Sécurité
Vos données sont entre de bonnes mains.
Une réservation contient le nom, le numéro de téléphone et le paiement de votre client. Nous prenons soin de ces données selon le RGPD, et cette page dit ouvertement comment nous les stockons et les protégeons.
Où sont stockées vos données.
Vos réservations et les données de vos clients sont stockées en France, sur des disques chiffrés.
Des serveurs à Paris
Let's Book tourne chez Scalingo, un hébergeur français, dans sa région de Paris. Scalingo est certifié ISO 27001, et certifié en France pour héberger des données de santé (HDS).
Réseau privé, disques chiffrés
La base de données se trouve sur des disques chiffrés, dans un réseau privé que l'internet ne peut pas atteindre. Chaque connexion à Let's Book passe par HTTPS.
Les numéros de carte ne nous parviennent jamais
Votre client saisit les données de sa carte dans un champ servi par Stripe ou Mollie. Le numéro de carte va directement chez eux et ne passe jamais par nos serveurs.
Comment nous assurons la sécurité du logiciel de location de bateaux.
Voici les mesures que nous prenons aujourd'hui, de la connexion aux sauvegardes.
Mots de passe hachés, essais limités
Nous stockons les mots de passe sous forme de hachages bcrypt et refusons un nouveau mot de passe qui figure dans une fuite de données connue. Après cinq essais erronés, la connexion attend 15 minutes.
Authentification à deux facteurs par SMS
Chaque membre de l'équipe peut activer un code par SMS en plus du mot de passe. Un appareil de confiance se passe du code pendant 30 jours.
Des sessions chiffrées
Le cookie de session est chiffré, ne circule qu’en HTTPS et reste hors de portée des scripts de la page. Un lien de réinitialisation du mot de passe que vous demandez vous-même expire après 15 minutes.
Les réponses sensibles chiffrées
Marquez une question du formulaire de réservation comme sensible, et les réponses sont chiffrées en AES-256 dans la base de données. Toutes les réponses sont supprimées deux semaines après la fin de la réservation.
Clés API hachées, webhooks signés
Nous ne stockons qu'un hachage de chaque clé API, donc vous la voyez une seule fois. Chaque webhook porte une signature HMAC-SHA256 avec un secret qui lui est propre.
Des sauvegardes chiffrées deux fois par jour
Un service certifié ISO 27001 fait une sauvegarde chiffrée deux fois par jour, et Scalingo en fait une de plus chaque jour. Chaque trimestre, nous restaurons une sauvegarde pour la tester.
Qui peut voir vos données.
Dans votre équipe, vous décidez de ce que chaque personne voit et fait. Chez Let's Book, seuls nos développeurs peuvent atteindre la base de données.
Rôles et permissions
Quatre rôles sont fournis avec le compte, ou vous composez le vôtre à partir de permissions individuelles. Un Dock Host voit le planning du jour, pas le chiffre d’affaires.
Accès par site
Vous pouvez donner à un membre de l'équipe l'accès à un seul quai. Invitez autant de personnes que vous voulez, sans frais par utilisateur, donc personne n'a besoin de partager un identifiant.
Chronologie de la réservation
Chaque réservation montre ce qui a changé, qui l'a changé et quand. Cela couvre les changements faits par un collègue, par le client et par le système.
Peu de monde chez Let's Book
Seuls nos développeurs peuvent atteindre la base de données de production. Notre équipe utilise un gestionnaire de mots de passe et l'authentification à deux facteurs sur chaque outil qui contient des données.
Dock Host
Planning du jour
Les données de vos clients sous le RGPD.
Les données sont à vous, et nous les conservons pour vous. Nos conditions générales disent ce que cela signifie.
Vous êtes responsable du traitement, nous sommes sous-traitant(en anglais)
Sous le RGPD, vous décidez de ce qu'il advient des données de vos clients, et nous l'exécutons. Nous ne les traitons jamais pour nos propres besoins.
Confidentiel par contrat(en anglais)
Ce que vous nous confiez en confidence reste confidentiel selon le contrat. Cela engage nos propres collaborateurs et toute personne que nous faisons intervenir.
Anonymisation RGPD en une seule action
Sous le RGPD, un client peut demander à être oublié. Une seule action anonymise ses données et le retire de la recherche.
Vous avez trouvé un problème de sécurité ?
Écrivez à tech@lets-book.com avec les étapes pour le reproduire. Nos développeurs le lisent.