Sécurité

Tu me confies des N.A.S. Voici comment je les garde.

Un dossier d'employé, c'est un numéro d'assurance sociale, une adresse, un compte bancaire. Tu as raison d'hésiter avant de mettre ça dans un outil web. Cette page dit exactement où ça va, comment c'est protégé, qui peut le voir, et ce que ça vaut devant la loi d'ici. Sans jargon, et sans rien promettre que le code ne fait pas. Dernière mise à jour: 29 septembre 2026.

En une phrase

Les données sensibles sont chiffrées avant d'entrer dans la base, avec une clé propre à ton établissement, elles ne s'affichent jamais en entier, chaque fois que quelqu'un les révèle c'est écrit dans un journal, et personne chez nous n'y entre sans que tu le demandes.

Ce qui est chiffré, et comment

Le N.A.S., le compte bancaire, la date de naissance et l'adresse de chaque employé sont chiffrés au repos avec AES-256-GCM, la norme utilisée par les banques. La clé maîtresse ne vit pas dans la base de données: elle est dans la configuration du serveur, séparée. Et chaque établissement chiffre avec sa propre clé dérivée de la clé maîtresse: les dossiers d'un resto ne se déchiffrent jamais avec la clé d'un autre. En production, je refuse d'écrire un dossier d'employé si la clé est absente.

À l'écran, on ne voit que la fin: «••• ••• 482». Pour voir le numéro complet, il faut cliquer «Révéler», et ce clic est journalisé avec le nom de la personne connectée, la date et l'heure. Le propriétaire voit ce journal dans la boîte noire. Les mots de passe des comptes de gestion sont hachés, jamais lisibles, même par nous. Tout passe en HTTPS, rien ne circule en clair.

Où sont les serveurs

Voici les fournisseurs qui touchent à des données, avec le pays. Les cinq premiers font fonctionner le produit; les deux derniers ne voient que le site de vente, et seulement si tu acceptes les témoins. Rien n'est vendu, partagé ni comparé entre restos.

Oui, la base est aux États-Unis. On le dit parce que c'est vrai, et parce que la loi québécoise demande qu'on le dise. Elle n'interdit pas d'héberger hors Québec: elle exige qu'on évalue le risque avant de le faire, qu'on obtienne une protection équivalente par contrat, et qu'on protège les données elles-mêmes. C'est pour ça que les champs sensibles sont chiffrés par l'application avant d'être écrits dans la base, et que la clé est gardée à part: ce qui est stocké, c'est du texte illisible sans elle. Le jour où un fournisseur canadien offre le même service au même niveau, on déménage, et cette page changera.

Qui voit quoi

Le propriétaire voit tout de son établissement. Le gestionnaire qu'il invite voit les dossiers d'employés (il embauche), mais pas les réglages de coûts, pas l'abonnement, pas la boîte noire, et il ne peut pas supprimer un employé. L'équipe, avec le code d'équipe, voit l'horaire, ses dispos et le cartable: jamais un dossier, jamais un chiffre. Depuis v160, le cellulaire de chaque personne peut s'afficher sous son nom dans la grille, pour que l'équipe s'appelle entre elle; le propriétaire ferme l'affichage dans Réglages, Modules. Chaque établissement est isolé des autres par son adresse et par sa clé. Le compte de la plateforme (Pista Studio) n'entre dans un établissement que sur demande écrite du propriétaire, pour du soutien, et ça se voit dans la boîte noire du resto.

Contre les abus: connexions limitées (8 essais puis 15 minutes de pause), codes d'équipe limités (10 essais), second facteur (application d'authentification) offert sur les comptes de gestion, «déconnecter partout» qui révoque toutes les sessions d'un coup, et une politique de sécurité du navigateur (CSP) qui bloque les scripts qui ne viennent pas de nous.

Combien de temps, et comment ça s'efface

Tant que l'abonnement est actif. Un employé archivé reste au dossier parce que les obligations d'un employeur durent après son départ; le propriétaire peut le supprimer pour de bon quand la loi le permet. Quand tu fermes ton compte, tu as 30 jours pour exporter (CSV et JSON, tout, en un clic), puis l'établissement, les dossiers et les journaux sont effacés automatiquement. Chaque nuit, une sauvegarde chiffrée de chaque établissement est prise et gardée quatorze jours (celle du lundi, trois mois), pour qu'une erreur ou une panne se répare; un compte effacé en sort donc au plus tard trois mois plus tard. Neon garde en plus un historique de restauration de courte durée.

La loi au Québec et au Canada

La Loi 25 (la loi québécoise sur la protection des renseignements personnels dans le secteur privé, modernisée en 2022 à 2024) impose des obligations à ton resto comme employeur, et à nous comme fournisseur. Voici ce qu'on tient de notre bord.

Un responsable nommé: le président de Pista Studio, bonjour@bonjourgus.com. Une politique de confidentialité en français clair, publiée. Une évaluation des facteurs relatifs à la vie privée pour l'hébergement hors Québec, tenue à jour à chaque changement de fournisseur. Le consentement demandé avant les témoins publicitaires et d'audience du site (Meta, Google Ads, Google Analytics), et retirable en un clic («Témoins» au bas de la page). Un registre des incidents, et l'avis au propriétaire de chaque établissement touché et à la Commission d'accès à l'information quand un incident présente un risque de préjudice sérieux. Les droits d'accès, de correction, d'effacement et de portabilité: l'export est ouvert en tout temps, et une demande d'un employé passe par son resto, qui tient le dossier, avec notre aide si ça bloque. La protection par défaut: les champs sensibles sont masqués et chiffrés sans que tu aies rien à configurer.

Ce qui reste de ton bord comme employeur: nommer ton propre responsable (souvent le proprio), ne collecter que ce dont tu as besoin (le N.A.S. sert à la paie et aux relevés, pas à autre chose), et répondre à tes employés qui demandent à voir leur dossier. Gus te donne l'outil; la décision de ce que tu y mets reste la tienne.

Ton resto est ailleurs au Canada? C'est la loi fédérale, la LPRPDE, qui s'applique (ou la loi de ta province en Alberta et en Colombie-Britannique). Les principes sont les mêmes: consentement, limitation de la collecte, mesures de sécurité adaptées, accès de la personne à son dossier, et déclaration au Commissariat à la protection de la vie privée des atteintes qui présentent un risque réel de préjudice grave. Les mesures décrites plus haut valent partout. Aux États-Unis ou en Espagne, la page Security (United States) ou Seguridad (España) décrit les règles de ton pays.

Ce qu'on ne prétend pas

On n'a pas de certification SOC 2 ni ISO 27001: c'est un produit d'une petite équipe de Québec, bâti sur des fournisseurs qui les ont (Vercel, Neon, Stripe). On n'a pas encore fait auditer le code par une firme externe. Si ton resto fait partie d'un groupe qui l'exige, dis-le nous, on regardera ensemble ce que ça prend.

Une faille, une question

Tu as trouvé quelque chose qui cloche? Écris à bonjour@bonjourgus.com avec «sécurité» dans l'objet: on répond en semaine, dans la journée, et on ne poursuit pas quelqu'un qui nous aide de bonne foi. Pour tout le reste, la politique de confidentialité et les conditions disent qui promet quoi.

Créer mon établissement · Vingt minutes avec un humain · Retour à l'accueil