Sécurité, Conformité &
Sanctuarisation de vos Données
Pour les ESN, cabinets de conseil et clients grands comptes, la confidentialité des données est une exigence absolue. L'architecture de LOPIX a fait l'objet d'un audit de sécurité approfondi en boîte blanche conforme aux référentiels OWASP ASVS v4.0 (Niveau 2), ISO/IEC 27001 et RGPD.
Plateforme SaaS LOPIX ERP & CRM
N° Certificat : LPX-SEC-2026-A89-ENTERPRISE | Version : 2.4.0-AUDIT-FINAL
RÉFÉRENTIELS & STANDARDS INTERNATIONAUX
Une Conformité Exigeante pour les Comptes Sensibles
OWASP ASVS v4.0
CONFORMEVérification systématique de la résistance applicative selon les standards de l'Open Web Application Security Project.
ISO/IEC 27001:2022
VALIDÉGestion rigoureuse des privilèges, durcissement du cycle de vie logiciel et traçabilité des accès.
RGPD / GDPR UE 2016/679
CONFORMEChiffrement des données sensibles, isolation stricte et hébergement des infrastructures sur le sol européen.
Règlement eIDAS UE n° 910/2014
CONFORMEIntégrité des documents signés par empreinte SHA-256, horodatage certifié et feuille de preuve infalsifiable.
PCI-DSS SAQ-A
CONFORMEAucune donnée de carte bancaire stockée dans LOPIX. Tokenisation déléguée Stripe certifiée PCI-DSS Niveau 1.
Hébergement 100% UE
SOUVERAINETÉBases de données et fichiers hébergés exclusivement dans l'espace économique européen, sous juridiction stricte RGPD.
ARCHITECTURE TECHNIQUE
Les 7 Piliers de la Sécurité LOPIX
Découvrez en toute transparence les mécanismes cryptographiques, architecturaux et logiques protégeant votre entreprise.
Cloisonnement Multi-Tenant Étanche
Chaque enregistrement (clients, projets, factures, consultants, frais) est strictement rattaché à une clé étrangère obligatoire agency_id. Toutes les requêtes SQL et actions serveur vérifient la concordance avec la session JWT authentifiée. Zéro risque de fuite de données inter-entreprises.
Isolation Stricte des Profils (RBAC)
Garde-fous serveurs infranchissables : les profils Consultant et Partenaire n'ont techniquement aucun accès aux données financières (marges, chiffres d'affaires, comptabilité agence). Le rôle Consultant ne peut être attribué qu'aux comptes vérifiés comme collaborateurs actifs de l'agence.
Authentification JWT & Cryptographie A+
Sessions utilisateurs gérées par jetons JWT signés cryptographiquement en HMAC-SHA256, transportés exclusivement via cookies HttpOnly, SameSite=Lax et avec le drapeau Secure activé sur les connexions HTTPS. Hachage des mots de passe avec sel cryptographique.
Résistance aux Injections SQL & XSS
L'ensemble des requêtes SQL vers MySQL/MariaDB utilise des requêtes préparées avec typage strict en protocole binaire (mysql2). Échappement automatique du moteur React 19 contre les attaques Cross-Site Scripting (XSS) et protection anti path-traversal sur les téléchargements.
Transactions Financières & Factur-X Ready
Zéro numéro de carte bancaire stocké. Les paiements SaaS et souscriptions transitent via Stripe avec vérification systématique des webhooks par signature cryptographique HMAC. Facturation conforme Factur-X / Chorus Pro pour la réforme 2026.
Signature Électronique Probante (eIDAS)
Moteur de signature électronique native pour devis, contrats et conventions. Scellement du document par calcul de condensat cryptographique SHA-256, horodatage de précision, capture d'adresse IP et génération d'une feuille de preuve probante opposable.
Stockage Cloud Chiffré & Souveraineté UE
Stockage des pièces jointes et documents GED sur Cloudflare R2 / S3 avec chiffrement côté serveur AES-256. Hébergement de l'infrastructure applicative en Union Européenne (Allemagne / France), garantissant l'immunité contre les lois extraterritoriales.
RÉPONSES AUX QUESTIONNAIRES SÉCURITÉ & RFP
FAQ DPO, RSSI & Achats
Comment est garantie l'étanchéité des données entre deux agences clientes ?
LOPIX utilise un cloisonnement logique obligatoire par clé étrangère agency_id sur l'intégralité des tables et collections de données. Toute requête de lecture ou d'écriture est filtrée côté serveur par la session cryptée de l'utilisateur connecté. Une tentative d'accès à une ressource d'une autre agence déclenche une erreur 403 / 404 immédiate sans révéler l'existence de la ressource.
Les consultants ou freelances peuvent-ils accéder aux marges ou chiffres d'affaires ?
Non. L'accès aux données financières, comptables et aux marges est strictement réservé aux rôles Directeurs et Administrateurs. Les interfaces et endpoints API bloquent nativement toute transmission de ces informations aux comptes de statut Consultant ou Partenaire.
Où sont stockés les documents confidentiels (contrats, pièces d'identité, RIB) ?
Tous les documents téléversés sont stockés sur un espace d'objets cloud chiffré au repos en AES-256 (Cloudflare R2 / S3). Les liens d'accès sont sécurisés et protégés contre toute indexation publique.
Pouvons-nous exporter nos données à tout moment (réversibilité) ?
Oui. LOPIX propose dans les Paramètres d'Agence un onglet complet d'Export de Données (CSV / JSON) vous permettant de récupérer à tout moment l'ensemble de votre base de données, vos factures et vos historiques conformément au droit à la portabilité du RGPD.
Besoin de notre dossier d'assurance complet ?
Téléchargez le rapport d'audit technique ou contactez notre équipe de sécurité pour toute question spécifique à votre conformité interne.