Le moindre privilège, sans exception
Un caissier n'a pas besoin de rembourser, un contrôleur d'accès n'a pas besoin de voir les recettes. Les rôles sont séparés dès la conception et chaque élévation de privilège laisse une trace nominative.
Sécurité et conformité
La confiance se vérifie, elle ne se décrète pas.
Le cashless déplace de la valeur réelle et le scan décide qui entre. Nous documentons donc ce que nous faisons, ce que nous ne faisons pas, et comment le vérifier · sans vocabulaire de certification que nous n'avons pas.
Principes
Trois principes, tenus partout.
Ils expliquent la plupart des choix techniques du produit, y compris ceux qui coûtent en confort d'usage.
Tout ce qui touche à l'argent est tracé
Une vente, un remboursement, une correction de solde ou un export ne sont jamais silencieux. Les écritures sont chaînées par empreinte : modifier une ligne passée casse la chaîne et se voit immédiatement.
Le terrain peut perdre le réseau, pas l'argent
Le mode hors-ligne n'est pas un cache approximatif : c'est un manifeste signé, limité aux titres et soldes utiles, avec déduplication au retour du réseau. Un appareil compromis ne peut pas fabriquer de billets.
Mesures
Sept mesures, détaillées.
Ce que nous mettons en face de chaque risque : accès, intégrité, cashless, terrain, conformité et paiement.
Infrastructure
Chiffrement en transit et au repos
TLS 1.3 pour toutes les communications entre le navigateur, les applications de scan et nos services. Les données stockées sont chiffrées au repos. Aucune exception pour les environnements internes.
Accès
Rôles et permissions, au moindre privilège
Un caissier ne voit pas les remboursements, un contrôle d'accès ne voit pas les recettes, un comptable lit les exports sans modifier les ventes. Chaque changement de rôle est journalisé.
Traçabilité
Journal d'audit chaîné
Les actions sensibles · remboursement, correction de solde, changement de rôle, export · sont horodatées et chaînées par empreinte. Toute altération d'une entrée casse la chaîne et devient visible.
Cashless
Les tokens NFC ne circulent jamais en clair
Un bracelet ou une carte ne contient qu'un identifiant opaque, sans nom ni montant. La vérification se fait côté serveur par signature avec une clé tournante. Un support perdu se révoque sans toucher aux autres.
Terrain
Le scan hors-ligne est signé
Le manifeste des titres et des soldes est signé avant d'être embarqué sur l'appareil. Un appareil modifié ne peut pas inventer de billets, et les scans rejoués sont rejetés à la réconciliation.
Conformité
RGPD par défaut
Minimisation des données, durées de conservation explicites, sous-traitance encadrée par un DPA, hébergement dans l'Union européenne. Les données des participants appartiennent à l'organisateur.
Paiement
La carte ne touche jamais nos serveurs
Les données de carte sont saisies dans les champs hébergés par Stripe et ne transitent jamais par notre infrastructure. Par construction, notre périmètre PCI DSS reste le SAQ A.
Conformité
Le périmètre, ligne par ligne.
Qui est responsable de quoi, et jusqu'où va notre engagement. Les réponses aux questionnaires de sécurité de vos clients partent de cette table.
| Sujet | Position |
|---|---|
| RGPD · données d'événement des participants | L'organisateur est responsable du traitement ; Clixite agit comme sous-traitant (art. 28 RGPD), sur instructions documentées. |
| RGPD · comptes clients, prospects, facturation | Clixite est responsable du traitement. Finalités et bases légales sont décrites dans la politique de confidentialité. |
| Données de paiement | Traitées par Stripe via des champs ou des pages hébergées. Aucun numéro de carte ne transite ni n'est stocké chez nous. |
| Périmètre PCI DSS | SAQ A, par construction : la saisie de carte est déléguée à Stripe. Nous ne revendiquons pas un niveau supérieur. |
| Hébergement | Union européenne, avec sauvegardes chiffrées et procédure de restauration documentée. |
| Transferts hors EEE | Limités au strict nécessaire (paiement, messagerie), encadrés par des clauses contractuelles types et les garanties de nos sous-traitants. |
| Certifications | Aucune certification ISO 27001 ou SOC 2 n'est revendiquée à ce jour. Le dossier sécurité est communiqué sous accord de confidentialité. |
L'accord de sous-traitance (DPA) reprend ces engagements dans un cadre contractuel : lire le DPA.
Ce que nous ne disons pas
Les limites, écrites noir sur blanc.
Un dossier sécurité crédible commence par ce qu'il n'affirme pas. Voici les phrases que vous ne lirez pas sur ce site.
Notre position, sans emphase
- Nous ne sommes pas certifiés ISO 27001 ni SOC 2 à ce jour, et nous ne l'écrirons pas avant de l'être.
- Nous ne promettons pas un « zéro risque » : nous promettons des mesures vérifiables, une journalisation et une réponse d'incident.
- Nous n'utilisons pas l'expression « chiffrement de bout en bout » : ce n'est pas notre modèle, les données sont déchiffrées côté serveur pour être traitées.
- Nous ne proposons pas de programme de bug bounty rémunéré pour l'instant. Les signalements de bonne foi sont traités avec sérieux.
Le dossier complet · modèle de menace, architecture, registre RGPD, mapping ASVS, gestion des clés et plan de réponse à incident · est communiqué aux clients et à leurs auditeurs sous accord de confidentialité. Demandez-le.
Divulgation responsable
Un doute, une faille ? Écrivez-nous.
Les signalements externes sont bienvenus. Nous préférons apprendre un problème par vous que le découvrir en production.
nicolas@clixite.beMerci d'inclure l'heure, l'URL concernée et les étapes de reproduction. N'envoyez pas de données personnelles de tiers.
- 01
Écrire
Envoyez un message à nicolas@clixite.be avec l'objet « Sécurité · signalement » : description, étapes de reproduction, impact estimé, éventuellement une preuve de concept.
- 02
Accusé de réception
Sous trois jours ouvrables, avec un interlocuteur nommé et une première qualification de gravité.
- 03
Correction
Selon la gravité, un correctif ou une mesure d'atténuation est déployé, puis une confirmation écrite vous est envoyée.
- 04
Règle du jeu
Pas de test sur les données réelles de production, pas d'extraction de données personnelles, pas de déni de service. Un signalement de bonne foi dans ce cadre ne donnera pas lieu à des poursuites.
Prochain événement
Trente minutes pour cadrer.
Jauge, prix, stands, TVA : on pose les vraies questions et vous repartez avec une estimation chiffrée, même si vous ne signez pas.