Aperçu sécurité

SourcingPick traite des données financières et personnelles : KYC d'usine, RIB, factures, identifiants des acheteurs. Nous avons construit la plateforme avec la sécurité comme contrainte de premier ordre, sans pour autant prétendre à une certification ISO 27001 ou SOC 2 que nous n'avons pas encore.

Cette page est une lecture honnête : ce qui est en place côté technique, ce qui est en place côté gouvernance, et ce qui figure dans notre feuille de route. Elle est mise à jour à chaque changement matériel — la version qui suit reflète l'état au {{lastUpdated}}.

Si vous représentez un acheteur entreprise ou un département compliance et avez besoin d'un dossier plus profond (DPIA, RIA, questionnaire SIG Lite, etc.), écrivez-nous à security@sourcingpick.com.

Cloisonnement par rôle — tous les chemins protégés transitent par un garde requireRole(), avec contrôle additionnel d'appartenance organisationnelle. Aucun chemin ne se contente du proxy HTTP.

Journal d'audit — chaque action sensible (KYC, paiement, modification d'enchère, refus pré-tender) écrit une ligne d'auditLog avec utilisateur, payload et niveau (INFO/WARN/ALERT). Conservé indéfiniment côté DB.

Authentification — Auth.js v5 avec mots de passe bcrypt, OTP TOTP optionnel, magic-link pour les transitaires (#15). Les sessions utilisent des tokens signés HTTP-only, SameSite=Lax.

Paiements — séquestre Wise Business (rail unique depuis 2026-06). Les webhooks Wise sont signés (RSA), persistés dans WebhookEvent, et rejouables par un admin. Idempotence sur providerRef pour éviter le double encaissement.

Pièces jointes — bornes par type (image/vidéo/audio/fichier), plafond par contexte, mime sniffé à l'upload. Les liens magiques transitaires sont expirables et révocables.

Confidentialité des prix usine — la marge plateforme et le prix usine ne sont jamais exposés au client (devis à deux paliers).

Hébergement Europe (Paris / Francfort selon la stack). Les données chiffrées au repos via la couche disque du fournisseur ; les connexions DB en TLS.

Données personnelles couvertes par le RGPD : nous sommes responsables de traitement pour les comptes utilisateurs (client, usine, agent, admin) et sous-traitant pour les contenus échangés entre acheteurs et usines.

Sous-traitants principaux : Wise Business (paiements), notre hébergeur, notre prestataire mail transactionnel. La liste détaillée est disponible sur demande à security@sourcingpick.com.

Pas encore certifiés ISO 27001 ni SOC 2. Notre objectif est de boucler un audit de type 1 SOC 2 dans les 12 mois à compter de la publication v1.

Politique de signalement d'incident : sentinelle à security@sourcingpick.com. Engagement de réponse sous 24h ouvrées et notification aux personnes concernées dans les délais légaux RGPD (72h) lorsque applicable.

Programme bug bounty informel : nous n'avons pas encore de plateforme dédiée ; signalez les vulnérabilités responsablement à security@sourcingpick.com et nous traiterons en bonne foi.

Démarrage de la rédaction ISMS et préparation pré-audit SOC 2.

Tests de pénétration externes annuels — premier passage planifié 2026-Q4.

Politique de rotation des secrets + extraction des credentials en gestionnaire dédié (HashiCorp Vault ou équivalent).

Statement of Applicability ISO 27001 — en cours de préparation comme socle pour les questionnaires acheteur entreprise.