Sécurité
Tes données sont protégées, et tu vois qui y touche
Serveurs en France, espaces cloisonnés, double authentification, journal d'audit : voici ce qui est en place aujourd'hui. Aucune certification de sécurité (ISO 27001, SOC 2…) n'est détenue à ce jour ; nous décrivons les mesures plutôt que d'afficher un label.
14 jours de Solo offerts, sans carte.
Journal d'audit
Qui a fait quoi dans ton espace, tu le retrouves
Chaque action de modification est inscrite : qui, quand, sur quelle ressource. Tu filtres par auteur, par catégorie ou par période, et tu exportes le tout en CSV.
- Réservé aux propriétaires et aux administrateurs de l'espace
- Les entrées sont conservées 12 mois ; ni contenu de requête ni adresse IP n'est enregistré
- Tes propres connexions et changements de sécurité sont dans Compte, Activité, avec un lien « Ce n'était pas moi ? »
Assistants IA et connecteurs
Tu coupes l'accès d'une application d'un clic
Quand tu branches un assistant comme Claude, ASAP te montre ce qu'il demande avant que tu autorises. Ensuite, la liste de tes connexions montre chaque application, ses permissions et sa dernière utilisation.
- Les permissions sont celles que tu accordes, dans l'espace que tu choisis
- Une application se déconnecte à tout moment, et ses accès sont révoqués immédiatement
- La révocation apparaît dans le journal d'audit
Tes données
Tu exportes tes données et tu supprimes ton compte quand tu veux
L'export est une archive ZIP de tes données personnelles en JSON, avec un fichier qui explique chaque champ. La suppression prend effet après 30 jours, pendant lesquels tu peux changer d'avis d'un clic.
- Aucun secret (mot de passe, codes de secours) dans l'export
- Les documents d'un espace s'exportent depuis chaque application
- Les factures finalisées sont conservées 10 ans, comme la loi l'impose, sans lien avec ton identité de connexion
Ce qui protège ASAP sous le capot
Serveurs en France
La plateforme tourne dans des conteneurs Docker sur un serveur privé virtuel de PrivateHeberg (ANCELADE SAS), en France. Aucun port entrant n'est ouvert : le trafic arrive par un tunnel Cloudflare.
Chiffrement en transit
Les échanges avec asap.cool, app.asap.cool et l'API sont chiffrés en TLS (HTTPS), avec HSTS activé sur l'application.
Mots de passe et secrets
Un mot de passe n'est jamais conservé en clair, seulement sous forme de condensat argon2id. Le secret de ta double authentification est chiffré avant d'être enregistré, et les secrets d'exploitation le sont avec sops et age.
Espaces cloisonnés
Les tables qui contiennent les données d'un espace sont protégées par la sécurité au niveau des lignes (Row-Level Security) de PostgreSQL. Une requête ne lit que les lignes de l'espace pour lequel la session est ouverte.
Paiements par Stripe
Les numéros de carte sont saisis dans les composants de Stripe et ne transitent ni ne sont stockés chez ASAP. Les notifications de Stripe ne sont acceptées qu'après vérification de leur signature.
Sauvegardes chiffrées
La base est sauvegardée par un script qui produit un export chiffré (age). La sauvegarde puis la restauration sont rejouées chaque semaine sur une base vierge, pour vérifier que données, schéma et règles d'isolation reviennent bien.
Double authentification
Active la double authentification (TOTP) avec une application d'authentification. Dix codes de secours à usage unique sont générés pour retrouver l'accès si tu perds ton téléphone, et les clés d'accès (passkeys) te connectent sans mot de passe.
Appareils et alertes
Un appareil de confiance saute le code à deux facteurs pendant 30 jours ; tu les retires un par un ou tous d'un coup. Une connexion depuis un nouveau navigateur déclenche un e-mail d'alerte.
Verrouillage et sessions
Cinq échecs de connexion verrouillent le compte 15 minutes, et les routes d'authentification sont limitées en débit. Les sessions sont des jetons opaques gardés côté serveur, dans un cookie illisible par les scripts de la page, avec une protection CSRF.
Sous-traitants
Les prestataires qui traitent des données pour ASAP
Voici les prestataires qui interviennent, avec leur rôle et leur localisation. Le détail figure dans la politique de confidentialité.
- Stripe
- Paiement des abonnements (Irlande / États-Unis (CCT))
- Resend
- Envoi des emails transactionnels (États-Unis (CCT))
- Cloudflare
- Réseau de diffusion et protection (Union européenne / États-Unis (CCT))
- Mistral AI
- Fonctions d'assistance par IA (assistant de facturation, brouillons d'emails) (Paris, France (hébergement dans l'Union européenne))
- Sentry
- Supervision des erreurs (États-Unis (CCT))
- Axiom
- Journaux techniques (États-Unis (CCT))
- PrivateHeberg
- Hébergement de la plateforme (France)
Divulgation responsable
Signaler une vulnérabilité
Tu as trouvé une faille ? Écris-nous (français ou anglais) en décrivant le problème et la façon de le reproduire, sans accéder aux données d'autres personnes ni les modifier. Laisse-nous un délai raisonnable pour corriger avant toute divulgation publique.
- Nous accusons réception et revenons vers toi dans les meilleurs délais
- Sont exclus : le déni de service, l'ingénierie sociale et toute atteinte aux données d'autrui
- Il n'existe pas de programme de récompense (bug bounty) ; nous remercions volontiers les personnes qui le souhaitent
Questions fréquentes
Sécurité — ce qu'on nous demande
Où sont hébergées mes données ?
Sur un serveur privé virtuel de PrivateHeberg (ANCELADE SAS), en France. Quelques prestataires interviennent hors de ce serveur (paiement, e-mails, supervision, réseau) : ils sont listés plus haut avec leur localisation.
ASAP est-il certifié ISO 27001 ou SOC 2 ?
Non. ASAP ne détient aucune certification de sécurité à ce jour. Cette page décrit les mesures en place ; nous préférons cela à un label affiché.
Quelqu'un d'autre peut-il voir les données de mon espace ?
Chaque espace est cloisonné dans la base de données par la sécurité au niveau des lignes de PostgreSQL : une requête ne lit que les lignes de l'espace pour lequel la session est ouverte. Dans ton espace, le journal d'audit montre aux propriétaires et aux administrateurs qui a fait quoi.
Que se passe-t-il si je perds mon téléphone ?
À l'activation de la double authentification, ASAP génère dix codes de secours à usage unique. Chacun te connecte une fois si tu perds ton application d'authentification, et ASAP te prévient quand il t'en reste peu.
Mes numéros de carte passent-ils par ASAP ?
Non. Les paiements sont traités par Stripe : tu saisis ta carte dans les composants de Stripe, elle ne transite ni n'est stockée chez ASAP.
Comment exporter mes données ou supprimer mon compte ?
Depuis Compte, Données et confidentialité : tu télécharges une archive ZIP de tes données personnelles, ou tu programmes la suppression de ton compte. Elle prend effet après 30 jours, et tu peux l'annuler d'ici là.
Dernière mise à jour : 2026-10-13