Sécurité

Dernière mise à jour : juillet 2026

Nous prenons au sérieux la sécurité des données de votre entreprise et des informations de vos clients. Cette page décrit les mesures que nous avons mises en place pour protéger vos données.

Chiffrement des données

Toutes les données sont chiffrées en transit avec TLS 1.2 ou une version supérieure. Les données au repos, y compris votre base de données, les sauvegardes et les fichiers téléversés, sont chiffrées en AES-256 par nos fournisseurs d'infrastructure.

Contrôles d'accès

FullClass utilise un contrôle d'accès par rôle que le propriétaire de l'entreprise configure : vous décidez donc exactement qui, dans votre équipe, peut accéder à quoi. Les autorisations couvrent une vingtaine de domaines distincts (réservations, clients, rapports, paiements du personnel et plus encore) et le propriétaire peut aussi gérer séparément les champs de données sensibles, comme les coordonnées des clients et les salaires, indépendamment des pages qui les contiennent.

• Propriétaire : dispose toujours d'un accès complet et constitue le seul rôle habilité à modifier les autorisations.
• Administrateur et Personnel : partent de valeurs par défaut raisonnables que le propriétaire peut reconfigurer. Par défaut, un administrateur peut gérer les réservations et les clients, rien de plus ; le personnel n'a aucun domaine accordé par défaut.

Ce sont des points de départ, pas des préréglages figés. Le propriétaire accorde ou révoque n'importe quel domaine par rôle et peut modifier l'accès d'un utilisateur en particulier, afin que chacun ne voie que ce que son travail exige.

Authentification à deux facteurs

Tous les comptes administrateur prennent en charge l'authentification à deux facteurs (2FA) avec n'importe quelle application d'authentification standard, dont Google Authenticator, Authy et 1Password. Nous recommandons vivement d'activer la 2FA sur tous les comptes propriétaire et administrateur. Elle se configure à tout moment depuis les paramètres de votre profil.

Mots de passe

Les mots de passe sont hachés avec bcrypt avant d'être stockés. Nous ne les conservons jamais en clair. Après cinq tentatives de connexion infructueuses, les comptes sont temporairement verrouillés afin de prévenir les attaques par force brute. Les liens de réinitialisation de mot de passe expirent au bout de 24 heures et ne peuvent servir qu'une seule fois.

Sans mot de passe et clés d'accès

Les comptes personnel, administrateur et superadministrateur peuvent se connecter avec une clé d'accès WebAuthn plutôt qu'un mot de passe. Une clé d'accès est liée à votre appareil et se déverrouille par empreinte digitale, reconnaissance faciale ou code PIN : elle est donc multifacteur par nature et résistante à l'hameçonnage. Chaque compte peut enregistrer et gérer plusieurs clés d'accès.

Paiements

FullClass ne stocke aucun numéro de carte bancaire. Les paiements des clients sont traités directement par Stripe, Square ou PayPal, tous certifiés PCI-DSS. Nous ne recevons qu'une référence tokenisée des transactions abouties.

Vos droits sur les données

Pour répondre aux demandes RGPD et similaires, le propriétaire de l'entreprise peut exporter les données d'un client (son profil, ses réservations, ses acceptations de décharge et ses cartes cadeaux) dans un fichier lisible par machine, et peut effacer les données personnelles d'un client sur demande. Ces deux actions sont réservées au propriétaire.

Sauvegardes

Vos données sont sauvegardées chaque jour dans un stockage cloud chiffré. Les sauvegardes sont conservées 60 jours. En cas de perte de données, nous visons une restauration des données datant de moins de 24 heures.

Infrastructure

FullClass est hébergé sur Render, dans une seule région de l'ouest des États-Unis. Nos fournisseurs d'infrastructure conservent la certification SOC 2 Type II. Nous surveillons la disponibilité en continu. L'état actuel est consultable sur notre page d'état.

Gestion des vulnérabilités

Notre base de code est analysée à la recherche de vulnérabilités connues à chaque modification, à l'aide de govulncheck. Les dépendances sont revues régulièrement et mises à jour dès qu'un problème de sécurité est divulgué.

Divulgation responsable

Si vous pensez avoir découvert une faille de sécurité dans FullClass, signalez-la-nous à support@fullclass.io. Nous accuserons réception de votre signalement sous 48 heures et travaillerons avec vous pour comprendre et corriger le problème rapidement. Nous vous demandons de ne pas le rendre public avant que nous ayons eu une occasion raisonnable d'y remédier.

Questions

Si vous avez des questions sur la sécurité chez FullClass, écrivez-nous à support@fullclass.io.