Sécurité et protection des données, en toute transparence
Stadlio gère réservations, paiements et données de lieux et de voyageurs. Voici, concrètement, où se trouvent les données, comment nous les protégeons et sur quels fournisseurs certifiés nous nous appuyons.
Mis à jour en octobre 2026
Hébergé en Allemagne
Données clients sur l’infrastructure Hetzner, dans l’Union européenne
Chiffrement en transit
HTTPS/TLS sur le site, l’API, le CMS et l’administration
Secrets chiffrés AES-256
Jetons, identifiants et données sensibles chiffrés au repos
Sauvegardes chiffrées
Chaque nuit, copie externe, restauration testée chaque semaine
Paiements PCI DSS
Traités par Stripe : aucune donnée de carte sur nos serveurs
RGPD · nLPD
Traitement des données aligné sur le droit européen et suisse
Comment nous protégeons la plateforme
Huit domaines de contrôle, décrits pour ce que nous faisons réellement.
01
Données et confidentialité
Données clients hébergées en Allemagne
Nous ne vendons pas de données personnelles
Analytics chargés uniquement après consentement aux cookies
Registre des choix de consentement
Accord de traitement des données (DPA) sur demande
02
Infrastructure
Serveurs chez Hetzner, centres de données en Allemagne
Services dans des conteneurs séparés, derrière un reverse proxy
Certificats TLS renouvelés automatiquement
Environnement de staging séparé de la production
Déploiements suivis depuis un dépôt avec branches dédiées
03
Accès et authentification
Mots de passe stockés uniquement sous forme de hash bcrypt, jamais en clair
Jetons d’accès à courte durée, renouvellement contrôlé
Sessions d’administration révocables
Permissions par rôle pour l’équipe et les équipes clientes
Panneau d’administration séparé du CMS des clients
04
Protection de l’API
Limites de requêtes sur connexion, inscription, récupération de mot de passe et codes OTP
Blocage des adresses IP abusives
En-têtes de sécurité et politique restrictive sur les réponses de l’API
Signature des webhooks Stripe vérifiée
Limites de taille sur les requêtes et les envois de fichiers
05
Séparation entre clients
Chaque client travaille dans son propre espace de données (tenant)
Les requêtes authentifiées sont liées au tenant d’appartenance
Intégrations avec des identifiants distincts pour chaque client
06
Chiffrement et secrets
AES-256-GCM pour les jetons OAuth et les identifiants d’intégration
Données sensibles des documents de conducteur chiffrées en base
Clés et secrets hors du code source, dans un coffre sur le serveur
Sauvegardes chiffrées avec une clé privée conservée hors du serveur
07
Sauvegarde et continuité
Sauvegarde de la base de données chaque nuit
Copie chiffrée sur un stockage externe séparé
Restauration de test automatique chaque semaine
Alertes par e-mail et messagerie si une sauvegarde échoue
08
Traçabilité et surveillance
Journal des actions d’administration : qui, quoi, quand, depuis quelle IP
Journal des modifications sensibles dans le CMS de chaque client
Journaux d’erreurs avec identifiant de requête
Contrôles d’état et alertes sur les services
Fournisseurs à l’infrastructure certifiée
Nous nous appuyons sur des fournisseurs qui maintiennent des certifications de sécurité indépendantes.
FournisseurRôleCertifications du fournisseur
HetznerHébergement de la plateforme et de la base de données (Allemagne)ISO/IEC 27001
StripePaiements et Stripe ConnectPCI DSS Level 1SOC 2
VercelHébergement du site webSOC 2 Type IIISO/IEC 27001
CloudflareStockage des sauvegardes chiffréesISO/IEC 27001SOC 2 Type II
BrevoEnvoi d’e-mails transactionnelsISO/IEC 27001
Les certifications indiquées appartiennent aux fournisseurs, pas à Stadlio. Pour le détail du traitement des données, consultez la politique de confidentialité.
Signaler une vulnérabilité
Si vous pensez avoir trouvé un problème de sécurité, écrivez-nous : nous l’examinons en priorité et nous vous répondons. Merci de ne pas accéder aux données d’autres utilisateurs et de nous laisser le temps de corriger avant toute divulgation.
En cas de violation de données personnelles, nous informons sans délai les clients concernés et, lorsque la loi l’exige, dans les 72 heures suivant la prise de connaissance.
Besoin d’un DPA ou d’un questionnaire de sécurité ?
Nous répondons aux demandes de due diligence des lieux, des organismes publics et des groupes hôteliers.