, remboursement, correction de solde, changement de rôle, export, suppression — sont horodatées et journalisées. Les entrées sont chaînées par empreinte afin de détecter toute altération a posteriori.

Les journaux sont conservés pour la durée nécessaire à la sécurité et à la preuve, dans le respect des durées indiquées dans la politique de confidentialité. Ils sont protégés contre la modification et accessibles aux seules personnes habilitées.

Les communications entre les navigateurs, les interfaces de scan et les services sont chiffrées (TLS 1.3). Les données stockées sont chiffrées au repos. Les secrets et clés sont séparés des données applicatives, avec rotation et révocation unitaire en cas d'incident.

Les supports NFC ne contiennent qu'un identifiant opaque, vérifié côté serveur par signature avec une clé tournante. Aucun nom, aucun montant et aucune donnée personnelle ne sont écrits en clair sur le support.

Des sauvegardes chiffrées sont réalisées et leur restauration est documentée. Les procédures de reprise sont testées avant mise en production et lors de changements majeurs d'infrastructure.

Le mode hors-ligne du scan et de l'encaissement constitue une mesure de continuité opérationnelle pour les événements : les opérations sont enregistrées localement sur l'appareil, puis réconciliées au retour du réseau, avec rejet des doublons.

La plateforme et les sauvegardes sont hébergées dans l'Union européenne. Les sous-traitants sont sélectionnés pour leurs garanties de sécurité et liés par des engagements contractuels, notamment l'accord de sous-traitance.

Les prestataires de paiement traitent les données de carte dans leur propre périmètre certifié. Aucune donnée de carte ne transite par l'infrastructure Clixite.

Toute violation de données personnelles est qualifiée et documentée. Le client concerné est informé dans les meilleurs délais et, au plus tard, quarante-huit (48) heures après la connaissance de la violation, avec les éléments utiles à sa propre notification.

Clixite coopère avec le responsable du traitement pour la notification à l'APD dans les soixante-douze (72) heures lorsque celle-ci est requise, ainsi que pour l'information des personnes concernées en cas de risque élevé. Un registre des incidents est tenu.

Les signalements de bonne foi sont bienvenus à nicolas@clixite.be, avec l'objet « Sécurité — signalement ». Un accusé de réception est envoyé sous trois jours ouvrables et une première qualification de gravité est communiquée.

Les tests doivent être réalisés sans porter atteinte aux données réelles, sans extraction de données personnelles et sans déni de service. Un signalement effectué dans ce cadre ne donne pas lieu à des poursuites de la part de Clixite.

Clixite ne revendique aucune certification ISO 27001 ou SOC 2 à la date de ce document. Les affirmations de sécurité publiées sur ce site décrivent des mesures effectivement mises en œuvre, et non des labels obtenus.

Aucun système n'est exempt de risque. Les engagements portent sur la mise en œuvre des mesures, la détection, la réaction et la transparence en cas d'incident, dans les limites prévues au contrat de service.

Pour toute question de sécurité, y compris les questionnaires et audits clients : nicolas@clixite.be. Clixite SRL, Avenue Reine Astrid 53, 1300 Wavre.