Sécurité

Dernière mise à jour : octobre 2026

Cette page explique comment nous protégeons les données de votre entreprise et les informations de vos clients.

Chiffrement des données

Toutes les données sont chiffrées en transit avec TLS 1.2 ou une version supérieure. Les données au repos, y compris votre base de données, les sauvegardes et les fichiers téléversés, sont chiffrées en AES-256 par nos fournisseurs d'infrastructure.

Contrôles d'accès

FullClass utilise un contrôle d'accès par rôles que le propriétaire de l'entreprise configure : vous décidez exactement qui, dans votre équipe, atteint quoi. Les permissions couvrent 20 sections distinctes (réservations, clients, rapports, cartes cadeaux et plus encore), et le propriétaire peut aussi verrouiller des champs de données sensibles, comme les coordonnées client, indépendamment des pages qui les contiennent.

Ce sont des points de départ, pas des préréglages figés. Le propriétaire accorde ou révoque n'importe quel domaine par rôle et peut modifier l'accès d'un utilisateur en particulier, afin que chacun ne voie que ce que son travail exige.

Authentification à deux facteurs

Tous les comptes administrateur prennent en charge l'authentification à deux facteurs (2FA) avec n'importe quelle application d'authentification standard, dont Google Authenticator, Authy et 1Password. Nous recommandons vivement d'activer la 2FA sur tous les comptes propriétaire et administrateur. Elle se configure à tout moment depuis les paramètres de votre profil.

Mots de passe

Les mots de passe sont hachés avec bcrypt avant d'être stockés. Nous ne les conservons jamais en clair. Après cinq tentatives de connexion infructueuses, les comptes sont temporairement verrouillés afin de prévenir les attaques par force brute. Les liens de réinitialisation de mot de passe expirent au bout de 24 heures et ne peuvent servir qu'une seule fois.

Sans mot de passe et clés d'accès

Chaque compte de l'équipe, propriétaire compris, peut se connecter avec une clé d'accès WebAuthn plutôt qu'avec un mot de passe. Une clé d'accès est liée à votre appareil et déverrouillée par votre empreinte, votre visage ou le code de votre appareil : elle est donc multifacteur par nature et résistante au hameçonnage. Chaque compte peut enregistrer et gérer plusieurs clés d'accès.

Paiements

FullClass ne stocke aucun numéro de carte bancaire. Les paiements des clients sont traités directement par Stripe ou Square, tous deux validés comme prestataires de services PCI DSS Level 1. Nous ne recevons qu'une référence tokenisée des transactions abouties.

Vos droits sur les données

Pour répondre aux demandes RGPD et similaires, le propriétaire de l'entreprise peut exporter les données d'un client (son profil, ses réservations, ses acceptations de décharge et ses cartes cadeaux) dans un fichier lisible par machine, et peut effacer les données personnelles d'un client sur demande. Ces deux actions sont réservées au propriétaire.

Il en va de même pour votre propre compte. Le propriétaire peut à tout moment télécharger l'ensemble des données de l'entreprise, chaque rapport sous forme de tableur, et supprimer le compte entier depuis les réglages, sans nous contacter. La suppression met la page de réservation hors ligne et annule l'abonnement immédiatement, puis efface définitivement les données 30 jours plus tard. Jusqu'à cette date, la suppression peut être annulée en un clic : une fausse manœuvre ou un identifiant volé ne coûte donc pas à une entreprise ses archives.

Studios dans l'UE, au Royaume-Uni et en Suisse

Notre accord de traitement des données couvre les données personnelles de l'UE, du Royaume-Uni et de la Suisse, avec les clauses contractuelles types de l'UE et l'avenant britannique intégrés. Les studios de ces pays l'acceptent à l'inscription. Les entreprises auxquelles nous faisons appel pour faire fonctionner le service sont nommées dans notre liste des sous-traitants.

Pour ces studios, un client qui coche la case des e-mails marketing reçoit d'abord un e-mail de confirmation, et n'est abonné qu'une fois qu'il a confirmé. La case est toujours décochée au départ, et chaque changement du choix d'un client est consigné. Les balises publicitaires de la page de réservation hébergée attendent que le visiteur les accepte, et nos polices sont servies depuis nos propres serveurs plutôt que par un tiers. Effacer un client le retire aussi d'une liste Mailchimp ou MailerLite connectée.

Les données personnelles ne sont pas conservées indéfiniment. L'adresse IP enregistrée avec une réservation est effacée au bout de 12 mois. Sur nos forfaits en libre-service, quand un abonnement prend fin, le propriétaire reçoit par e-mail la date à laquelle ses données seront supprimées, 30 jours plus tard, et se réabonner avant cette date l'annule.

Sauvegardes

Vos données sont sauvegardées chaque jour sur un stockage cloud chiffré. Les sauvegardes sont conservées 60 jours. En cas de perte de données, nous visons une restauration des données datant de 24 heures au plus.

Infrastructure

FullClass est hébergé sur Render, dans une seule région de l'ouest des États-Unis. Nos fournisseurs d'infrastructure disposent de rapports SOC 2 Type II. FullClass n'a pas encore réalisé d'audit SOC 2. Nous surveillons la disponibilité en continu. L'état actuel est consultable sur notre page d'état.

Gestion des vulnérabilités

Notre code est analysé à la recherche de vulnérabilités connues avec govulncheck chaque fois qu'une modification y est fusionnée. Les dépendances sont revues régulièrement et mises à jour dès qu'un problème de sécurité est divulgué.

Divulgation responsable

Si vous pensez avoir découvert une faille de sécurité dans FullClass, signalez-la-nous à [email protected]. Nous accuserons réception de votre signalement sous 48 heures et travaillerons avec vous pour comprendre et corriger le problème rapidement. Nous vous demandons de ne pas le rendre public avant que nous ayons eu une occasion raisonnable d'y remédier.

Questions

Si vous avez des questions sur la sécurité chez FullClass, écrivez-nous à [email protected].