Sécurité

BeatCount traite des données comptables et des données de vente Amazon. Cette page dit comment nous prévenir quand quelque chose ne va pas, et ce que nous faisons ensuite.

Signaler une vulnérabilité ou un incident

Adresse de signalement

security@beatcount.fr

Décrivez ce que vous avez trouvé, comment le reproduire, et l'impact que vous y voyez. Une capture ou une requête suffit souvent.

BeatCount est une très petite structure : les signalements arrivent sur une seule boîte, relevée par une seule personne. Il n’y a ni astreinte ni surveillance continue, et le délai de réponse s’allonge pendant une absence. Si votre signalement est critique, indiquez-le en objet : c’est ce qui nous permet de le traiter en premier.

Ce que nous demandons

Ne consultez, ne modifiez et ne supprimez aucune donnée qui ne vous appartient pas. Un compte de démonstration suffit à démontrer une faille.
Pas de test de déni de service, pas d’envoi massif, pas d’hameçonnage de nos clients ou de notre équipe.
Laissez-nous un délai raisonnable pour corriger avant toute publication.

Ce que nous faisons

Nous visons un accusé de réception sous trois jours ouvrés. Une seule personne relève cette boîte : pendant une absence, ce délai s’allonge.
Nous suivons un plan de réponse écrit, révisé tous les six mois, et nous tenons un registre des incidents — y compris de ceux qui n’ont causé aucun dommage.
Nous vous tenons informé de la correction, et nous vous créditons si vous le souhaitez.
Nous n’engagerons aucune action à l’encontre d’un chercheur qui respecte les règles ci-dessus.

Nous n’avons pas de programme de récompense. Le dire est plus honnête que de le laisser espérer.

Si une violation de données survient

Nous suivons un plan écrit, révisé tous les six mois. Les délais ci-dessous courent à compter du moment où nous avons connaissance de la violation.

Qui est prévenu	Sous	Au titre de
Amazon	24 heures	exigence du programme Selling Partner API
Le client concerné	48 heures	accord de sous-traitance, article 5
La CNIL	72 heures	RGPD, article 33, en cas de violation de données personnelles
Les personnes concernées	sans délai injustifié	RGPD, article 34, lorsque le risque est élevé

Le détail de nos obligations envers nos clients figure à l'article 5 de l'accord de sous-traitance.

Comment vos données sont protégées

Chiffrement en transit

TLS 1.3 sur le site et sur l’API, redirection permanente depuis HTTP, et connexion chiffrée à la base de données. Tous les appels sortants vers Amazon, Pennylane, Stripe et Resend sont en HTTPS.

Secrets et mots de passe

Les clés d’API des services tiers que vous connectez sont chiffrées en base (AES-256-GCM). Les mots de passe sont hachés avec bcrypt et ne sont jamais stockés en clair, ni lisibles par nous.

Cloisonnement des comptes

Chaque requête est filtrée par le compte qui l’émet, dans la requête elle-même : demander une donnée qui appartient à quelqu’un d’autre répond « introuvable », sans révéler qu’elle existe. L’accès d’un administrateur passe par un contrôle unique, appliqué à l’ensemble des routes d’administration.

Accès d’administration

Un accès d’administration exige un mot de passe et un code à usage unique renouvelé toutes les trente secondes. Ces sessions durent sept jours, contre trente pour un compte ordinaire, et chaque consultation des données d’un compte par un administrateur est enregistrée dans un journal interne conservé douze mois.

Hébergement dans l’Union européenne

Services applicatifs et base de données hébergés à Francfort par Render Services, Inc., qui fait réaliser des audits SOC 2 et ISO 27001 annuels. Sauvegardes avec récupération à un instant T sur les trois derniers jours.

Pour toute autre question — accès à vos données, suppression de votre compte, facturation — écrivez à contact@beatcount.fr.