Stadlio

Trust center

Sécurité et protection des données, en toute transparence

Stadlio gère réservations, paiements et données de lieux et de voyageurs. Voici, concrètement, où se trouvent les données, comment nous les protégeons et sur quels fournisseurs certifiés nous nous appuyons.

Mis à jour en octobre 2026

  • Hébergé en Allemagne

    Données clients sur l’infrastructure Hetzner, dans l’Union européenne

  • Chiffrement en transit

    HTTPS/TLS sur le site, l’API, le CMS et l’administration

  • Secrets chiffrés AES-256

    Jetons, identifiants et données sensibles chiffrés au repos

  • Sauvegardes chiffrées

    Chaque nuit, copie externe, restauration testée chaque semaine

  • Paiements PCI DSS

    Traités par Stripe : aucune donnée de carte sur nos serveurs

  • RGPD · nLPD

    Traitement des données aligné sur le droit européen et suisse

Comment nous protégeons la plateforme

Huit domaines de contrôle, décrits pour ce que nous faisons réellement.

01

Données et confidentialité

  • Données clients hébergées en Allemagne
  • Nous ne vendons pas de données personnelles
  • Analytics chargés uniquement après consentement aux cookies
  • Registre des choix de consentement
  • Accord de traitement des données (DPA) sur demande
02

Infrastructure

  • Serveurs chez Hetzner, centres de données en Allemagne
  • Services dans des conteneurs séparés, derrière un reverse proxy
  • Certificats TLS renouvelés automatiquement
  • Environnement de staging séparé de la production
  • Déploiements suivis depuis un dépôt avec branches dédiées
03

Accès et authentification

  • Mots de passe stockés uniquement sous forme de hash bcrypt, jamais en clair
  • Jetons d’accès à courte durée, renouvellement contrôlé
  • Sessions d’administration révocables
  • Permissions par rôle pour l’équipe et les équipes clientes
  • Panneau d’administration séparé du CMS des clients
04

Protection de l’API

  • Limites de requêtes sur connexion, inscription, récupération de mot de passe et codes OTP
  • Blocage des adresses IP abusives
  • En-têtes de sécurité et politique restrictive sur les réponses de l’API
  • Signature des webhooks Stripe vérifiée
  • Limites de taille sur les requêtes et les envois de fichiers
05

Séparation entre clients

  • Chaque client travaille dans son propre espace de données (tenant)
  • Les requêtes authentifiées sont liées au tenant d’appartenance
  • Intégrations avec des identifiants distincts pour chaque client
06

Chiffrement et secrets

  • AES-256-GCM pour les jetons OAuth et les identifiants d’intégration
  • Données sensibles des documents de conducteur chiffrées en base
  • Clés et secrets hors du code source, dans un coffre sur le serveur
  • Sauvegardes chiffrées avec une clé privée conservée hors du serveur
07

Sauvegarde et continuité

  • Sauvegarde de la base de données chaque nuit
  • Copie chiffrée sur un stockage externe séparé
  • Restauration de test automatique chaque semaine
  • Alertes par e-mail et messagerie si une sauvegarde échoue
08

Traçabilité et surveillance

  • Journal des actions d’administration : qui, quoi, quand, depuis quelle IP
  • Journal des modifications sensibles dans le CMS de chaque client
  • Journaux d’erreurs avec identifiant de requête
  • Contrôles d’état et alertes sur les services

Fournisseurs à l’infrastructure certifiée

Nous nous appuyons sur des fournisseurs qui maintiennent des certifications de sécurité indépendantes.

  • HetznerHébergement de la plateforme et de la base de données (Allemagne)ISO/IEC 27001
  • StripePaiements et Stripe ConnectPCI DSS Level 1SOC 2
  • VercelHébergement du site webSOC 2 Type IIISO/IEC 27001
  • CloudflareStockage des sauvegardes chiffréesISO/IEC 27001SOC 2 Type II
  • BrevoEnvoi d’e-mails transactionnelsISO/IEC 27001

Les certifications indiquées appartiennent aux fournisseurs, pas à Stadlio. Pour le détail du traitement des données, consultez la politique de confidentialité.

Signaler une vulnérabilité

Si vous pensez avoir trouvé un problème de sécurité, écrivez-nous : nous l’examinons en priorité et nous vous répondons. Merci de ne pas accéder aux données d’autres utilisateurs et de nous laisser le temps de corriger avant toute divulgation.

admin@stadlio.comsecurity.txt

Gestion des incidents

En cas de violation de données personnelles, nous informons sans délai les clients concernés et, lorsque la loi l’exige, dans les 72 heures suivant la prise de connaissance.

Besoin d’un DPA ou d’un questionnaire de sécurité ?

Nous répondons aux demandes de due diligence des lieux, des organismes publics et des groupes hôteliers.