Ce que nous protégeons

Fastoche traite, pour le compte des marchands, des données de commande et de clients finaux (identité, coordonnées, contenu des commandes, dossiers de retour) et détient des secrets d’intégration (jetons d’accès aux boutiques, identifiants transporteurs et logisticiens). Un incident de sécurité désigne tout accès non autorisé, divulgation, altération, perte ou indisponibilité affectant ces données ou ces secrets.

Mesures de sécurité

• Hébergement des données dans l’Union européenne (base de données Convex, région eu-west-1) ; chiffrement en transit (TLS) et au repos.
• Jetons d’accès aux boutiques et secrets d’intégration chiffrés applicativement en AES-256-GCM, avec une clé maîtresse conservée hors de la base et déchiffrement côté serveur uniquement, au moment de l’appel.
• Authentification par Google ou mot de passe robuste (12 caractères minimum) ; contrôle d’accès par rôles ; accès de l’équipe Fastoche à l’espace d’un marchand sans droit permanent, ouvert au cas par cas et journalisé.
• Journal d’audit des actions sensibles ; journal des demandes de conformité.
• Environnements de test et de production séparés ; sauvegardes chiffrées et procédure de restauration testée.
• Supervision automatique : les erreurs applicatives, côté navigateur comme côté serveur, sont enregistrées et déclenchent une alerte à l’équipe.

1. Détection

Un incident peut être détecté par la supervision automatique (alertes sur les erreurs et les plantages, envoyées à l’équipe toutes les heures dès qu’un événement nouveau apparaît), par la revue des journaux d’audit et de conformité, par un avis d’un sous-traitant ou d’une plateforme partenaire (Shopify, Convex, Vercel), par un marchand, ou par un tiers qui nous signale une vulnérabilité. Tout signalement reçu à hello@fastoche.co avec la mention « Sécurité » dans l’objet est pris en charge en priorité.

2. Qualification

Dès la détection, un responsable d’incident est désigné. Il établit les faits (quoi, depuis quand, quelles boutiques, quelles données) et attribue un niveau de gravité :

• Critique : exposition avérée ou probable de données personnelles, compromission d’un secret d’intégration ou d’un compte, accès non autorisé confirmé. Prise en charge immédiate, sans interruption jusqu’au confinement.
• Majeur : vulnérabilité exploitable sans preuve d’exploitation, indisponibilité prolongée du service, perte de données non personnelles. Prise en charge sous 24 heures.
• Mineur : défaut sans impact sur les données ni sur la disponibilité. Corrigé dans le cycle de développement normal.

Un incident critique ou majeur touchant des données personnelles est traité comme une violation de données au sens du RGPD, et la procédure de notification ci-dessous s’applique.

3. Confinement et correction

• Couper l’accès de l’attaquant : révocation des sessions et des comptes concernés, rotation des secrets (clé maîtresse de chiffrement, secrets des sous-traitants, clés d’API), renouvellement des jetons d’accès aux boutiques concernées — pour Shopify, par désinstallation puis réinstallation de l’application, ce qui invalide l’ancien jeton.
• Isoler ce qui doit l’être : désactivation d’une fonctionnalité, d’une intégration ou d’une boutique le temps de l’analyse.
• Préserver les preuves : export des journaux et des données concernées avant toute modification, horodatage des actions.
• Corriger la cause et déployer le correctif, puis vérifier qu’il est effectif.

4. Notification

• Marchands concernés : notifiés sans retard injustifié et au plus tard 48 heures après que nous avons eu connaissance d’une violation affectant leurs données, par e-mail à l’administrateur de la boutique. La notification précise la nature de l’incident, les données et les personnes concernées (au moins en estimation), les conséquences probables, les mesures prises et un point de contact. Elle est complétée au fil des constatations.
• Autorité de contrôle (CNIL) : le marchand, responsable de traitement, notifie l’autorité sous 72 heures ; nous lui fournissons tous les éléments nécessaires. Pour les données dont Fastoche est lui-même responsable de traitement (comptes marchands), nous notifions la CNIL sous 72 heures lorsque la violation présente un risque pour les personnes.
• Shopify : tout incident affectant des données de marchands ou de clients Shopify est signalé à Shopify par les canaux prévus pour les partenaires (Partner Dashboard et support partenaires), conformément au Partner Program Agreement.
• Personnes concernées : informées lorsque la violation présente un risque élevé pour leurs droits, en coordination avec le marchand et par son intermédiaire.

5. Rétablissement et retour d’expérience

Le service est rétabli à partir des sauvegardes si nécessaire, et son bon fonctionnement est vérifié. Dans les dix (10) jours ouvrés suivant la clôture, un rapport d’incident est rédigé : chronologie, cause racine, impact, mesures prises, actions correctives et préventives avec un responsable et une échéance. Les enseignements sont intégrés à la présente politique, revue au moins une fois par an.

Signaler une vulnérabilité

Si vous découvrez une faille de sécurité dans Fastoche, écrivez-nous à hello@fastoche.co (objet « Sécurité ») en décrivant les étapes pour la reproduire. Merci de ne pas exploiter la faille au-delà de ce qui est nécessaire pour la démontrer, de ne pas accéder aux données d’autrui et de nous laisser un délai raisonnable pour corriger avant toute publication. Nous accusons réception sous cinq (5) jours ouvrés.

Contacts

Sécurité et incidents : hello@fastoche.co. Protection des données : rgpd@fastoche.tech.