Sécurité & Conformité chez Scell.io
Transparence totale sur notre infrastructure, nos sous-traitants et nos engagements. Parce que la confiance se mérite — et se prouve.
Nos certifications & engagements
Scell.io est conçu dès sa fondation pour répondre aux exigences réglementaires françaises et européennes.
ISCA Autocertifié
Intégrité, Sécurisation, Conservation, Archivage — chaîne SHA-256 immuable + ancrage OpenTimestamps Bitcoin.
RGPD Conforme
DPA Article 28 disponible en self-service. Données hébergées exclusivement en France (Scaleway). Pas de transfert hors UE.
eIDAS EU-SES
Signature Électronique Simple conforme au règlement eIDAS (UE) 910/2014. Implémentée via OpenAPI.com.
Factur-X / UBL / CII
Formats conformes EN16931. Soumission vers la PDP officielle SUPER PDP pour la facturation interentreprises.
Object Lock S3 11 ans
Conservation immuable des documents fiscaux sur S3 (mode COMPLIANCE). Conformément au CGI art. 54.
SOC 2 Type 1
Évaluation planifiée par un organisme tiers indépendant.
ISO 27001
Certification en cours de préparation dans le cadre de notre programme de sécurité.
Mesures techniques de protection
Un ensemble de contrôles techniques et organisationnels (TOM) appliqués par défaut sur l'ensemble de notre infrastructure.
Chiffrement
AES-256 au repos. TLS 1.3 en transit. APP_KEY Laravel pour les données sensibles en base.
Isolation tenant (RLS)
Row-Level Security PostgreSQL. Chaque tenant accède uniquement à ses propres données. Impossible de croiser les données entre clients.
MFA Admin
Authentification multifacteur obligatoire (TOTP) pour tous les comptes administrateurs. Codes de récupération sécurisés.
API Keys sécurisées
Clés API hashées (bcrypt). Scoping par niveau (sk_live, sk_test). Révocation instantanée en dashboard.
Piste d'audit immuable
Trigger PostgreSQL SECURITY DEFINER. Audit logs append-only. Toute modification fiscale est traçée et archivée.
CI/CD avec scan sécurité
Semgrep, Trivy, Composer audit et pnpm audit à chaque pipeline. Vulnérabilités bloquantes avant merge.
Monitoring 24/7
Sentry EU pour la détection d'erreurs. Alertes temps réel. Logs structurés centralisés.
DR & RTO/RPO
Test DR mensuel. RTO cible : 4h. RPO cible : 1h. Sauvegardes quotidiennes chiffrées sur Scaleway S3.
Pentest externe
Test d'intrusion externe planifié au Q3 2026. Les rapports seront communiqués aux clients enterprise sur demande.
Nos sous-traitants de données
Tous nos sous-traitants sont localisés en Union Européenne ou en France. Aucun transfert de données hors UE.
| Sous-traitant | Localisation | DPA |
|---|---|---|
| Scaleway | France | Disponible |
| Stripe | UE (Irlande) | Disponible |
| SUPER PDP | France | Disponible |
| OpenAPI.com | UE | Disponible |
| Mistral AI | France | Disponible |
| BulkGate | UE (Tchéquie) | Disponible |
| Sentry (EU) | UE (Allemagne) | Disponible |
| Resend | UE | Disponible |
| PostHog EU | UE (Allemagne) | Disponible |
Recevoir les mises à jour des sous-traitants
Soyez notifié par e-mail lors de tout changement dans notre liste de sous-traitants.
Disponibilité & Statut
Objectif SLA 99.9%. Incidents publiés en temps réel sur notre page de statut publique.
La page de statut publique est déployée séparément de l'API — disponible même en cas d'incident.
Documentation contractuelle
L'ensemble de nos documents légaux et contractuels, disponibles en ligne.
Signaler une vulnérabilité
Vous avez identifié une faille de sécurité ? Nous prenons tous les rapports au sérieux.
Signalement de vulnérabilité
security@scell.ioDivulgation responsable. Nous vous répondons sous 48h ouvrées.
Délégué à la Protection des Données
dpo@scell.ioPour toute demande relative à vos droits RGPD (accès, rectification, suppression).
Clé PGP
Pour les rapports de sécurité chiffrés, notre clé publique PGP est disponible sur request.
Demander la clé PGPBug Bounty
Programme de bug bounty en cours de mise en place. Disponible prochainement.
Notre programme de conformité
Notre démarche de conformité progresse de manière transparente. Voici où nous en sommes.
ISCA Autocertifié
— ActifPiste d'audit ISCA avec chaîne SHA-256 immuable et ancrage OpenTimestamps sur la blockchain Bitcoin.
SOC 2 Type 1
— PlanifiéAudit par un organisme tiers indépendant. Le rapport sera partagé sous NDA aux clients enterprise.
ISO/IEC 27001
— PlanifiéCertification du système de management de la sécurité de l'information.
Une question sur la sécurité ou la conformité ?
Notre équipe répond aux questions de conformité en moins de 48h. Pour les comptes enterprise, nous proposons des appels dédiés avec revue de notre architecture de sécurité.