La sécurité et la confidentialité des données sont au cœur de l'architecture de Boxanet. Qu'il s'agisse des informations bancaires de vos clients, des données de votre entreprise, ou des historiques d'accès à votre centre, chaque donnée est traitée avec le plus haut niveau de protection disponible.
Chiffrement en transit : HTTPS/TLS
Toutes les communications entre votre navigateur et les serveurs Boxanet sont chiffrées via le protocole HTTPS avec TLS 1.3 (Transport Layer Security). Cela signifie que :
- Vos identifiants de connexion ne circulent jamais en clair sur internet
- Les données de contrats, de paiements et d'accès sont chiffrées pendant leur transmission
- Même si quelqu'un interceptait le flux réseau entre vous et nos serveurs, il ne verrait que des données illisibles
Vous pouvez vérifier la présence du certificat SSL en cherchant le cadenas vert dans la barre d'adresse de votre navigateur sur boxanet.com.
Chiffrement au repos : AES-256
Les données les plus sensibles stockées dans nos bases de données sont chiffrées au repos avec l'algorithme AES-256 (Advanced Encryption Standard, clé 256 bits). Cela inclut :
- Les IBAN des clients (mandats SEPA)
- Les références de cartes bancaires (tokenisées via Stripe)
- Les codes d'accès et PIN des centres
- Les documents d'identité téléchargés lors de la signature du contrat
Hébergement : OVH France
L'ensemble de l'infrastructure Boxanet est hébergée chez OVH, dans ses datacenters français (Roubaix et Gravelines). Ce choix n'est pas anodin :
- Localisation UE : vos données ne quittent jamais le territoire de l'Union Européenne, conformément au RGPD
- ISO 27001 : OVH est certifié ISO 27001 (management de la sécurité de l'information)
- Infrastructure redondante : plusieurs datacenters géographiquement séparés pour la haute disponibilité
- Réseau Tier-1 : connexion internet à très haute disponibilité
Conformité RGPD
Le Règlement Général sur la Protection des Données (RGPD) est le cadre légal européen qui protège les données personnelles de vos clients. Boxanet est conçu pour vous aider à être conforme en tant que responsable du traitement.
Données personnelles collectées et bases légales
| Donnée | Base légale | Finalité |
|---|---|---|
| Nom, prénom | Exécution du contrat | Identification du client |
| Adresse email | Exécution du contrat | Communication, facturation |
| Adresse postale | Exécution du contrat | Contrat de location |
| IBAN/RIB | Exécution du contrat | Prélèvement SEPA |
| Historique d'accès | Intérêt légitime (sécurité) | Surveillance du centre |
| Pièce d'identité (si demandée) | Obligation légale | Anti-fraude |
Durée de conservation des données
- Données de contrat actif : conservées pendant toute la durée du contrat
- Données après résiliation : conservées 5 ans (obligation comptable et fiscale)
- Historique d'accès : conservé 12 mois (sécurité)
- Logs de connexion : conservés 6 mois
- Données de prospection (leads) : conservées 3 ans sans activité
Droits des personnes concernées
En tant que responsable du traitement, vos clients peuvent exercer leurs droits RGPD auprès de vous. Boxanet vous permet de répondre à ces demandes :
- Droit d'accès : exportez le dossier complet d'un client depuis sa fiche
- Droit de rectification : modifiez les informations depuis la fiche client
- Droit à l'effacement : supprimez un compte client (sous conditions légales — les données comptables restent 5 ans)
- Droit à la portabilité : exportez les données au format CSV
- Droit d'opposition : configurez les préférences marketing du client
Délégué à la Protection des Données (DPO)
Boxanet a désigné un Délégué à la Protection des Données. Pour toute question relative à la protection des données personnelles traitées par Boxanet :
Contact DPO : dpo@boxanet.com
Les demandes sont traitées sous 30 jours conformément aux délais RGPD.
Sauvegardes automatiques
Vos données sont sauvegardées automatiquement selon le schéma suivant :
- Sauvegarde toutes les heures : snapshot incrémental de la base de données
- Sauvegarde quotidienne : sauvegarde complète à 3h du matin
- Sauvegarde hebdomadaire : archivée pendant 4 semaines
- Sauvegarde mensuelle : archivée pendant 12 mois
Les sauvegardes sont stockées dans un datacenter différent de celui de production (réplication géographique). En cas de sinistre majeur, le RPO (Recovery Point Objective) est de 1 heure et le RTO (Recovery Time Objective) est de 4 heures.
Journaux de sécurité (Audit Logs)
Boxanet garde une trace des actions faites avec les assistants (par exemple une relance d'impayé envoyée, un contrat créé ou une facture émise), avec la personne qui les a faites et la date.
Ce journal n'est pas affiché dans votre tableau de bord. Si vous en avez besoin, demandez-le au support Boxanet.
Tests de sécurité et certifications
Boxanet s'engage dans une démarche continue de sécurité :
- Tests de pénétration (pentest) réalisés au minimum une fois par an par un prestataire indépendant
- Veille de vulnérabilités : suivi des CVE et des failles de sécurité connues
- Politique de divulgation responsable : un programme de bug bounty permet aux chercheurs en sécurité de signaler des vulnérabilités
- Revue de code : chaque déploiement est soumis à une revue de sécurité interne
FAQ
Q : Mes clients peuvent-ils demander la suppression de toutes leurs données ? R : Partiellement. Un client peut demander la suppression de ses données personnelles, mais les données à caractère comptable (factures, paiements) doivent être conservées 5 ans pour respecter les obligations légales françaises. Boxanet permet de pseudonymiser un compte client tout en conservant les données comptables nécessaires.
Q : Boxanet peut-il accéder aux données de mes clients ? R : Les équipes de support Boxanet peuvent accéder à vos données uniquement dans le cadre d'une demande d'assistance technique de votre part, et cette action est tracée dans les logs d'audit. Boxanet ne vend, ne loue et ne partage jamais les données de ses clients avec des tiers à des fins commerciales.
Q : Que se passe-t-il si Boxanet subit une violation de données (data breach) ? R : En cas de violation de données avérée, Boxanet s'engage à vous notifier dans les 72 heures suivant la découverte, conformément à l'article 33 du RGPD. Une notification sera également faite à la CNIL si la violation présente un risque pour les droits et libertés des personnes.
Q : Est-il possible d'obtenir le DPA (accord de traitement des données) ? R : Oui. Le DPA est disponible sur demande auprès de votre chargé de compte Boxanet ou en envoyant un email à dpo@boxanet.com. Ce document formalise la relation responsable de traitement / sous-traitant conformément à l'article 28 du RGPD.
Q : Les données des clients sont-elles partagées entre plusieurs centres Boxanet ? R : Non, absolument pas. Chaque compte entreprise sur Boxanet est complètement isolé. Un client d'un centre A ne peut pas être "vu" par le gestionnaire du centre B, même si les deux centres utilisent Boxanet. Les données sont cloisonnées par entreprise.