Sécurité des données
Version 1.0 du 23/09/2026 — entrée en vigueur le 23/09/2026. Description des mesures techniques et organisationnelles effectivement en place sur FactSecure à cette date. Les engagements contractuels de sécurité (sous-traitance) figurent dans l'Annexe 1 des CGS (Lexic).
Portée du document
La présente page décrit, à la date de la version 1.0 du 23/09/2026, les mesures techniques et organisationnelles majeures effectivement mises en œuvre sur la plateforme FactSecure en production. Elle constitue une information à destination des prospects et Clients et doit rester alignée sur l’état réel du service.
Les engagements contractuels de FactSecure en matière de sécurité du traitement, lorsqu’il agit en qualité de sous-traitant, sont précisés et versionnés dans l’annexe relative à la sécurité jointe à l’accord de sous-traitance (Annexe 1 des CGS / DPA). En cas de contradiction sur un point contractuel, les CGS et cette annexe prévalent.
FactSecure s’interdit de présenter ici des mesures non déployées, des objectifs non tenus ou des certifications dont il ne disposerait pas pour son propre compte.
1) Hébergement et données de santé (HDS)
FactSecure est destiné aux professions libérales paramédicales. Les données traitées sur la plateforme (notamment l’association de l’identité d’un patient à la spécialité du praticien émetteur sur une facture d’honoraires) sont susceptibles de relever du régime de protection des données relatives à la santé au sens de l’article 9 du RGPD, sans que la plateforme ne constitue un dossier patient ni n’héberge de données de diagnostic ou de traitement.
En production, l’application et la base de données sont hébergées en France auprès de Scalingo SAS, hébergeur certifié Hébergeur de Données de Santé (HDS), sur des ressources éligibles à cette certification. La certification HDS concerne l’hébergeur ; elle ne vaut pas certification HDS de l’Éditeur FactSecure en tant qu’éditeur logiciel.
Toute évolution substantielle de l’hébergeur est portée à la connaissance des Clients dans les conditions des CGS (Annexe 1). Voir aussi l’article CGS relatif aux données et à l’hébergement, et l’annexe de sous-traitance / DPA.
2) Contrôle d'accès et séparation des espaces
- Authentification des utilisateurs pour l'espace cabinet avec gestion des rôles et états de compte.
- Espace administration FactSecure distinct, protégé par des contrôles dédiés.
- Session d'administration protégée par un accès temporaire et renouvelable, afin de limiter les risques de détournement de session.
- Isolation par organisation pour limiter l'accès aux données du seul cabinet concerné.
- Les messages issus du formulaire public sont stockés dans un modèle dédié, séparés des données des cabinets enregistrés, pour éviter toute confusion entre contact externe et compte cabinet.
3) Chiffrement en transit
- Chiffrement des échanges en transit via HTTPS sur les environnements de production, avec redirection systématique du HTTP vers le HTTPS.
- Renforcement HSTS (Strict-Transport-Security) et directive Content-Security-Policy upgrade-insecure-requests en production.
- Cookies de session marqués Secure en production.
4) Chiffrement au repos (base de données et sauvegardes)
En production, FactSecure héberge l'application et la base PostgreSQL auprès de Scalingo SAS (PaaS certifié HDS, région France). Le chiffrement au repos de la base et des sauvegardes est assuré au niveau de l'infrastructure managée, et non par un chiffrement applicatif colonne par colonne des données patients.
- Base PostgreSQL (plan Business) : chiffrement au repos activé par défaut sur Scalingo (dm-crypt, algorithme aes-xts-plain64, clé de 256 bits, hachage SHA-256).
- Chaque instance de base dispose de sa propre clé cryptographique ; les clés sont gérées par Scalingo, stockées dans un référentiel lui-même chiffré et protégé par authentification. FactSecure ne détient pas ces clés d'infrastructure et n'y a pas accès opérationnel.
- Sauvegardes managées Scalingo : chiffrées et répliquées dans les zones de disponibilité de la région d'hébergement, selon la politique de sauvegarde du plan.
- Complément applicatif : les paramètres de personnalisation PDF (mentions, cachet) sont chiffrés côté serveur en AES-256-GCM au moyen de la clé d'environnement, gérée par FactSecure (rotation / renouvellement sous contrôle de l'Éditeur).
5) Sauvegardes, objectifs de reprise et tests de restauration
En production, les données PostgreSQL font l’objet de sauvegardes managées par Scalingo SAS (plan Business) : sauvegardes logiques quotidiennes et mécanisme de reprise ponctuelle (Point-in-Time Recovery). Les sauvegardes sont chiffrées et répliquées dans les zones de disponibilité de la région d’hébergement.
Objectifs opérationnels retenus par FactSecure :
RPO (perte de données maximale admissible) : vingt-quatre (24) heures, en cohérence avec l’engagement de sauvegardes quotidiennes de l’article 11 des CGS. La plateforme dispose en outre d’une capacité technique de reprise ponctuelle permettant, dans la fenêtre de rétention Scalingo (sept jours pour le plan Business en ressources partagées), une restauration à un instant antérieur plus fin.
RTO (délai de reprise maximal admissible) : huit (8) heures ouvrées à compter de la décision de restauration, pour un incident majeur affectant la base de production (hors cas de force majeure ou indisponibilité de l’hébergeur).
Rétention (indicatif, selon politique Scalingo Business — ressources partagées) : sauvegardes quotidiennes sur 7 jours, hebdomadaires sur 8 semaines, mensuelles sur 12 mois ; fenêtre PITR de 7 jours.
Test de restauration : au moins une fois par an, FactSecure réalise un exercice de restauration (sur environnement de test ou procédure Scalingo documentée), vérifie l’intégrité des données restaurées et consigne le résultat (date, type d’exercice, résultat, écarts éventuels, actions correctives) dans un registre interne de continuité. Ce registre n’est pas public ; il est tenu à disposition du conseil et des autorités compétentes sur demande légitime.
6) Secrets applicatifs
- Les secrets applicatifs (clés de session, chiffrement PDF, accès administration, webhooks, etc.) sont fournis via des variables d'environnement côté plateforme, hors du dépôt de code.
- Accès aux tableaux de bord d'hébergement et aux secrets limité aux personnes habilitées de l'Éditeur.
7) Intégrité documentaire et traçabilité
Les factures et duplicatas s'appuient sur des mécanismes d'intégrité (empreinte de contrôle, code de vérification, QR code public) pour détecter une incohérence sur les données archivées. Un journal d'audit enregistre les opérations importantes (émission, consultation de vérification, actions métier) selon le périmètre fonctionnel activé. Durée : voir §11.
8) Pièces jointes, entrées utilisateur et anti-abus
Les pièces jointes du module messagerie sont filtrées par type et taille selon les règles du produit. Une vérification du format réel des fichiers est appliquée avant enregistrement. Elles sont stockées en base et bénéficient du chiffrement au repos de l'infrastructure décrit ci-dessus.
Les formulaires publics sont protégés contre les abus (contrôles automatiques, limitation du nombre d'envois, validation des champs). Les accès publics sensibles (notamment vérification de facture et génération de QR code) font l'objet d'une limitation du débit pour préserver la disponibilité du service.
9) Sécurité du navigateur et amélioration continue
La plateforme applique des règles de sécurité côté navigateur (réduction du risque de détournement d'interface, contrôle des types de contenu, renforcement des connexions en production) afin de limiter certaines attaques courantes sur le Web.
10) Politique de mot de passe
Les mots de passe des comptes Utilisateur sont stockés sous forme dérivée et salée (non réversible), et jamais en clair.
FactSecure applique une politique de mot de passe lors de la création, du renouvellement et de la réinitialisation des accès (Espace cabinet), en cohérence avec les CGU. Cette politique s’inscrit dans les recommandations de la CNIL en matière de mots de passe (cnil.fr — mots de passe). Les exigences détaillées sont communiquées à l’Utilisateur sur les écrans concernés.
11) Journalisation et durée de conservation des journaux
FactSecure journalise des événements nécessaires à la détection d’incidents, à la traçabilité des accès et à la protection du Service. Ces journaux peuvent contenir des données à caractère personnel (par exemple identifiants de compte, adresse IP, horodatage).
Trois objets distincts sont distingués :
Journaux techniques de sécurité (événements d’authentification, limitation de débit, incidents techniques, etc.) — Durée : quatre-vingt-dix (90) jours à compter de l’enregistrement, puis suppression ou anonymisation, sous réserve d’un motif légitime (investigation d’incident, obligation légale). Indication CNIL : l’ordre de grandeur usuel pour les journaux techniques est de six à douze mois ; FactSecure retient volontairement 90 jours, durée compatible avec l’article 32 du RGPD.
Journaux d’audit liés aux factures d’honoraires (émission, consultation de vérification, actions métier documentaires) — Durée : alignée sur la détention des factures sur la plateforme — six (6) ans à compter de la date d’émission — conformément à la politique technique de conservation de la plateforme.
Sort des données en fin de contrat — Après l’expiration du délai de réversibilité, suppression ou anonymisation des données encore détenues dans le délai de l’article 14.3 des CGS (quatre-vingt-dix jours), sous réserve des durées ci-dessus et des obligations légales de conservation.
En cas de contradiction, les CGS (et leur Annexe 1) prévalent sur la présente page.
12) Confidentialité du personnel et politique d’habilitation
Les personnes autorisées par l’Éditeur à traiter des données à caractère personnel (salariés, stagiaires, prestataires, associés) s’engagent à la confidentialité avant tout accès, conformément à l’article 28.3 b) du RGPD et à l’Annexe 1 des CGS. Un modèle d’engagement et une charte administrateur sont tenus à jour en documentation interne.
Les accès d’administration et d’infrastructure sont attribués selon le principe du moindre privilège, enregistrés dans un registre des habilitations, et font l’objet d’une revue périodique au moins semestrielle, ainsi qu’à chaque départ ou changement de mission. Les accès inutiles sont révoqués sans délai.
FactSecure maintient cette politique de sécurité et la fait évoluer selon l’état de l’art, en mettant à jour la présente version datée lorsque nécessaire. Sur le plan contractuel : annexe sécurité CGS/DPA.
Pour les traitements de données à caractère personnel, voir aussi la politique de protection des données personnelles (https://factsecure.fr/protection-donnees-personnelles) et, sur le plan contractuel, l'Annexe 1 des CGS.