Sécurité PayToMe : comment nous protégeons vos données

La sécurité PayToMe part d’une idée simple : les données les plus sûres sont celles que nous ne collectons jamais. Cette page décrit ce que nous faisons aujourd’hui pour protéger les visiteurs de ce site, comment les comptes et les paiements sont gérés et comment signaler un problème. PayToMe est en bêta publique. Nous le disons là où une protection n’est pas encore en place.

Sécurité PayToMe : ce qui est en place aujourd’hui

Connexions chiffrées

Le site est servi en HTTPS. Nous envoyons aussi un en-tête HTTP Strict Transport Security (HSTS), qui indique aux navigateurs d’utiliser HTTPS pour les prochaines visites du site.

Protections strictes du navigateur

Nous envoyons une Content Security Policy (CSP) stricte et d’autres en-têtes de sécurité. Une CSP limite les scripts, les styles et les connexions qu’une page peut utiliser, ce qui réduit les dégâts si quelqu’un tentait d’injecter du code malveillant. Le site ne charge aucun script tiers.

Ni cookies ni traceurs

Le site ne dépose aucun cookie et n’exécute aucun outil d’analyse ni traceur publicitaire. Il n’y a aucun script de suivi susceptible d’être divulgué, vendu ou détourné.

Les données des générateurs restent dans votre navigateur

Les outils gratuits, comme le générateur de factures et le calculateur de pénalités de retard, s’exécutent dans votre navigateur. Ce que vous y saisissez, y compris les noms de clients, les lignes et les montants, n’est pas envoyé à nos serveurs. Retrouvez-les tous sur la page des outils.

Données de la newsletter

La newsletter est facultative. Si vous la rejoignez, nous stockons votre adresse e-mail, l’heure de votre inscription et la page depuis laquelle vous vous êtes inscrit. Le site est hébergé chez Cloudflare, qui exploite aussi la base de données contenant les inscriptions à la newsletter. Les e-mails sont envoyés via Resend. Ces deux entreprises traitent des données pour notre compte. Ce que nous stockons et pourquoi est décrit dans la politique de confidentialité.

Pour limiter les abus du formulaire de la newsletter, nous conservons un hachage salé de l’adresse IP à la place de l’adresse brute.

Connexion

Les personnes ont des comptes sur app.paytome.si. Vous vous connectez avec une clé d’accès, un portefeuille ou un code envoyé à votre adresse e-mail. Une clé d’accès signifie qu’il n’y a pas de mot de passe à deviner ou à se faire hameçonner. Nous ne vous demandons jamais par e-mail une clé d’accès, une phrase de récupération de portefeuille ou un code de connexion : tout message qui le fait est suspect.

Paiements

Les paiements sont traités par Stripe. PayToMe ne stocke pas les numéros de carte. Les plans payants sont des abonnements facturés par Stripe, et vous pouvez les annuler à tout moment.

Une IA sûre

L’assistant Via prépare les factures et demande avant d’envoyer. Les totaux sont calculés par le moteur de facturation de PayToMe, pas par le modèle d’IA. Via est disponible en bêta.

Ce qui est en développement

Ces éléments sont en développement et ne sont pas encore en ligne.

• L’application mobile. Elle est en développement, et cette page sera complétée pour la couvrir lorsqu’elle sera en ligne.

Nous ne revendiquerons aucune certification, comme SOC 2 ou PCI DSS, tant que nous ne la détiendrons pas.

Signaler une faille

Nous accueillons les signalements des chercheurs en sécurité et de toute personne qui repère quelque chose d’étrange. Nos coordonnées suivent la RFC 9116, la norme du fichier security.txt, et sont publiées à /.well-known/security.txt.

Pour signaler un problème, écrivez à security@paytome.si en indiquant :

1. Une description du problème et de son impact.
2. Les étapes pour le reproduire, ou une preuve de concept.
3. L’adresse de la page ou le composant concerné.
4. Comment vous joindre, si vous souhaitez une réponse.

Règles de base

• Testez uniquement sur vos propres données et sessions. N’accédez pas aux données d’autrui, ne les modifiez pas et ne les supprimez pas.
• N’effectuez pas de tests de déni de service et n’envoyez pas de spam via le formulaire de la newsletter.
• Laissez-nous un délai raisonnable pour corriger le problème avant de partager des détails publiquement.
• N’employez pas d’ingénierie sociale contre qui que ce soit.

Si vous respectez ces règles, nous considérerons votre signalement comme fait de bonne foi. Nous lirons chaque signalement et traiterons les problèmes confirmés.

Pas encore de programme de bug bounty

PayToMe ne gère pas de programme de bug bounty pour le moment : nous ne pouvons donc pas offrir de rémunération pour les signalements. Nous pouvons offrir des remerciements et, avec votre autorisation, une mention une fois le problème corrigé. Si nous lançons un programme, cette page l’indiquera.

Ce que vous pouvez faire

• Utilisez un navigateur à jour, afin qu’il applique les protections que nous envoyons.
• Si vous recevez un e-mail prétendant venir de PayToMe et demandant un mot de passe ou des données de paiement, ne répondez pas. Transférez-le à security@paytome.si.
• Rappelez-vous que les générateurs gardent vos données dans votre navigateur : effacer les données du site ou fermer l’onglet les supprime.

Questions

Pour tout ce qui n’est pas couvert ici, consultez la page de contact ou lisez notre approche sur la page À propos.