Sécurité et UE

Comment nous protégeons vos données

• Les données sont chiffrées pendant le transfert (HTTPS/TLS), y compris entre GoalCube et la base de données.
• Les données clients sont stockées dans l’UE chez Clever Cloud (PostgreSQL et une copie hebdomadaire chiffrée dans FS Bucket, Paris). En production, le système ne démarre pas sans la base de données et la clé de chiffrement.
• Les données de chaque entreprise se trouvent dans un espace distinct. À chaque modification, des tests automatiques montrent qu’une entreprise ne peut ni consulter, ni modifier, ni supprimer les données d’une autre.
• Les données clients sont chiffrées dans GoalCube (AES-256-GCM) avec une clé par entreprise avant d’être enregistrées. Les clés des entreprises sont elles-mêmes chiffrées avec une clé maîtresse à laquelle seuls les responsables de l’exploitation de GoalCube ont accès. En cas de suppression, la clé est également supprimée.
• Limite du nombre de requêtes par adresse IP sur toutes les pages et limite plus stricte pour la création de compte, la connexion et les invitations. L’adresse IP n’est utilisée qu’en mémoire, pendant une heure au plus, et n’est pas enregistrée.
• GoalCube tient un journal de sécurité, par ex. des échecs de connexion, de la création et de la suppression de comptes et d’utilisateurs, de l’affichage de valeurs réelles, des exports volumineux et des e-mails qui n’ont pas pu être envoyés. Il ne contient que l’heure, l’événement, l’identifiant aléatoire de l’entreprise et des codes fixes, des nombres ou des informations techniques comme une référence de paiement, un numéro de facture ou une cause – jamais de noms, d’e-mails, d’adresses IP ni de contenu. Il est conservé 12 mois puis supprimé par mois entiers (au plus tard 13 mois après). Les copies de sauvegarde (celles de l’hébergeur et la copie hebdomadaire propre à GoalCube) peuvent subsister jusqu’à 30 jours de plus.
• En cas d’erreur, l’utilisateur voit un code d’erreur (par ex. GC-7K3Q9MXA) qu’il peut communiquer à GoalCube. Le journal des erreurs de GoalCube ne conserve que l’heure, le code d’erreur, le type d’erreur, la première partie de l’adresse (sans clés), le statut et l’identifiant aléatoire de l’entreprise – jamais le texte du message d’erreur, de contenu, de noms, d’e-mails ni d’adresses IP – et est supprimé après 90 jours. Les copies de sauvegarde (celles de l’hébergeur et la copie hebdomadaire propre à GoalCube) peuvent subsister jusqu’à 30 jours de plus.
• À partir du 18 octobre 2026, le journal d’audit ne contient que les identifiants aléatoires de l’utilisateur et du jeu de données, des codes fixes, des nombres et des montants – aucun nom. Les entrées plus anciennes (avant le 18 oct. 2026) peuvent contenir des noms d’utilisateurs (pour les paiements), de jeux de données, de colonnes et de connexions d’IA ainsi que des textes d’erreur ; elles ne sont pas modifiées (chaîne de hachage) et sont supprimées avec les autres données de l’entreprise.
• Le client peut toujours résilier lui-même le contrat ou supprimer toutes les données dans GoalCube. Après une résiliation, toutes les données sont supprimées automatiquement au bout de 30 jours, et la résiliation peut être annulée jusque-là. En cas de « Tout supprimer maintenant », les données, les utilisateurs, le journal d’audit et la clé de chiffrement de l’entreprise sont supprimés immédiatement. Les copies figurant dans les sauvegardes – celles de l’hébergeur et la copie hebdomadaire chiffrée de GoalCube chez le même hébergeur, à Paris – sont supprimées à leur expiration, au plus tard 30 jours après la suppression. GoalCube confirme la suppression par e-mail. Font exception les factures, les avoirs et la comptabilité de GoalCube (nom de l’entreprise, adresse, numéro de TVA, montant, référence de paiement, en cas de TVA à 0 %, date et numéro de consultation VIES, et moment de la déclaration d’achat en tant qu’entreprise), que la loi danoise sur la comptabilité (bogføringsloven) impose de conserver 5 ans après la fin de l’exercice comptable, ainsi qu’une somme de contrôle du pays et du numéro de TVA si l’entreprise a été remboursée, afin que l’offre ne soit utilisée qu’une seule fois (5 ans).
• Paiement : le serveur calcule le montant et la TVA ; SumUp ne reçoit qu’un numéro de client aléatoire, l’offre, la période, le type de TVA et le montant – jamais le nom de l’entreprise, l’adresse, le numéro de TVA ni l’e-mail. Après une résiliation, la carte reste chez SumUp jusqu’à la fin de la période payée (afin que la résiliation puisse être annulée) et elle est supprimée immédiatement si l’entreprise supprime toutes les données. Chaque paiement donne lieu à une facture portant un numéro séquentiel. Les numéros de TVA d’autres pays de l’UE sont vérifiés dans le système d’échange d’informations sur la TVA (VIES) de la Commission européenne ; GoalCube ne conserve que le résultat, la date et l’heure ainsi que le numéro de consultation.
• Une fois par semaine, GoalCube effectue une copie supplémentaire de toutes les données, chiffrée comme dans la base de données. Elle se trouve chez le même hébergeur à Paris, mais en dehors de la base de données. Les quatre copies les plus récentes sont conservées (28 jours au plus), et la restauration de chaque copie est testée automatiquement.
• Toutes les pages appliquent des règles de sécurité (notamment CSP), de sorte que le navigateur n’exécute que les scripts propres à GoalCube – à l’exception du champ de carte de SumUp sur la page de paiement – et que les pages ne peuvent pas être affichées à l’intérieur d’autres sites web.
• Les services d’IA sont connectés par identification auprès de GoalCube (OAuth 2.1 avec PKCE) – aucune clé ne figure dans l’adresse. L’utilisateur donne son consentement avec sa passkey, voit où la réponse est envoyée et peut à tout moment consulter et interrompre les connexions. GoalCube n’enregistre que des sommes de contrôle des clés ; une connexion expire au plus tard après 180 jours et s’arrête immédiatement lorsque l’utilisateur est retiré ou que le contrat est résilié.
• Les services d’IA que le client connecte reçoivent des pseudonymes à la place des valeurs des colonnes que le client protège et à la place des mots secrets du client. Dans le texte libre, GoalCube repère aussi les noms, e-mails, numéros d’identification, de téléphone et de compte et les adresses à l’aide de listes et de modèles, et les remplace par des pseudonymes. Une donnée peut exceptionnellement passer, par exemple un nom qui ne figure pas sur les listes, ou une adresse ou un numéro écrit de manière inhabituelle. Le client peut voir ce que voit l’IA avant que le jeu de données soit enregistré.
• Les fichiers importés ne sont pas conservés ; seul le texte extrait, que le client a lui-même choisi d’enregistrer comme jeu de données, l’est.
• Les décisions, confirmations et modifications sont enregistrées dans un journal d’audit avec des sommes de contrôle (chaîne de hachage) et des horodatages indépendants. Chaque entreprise a sa propre chaîne, et chaque jour une empreinte commune de toutes les chaînes reçoit un horodatage indépendant.
• Les mots secrets ne sont jamais enregistrés dans le journal d’audit.
• Les pages ne chargent aucun fichier provenant de tiers (par exemple des polices de Google). Seule exception : la page de paiement, où le champ de carte provient directement de SumUp, de sorte que les données de carte n’arrivent jamais chez GoalCube. Le système ne dépose aucun cookie de suivi.
• Les e-mails adressés à contact@goalcube.eu sont lus et traités dans la boîte aux lettres chez Simply tant que l’agent de messagerie de GoalCube est désactivé. Lorsque l’agent de messagerie est activé, les e-mails qui demandent une réponse humaine sont lus et traités dans GoalCube, et le salarié reçoit seulement une notification sans contenu dans sa propre messagerie.
• Les clés d’accès ne sont pas écrites dans le journal du serveur.
• Seuls les salariés de GoalCube qui en ont besoin ont accès à l’hébergement et aux données, et ils sont tenus au secret.

Où se trouvent les données

Toutes les données des clients sont hébergées chez Clever Cloud SAS, Région de Paris (zone Clever Cloud « par »), France. Tous les sous-traitants ultérieurs figurent dans l’accord de traitement des données.

Nos engagements

• Notification d’une violation de données à caractère personnel au plus tard 48 heures après sa découverte.
• Préavis de 14 jours avant de recourir à un nouveau sous-traitant ultérieur.
• Vous pouvez toujours supprimer vous-mêmes toutes les données, immédiatement. Après la résiliation, tout est supprimé dans un délai de 30 jours.
• Les copies de sauvegarde sont supprimées au plus tard 30 jours après la suppression.

État des mesures

L’ISO/IEC 27001:2022 comprend 93 mesures. Les chiffres proviennent directement de notre système de management de la sécurité de l’information (SMSI) et sont mis à jour automatiquement.

Signaler une vulnérabilité

Si vous avez trouvé une faille de sécurité, écrivez à contact@goalcube.eu avec « sécurité » dans l’objet. Une personne lit tous les signalements de sécurité. security.txt

Test indépendant

Un test de sécurité indépendant (test d’intrusion) est prévu une fois par an.