Sécurité & conformité

Cette page décrit les principales mesures techniques et organisationnelles mises en œuvre par MiaSys pour protéger vos données et celles de vos clients. Elle a une valeur d'information : les engagements contractuels figurent dans les CGV, les CGU et l'Accord de traitement des données (DPA).

Hébergement

• Version en ligne hébergée en France (Clermont-Ferrand) par O2switch SAS.
• Sauvegardes quotidiennes des fichiers et des bases de données, réalisées au niveau de l'hébergeur, en France.
• Certaines fonctionnalités optionnelles, activées uniquement à l'initiative du Client (intelligence artificielle, WhatsApp, synchronisation Google, paiement en ligne, plateforme de facturation électronique), font appel à des prestataires tiers. Certains sont établis ou traitent des données hors de l'Union européenne ; ces transferts sont encadrés par une décision d'adéquation de la Commission européenne ou par des clauses contractuelles types. La liste figure dans le DPA.

Sécurité technique

Conformité réglementaire

• RGPD (règlement (UE) 2016/679) : politique de confidentialité, registre des traitements, DPA.
• Cookies : bandeau permettant d'accepter, de refuser ou de personnaliser ; choix conservé 13 mois au plus (politique de cookies).
• Mentions légales (loi n° 2004-575 du 21 juin 2004) : éditeur et hébergeur identifiés dans les mentions légales.
• Logiciel de caisse (article 286, I-3° bis du CGI) : mise en conformité en cours ; aucune certification ni attestation n'est délivrée à ce jour (voir la page dédiée).
• Facturation électronique : les factures peuvent être générées au format Factur-X et transmises par l'intermédiaire d'une plateforme agréée, que le Client active et configure.
• Accessibilité : démarche volontaire d'amélioration (voir la déclaration).

Architecture de défense

Authentification

• Déconnexion automatique après 30 minutes d'inactivité, et au plus tard 8 heures après la connexion.
• Régénération périodique de l'identifiant de session.
• Double authentification (TOTP) avec codes de secours hachés.
• Temps de réponse homogène à la connexion, que le compte existe ou non (prévention des attaques temporelles).
• Limitation du nombre de tentatives de connexion et de demandes de réinitialisation de mot de passe.

Autorisation

• Contrôle d'accès par rôles (administrateur, employé, client) et permissions par module.
• Cloisonnement des données de chaque établissement client.
• Vérification des permissions de l'utilisateur à chaque action protégée.

Journalisation

• Journalisation des actions sensibles : connexions, demandes RGPD, consentements, double authentification, actions d'administration.
• Journal d'audit chaîné par empreinte SHA-256, ce qui permet de détecter une modification ou une suppression.
• Durées de conservation : 3 ans pour le journal d'audit ; 30 jours au plus pour les tentatives de connexion.
• Journaux accessibles aux seuls super-administrateurs.

Hygiène des données

• Suppression de compte : les comptes dont la suppression est demandée sont anonymisés au terme d'un délai de 30 jours.
• Comptes inactifs : les comptes clients sans connexion depuis plus de 2 ans sont signalés pour revue.
• Minimisation : seules les données nécessaires aux finalités annoncées sont collectées.
• Pseudonymisation : l'adresse IP associée à l'enregistrement de votre choix de cookies est conservée sous forme hachée (SHA-256).

Résilience

• Sauvegardes quotidiennes réalisées au niveau de l'hébergeur.
• Procédure de restauration documentée. Objectif : tester la restauration d'une sauvegarde chaque trimestre.
• Objectif de disponibilité : 99 %, hors maintenance programmée (voir les CGV).

Gestion des incidents

• Notification au Client de toute violation de données personnelles le concernant, dans les 48 heures après en avoir pris connaissance (voir le DPA).
• Pour les traitements dont MiaSys est responsable : notification à la CNIL dans les 72 heures lorsque la violation présente un risque pour les personnes (article 33 du RGPD).
• Signalement de vulnérabilités : contact@miasys.fr (voir aussi security.txt). Objectif de réponse : 5 jours ouvrés.

Vos droits

Les utilisateurs connectés peuvent exercer une partie de leurs droits depuis leur espace RGPD :

• Droit d'accès et de portabilité (articles 15 et 20) : téléchargement des données de votre compte au format JSON ;
• Droit de rectification (article 16) ;
• Droit à l'effacement (article 17) : suppression du compte au terme d'un délai de 30 jours ;
• Retrait du consentement (article 7.3) et droit d'opposition (article 21) ;
• Droit à la limitation (article 18) : sur demande à contact@miasys.fr.

Si vous êtes le client d'un établissement qui utilise MiaSys, adressez vos demandes à cet établissement, qui est responsable du traitement de vos données.

Contact