Chiffrement en Transit et au Repos
TLS en transit et chiffrement au repos par nos hébergeurs, plus un chiffrement applicatif des secrets MFA, des jetons de paiement et des clés de signature.
SÉCURITÉ ET CONFIANCE
Sécurité et protection des données, par écrit
Vos données maritimes comprennent les dossiers d'équipage, les certificats, les contrats et les registres opérationnels. Cette page explique comment nous les protégeons ; la version qui fait foi est l'accord de traitement des données (DPA) accepté par chaque client.
GDPR DPAEU & UK hostingTLS encryptionMFA
Startup certifiée ENISALey 28/2022
Reconnue comme entreprise innovante et évolutive au titre de la loi espagnole sur les startups (Ley 28/2022) par ENISA — Ministerio de Industria y Turismo.
SupaMaritime et SupaSailing sont des marques de SupaSailing S.L.
Une sécurité conçue pour le maritime
Chaque fonctionnalité pensée pour protéger votre activité — sans compromis.
Hébergé en Europe
Serveurs applicatifs à Paris. Bases de données à Londres (décision d'adéquation de l'UE pour le Royaume-Uni) pour Ferry, Marchand et Agence Maritime, et à Francfort pour Guild. La liste des sous-traitants est publiée.
Permissions au Niveau des Lignes
Accès par rôle limité par organisation et par navire, sécurité au niveau des lignes dans la base de données et contrôles côté serveur sur chaque requête qui lit des données client.
Journalisation de Sécurité
Les événements de sécurité et les accès administratifs de notre équipe sont journalisés lorsque le module le permet.
Sauvegardes Quotidiennes
Bases PostgreSQL managées sauvegardées chaque jour et conservées 7 jours. Fichiers importés répliqués chaque jour, les fichiers supprimés étant conservés 90 jours.
Autorisation Côté Serveur
Chaque requête qui lit les données d'un client est vérifiée sur le serveur, en plus des politiques au niveau des lignes de la base de données.
Vos Données Vous Appartiennent
Exportez vos données en CSV, JSON ou XLSX et vos fichiers dans leur format d'origine, en libre-service ou sur demande. Le changement de fournisseur et l'effacement suivent les termes du Data Act de l'UE prévus au contrat.
Authentification Multifacteur
La MFA est disponible pour tous les utilisateurs, par application d'authentification, code par e-mail ou SMS selon le module.
Objectif de Disponibilité de 99,5 %
Nous visons une disponibilité mensuelle de 99,5 %, hors maintenance annoncée. C'est un objectif, pas une garantie, sauf si votre bon de commande prévoit des crédits de service.
Conformité Maritime
Dans Ferry et Marchand : heures de repos contrôlées selon les limites MLC et STCW, brevets de l'équipage avec alertes d'expiration, et registres ISM, ISPS et d'exercices.
Accord de Traitement des Données
Un accord de traitement des données conforme au RGPD fait partie des conditions acceptées par chaque client, avec des clauses contractuelles types pour les sous-traitants hors EEE.
Base de Données Distincte par Module
Chaque module fonctionne sur sa propre base de données ; au sein d'un module, les organisations sont séparées par la sécurité au niveau des lignes.
Engagements contractuels
Nous ne revendiquons aucune certification que nous ne détenons pas. Voici les engagements écrits dans le DPA et les Conditions générales acceptés par chaque client.
Accord de traitement des données RGPD
Un accord au titre de l'article 28 du RGPD, avec des clauses contractuelles types pour les sous-traitants hors EEE. Publié sur supasailing.com/legal/dpa.
Notification des violations sous 48 heures
Si une violation de données personnelles touche vos données, nous vous prévenons dans les meilleurs délais et au plus tard sous 48 heures.
Droit d'audit
Vous, ou un auditeur indépendant que vous mandatez, pouvez auditer notre conformité une fois tous les 12 mois avec un préavis de 30 jours.
Changement de fournisseur selon le Data Act
Export à tout moment, au moins 30 jours pour récupérer vos données après la fin du contrat, et aucun frais de changement ou d'export.
Construit sur des fournisseurs reconnus
Nous n'exploitons pas nos propres centres de données. Le service fonctionne sur une infrastructure gérée, et chaque fournisseur est listé avec sa finalité et sa localisation.
Les bases de données, l'authentification et le stockage des fichiers fonctionnent sur Supabase (hébergé sur AWS), les serveurs applicatifs chez Hostinger à Paris, et le DNS, le TLS et le stockage chiffré des sauvegardes chez Cloudflare. Leurs certifications leur appartiennent, pas à nous.
Voir la liste des sous-traitantsVous menez une évaluation de sécurité fournisseur ?
Envoyez-nous votre questionnaire (SIG, CAIQ ou le vôtre). Nous y répondons à partir du DPA et de ses mesures techniques et organisationnelles.
Questions fréquentes
Où mes données sont-elles physiquement stockées ?+
Les serveurs applicatifs sont à Paris, en France. Les bases de données sont à Londres, au Royaume-Uni (couvert par une décision d'adéquation de l'UE) pour Ferry, Merchant et Agent, et à Francfort, en Allemagne, pour Guild. Certains sous-traitants, comme les fonctions d'intelligence artificielle, l'envoi de SMS et l'accès support des fournisseurs, peuvent traiter des données hors EEE dans le cadre du Data Privacy Framework UE-États-Unis ou de clauses contractuelles types. La liste complète est publiée sur supasailing.com/legal/subprocessors.
Qui peut accéder à mes données ?+
Vos utilisateurs, selon les rôles que vous attribuez, limités par organisation et par navire. L'accès du personnel de SupaSailing est réservé à des personnes nommément désignées, journalisé lorsque le module le permet et utilisé uniquement pour le support à votre demande, pour la sécurité ou pour résoudre un incident. Nous ne vendons pas vos données, ne les utilisons pas à nos propres fins et ne les utilisons pas pour entraîner des modèles d'intelligence artificielle.
Que se passe-t-il si je résilie mon abonnement ?+
Vous pouvez exporter à tout moment vos données en CSV, JSON ou XLSX et vos fichiers dans leur format d'origine. Après la fin du contrat, vous disposez d'au moins 30 jours pour les récupérer ; elles sont ensuite effacées, et les copies résiduelles dans les sauvegardes chiffrées sont écrasées sous 90 jours. Le changement de fournisseur et l'export sont gratuits.
Puis-je signer un accord de traitement des données (DPA) ?+
Inutile de le demander : le DPA conforme au RGPD fait partie des conditions acceptées par chaque client et il est publié sur supasailing.com/legal/dpa. Il comprend des clauses contractuelles types pour les sous-traitants hors EEE et la notification des violations sous 48 heures.
Proposez-vous le SSO et le MFA ?+
L'authentification multifacteur est disponible pour chaque utilisateur, avec une application d'authentification, un code par e-mail ou par SMS selon le module, et nous recommandons de l'activer pour tous. L'authentification unique d'entreprise (SAML) ne fait pas partie du service standard.
Comment les vulnérabilités sont-elles traitées ?+
Les correctifs de sécurité sont prioritaires et peuvent être déployés immédiatement. Les modifications sont testées avant d'arriver en production, et les politiques d'accès et les dépendances sont revues régulièrement. Si une violation de données personnelles touche vos données, nous vous prévenons sous 48 heures.