Confiance et sécurité
Cette page dit ce que caisse.bzh fait aujourd'hui, et ce qu'il ne fait pas encore. Une information qui n'a pas encore été confirmée est indiquée comme « Information en cours de publication ».
Éditeur
Benjamin Favre, Entrepreneur individuel (EI), nom commercial Webdesign29, 16 rue Poullaouec, 29200 Brest, France. SIRET 531 889 962 00076.
- Marques
- caisse.bzh
- Numéro de TVA
- FR13531889962
- Contact
- bonjour@caisse.bzh
- Signataire des documents de conformité
- Information en cours de publication
Hébergement
- Hébergeur
- OVHcloud (OVH SAS)
- Pays de l'hébergeur
- France
- Lieu du centre de données
- Gravelines (Nord, France)
- Certifications de l'hébergeur
- Information en cours de publication
- Serveur dédié à caisse.bzh
- Information en cours de publication
Sous-traitants
Les entreprises qui traitent des données pour le compte de caisse.bzh. Le détail est sur la page Sous-traitants.
| Sous-traitant | Rôle | Données concernées | Lieu du traitement | Transfert hors de l'Union européenne | Concerne |
|---|---|---|---|---|---|
| OVHcloud (OVH SAS) | Hébergement du service et de ses données. | Toutes les données saisies dans la caisse. | France, centre de données de Gravelines (Nord) | Information en cours de publication | Le service |
| Cloudflare (service R2 et Cloudflare Tunnel) | Copie hors site des archives quotidiennes du journal fiscal ; acheminement des connexions vers auth.1clic.pro (Cloudflare Tunnel). | Écritures du journal fiscal : ventes, clôtures, nom de l'opérateur. Identifiants de connexion en transit. | Information en cours de publication | Information en cours de publication | Le service |
| auth.1clic.pro | Connexion des comptes à la console. | Nom et adresse e-mail des comptes. | Serveur de l'éditeur chez OVHcloud à Gravelines (France), joint par le réseau Cloudflare. Comptes enregistrés dans une base Neon de la région AWS eu-west-2 (Londres, Royaume-Uni). | Oui, Royaume-Uni ; base juridique en cours de confirmation par l'éditeur. | Le service |
| Serveur d'envoi mailer.fitamant.bzh, hébergé par OVHcloud (OVH SAS) | Envoi des e-mails du service. | Adresse e-mail du destinataire et contenu du message. | France, centre de données de Gravelines (Nord) | Information en cours de publication | Le service |
| Neon | Base de données consultée en lecture seule par le service. | Information en cours de publication | Royaume-Uni, Londres (région AWS eu-west-2) | Oui, Royaume-Uni ; base juridique en cours de confirmation par l'éditeur. | Le service |
| Stripe | Paiement et facturation de l'abonnement à caisse.bzh et des commandes de matériel. | Données de paiement et de facturation du client. | Information en cours de publication | Information en cours de publication | L'abonnement |
| Google (Google Analytics 4) | Mesure d'audience du site public, seulement après accord du visiteur. Les écrans de caisse et les ventes ne sont pas mesurés. | Pages consultées et clics sur le site public. | Information en cours de publication | Certains traitements peuvent avoir lieu hors de l'Union européenne. | Le site public |
Mesures de sécurité
Chaque mesure ci-dessous existe dans le code du service. Sa limite, quand il y en a une, est écrite à côté.
Journal de caisse
Journal de caisse chaîné
Chaque écriture du journal reprend l'empreinte SHA-256 de la précédente. Une écriture modifiée, déplacée ou retirée au milieu du journal casse la chaîne, et la vérification du journal le signale.
Limite : Le retrait des dernières écritures ne casse pas la chaîne : il se constate par comparaison avec une archive quotidienne antérieure.
Sceau de chaque écriture
Chaque écriture porte un sceau calculé avec une clé secrète tenue hors du code source. Sans clé, rien n'est enregistré.
Limite : Le sceau ne peut être vérifié que par l'éditeur, qui détient la clé. La chaîne d'empreintes, elle, se vérifie à partir d'un export.
Aucune écriture modifiée
Une annulation, un remboursement, une suppression de ligne ou un duplicata est une écriture nouvelle. Rien n'est réécrit ni effacé.
Clôtures et grand total perpétuel
Les clôtures journalières, mensuelles et annuelles sont inscrites au journal avec le grand total perpétuel, qui n'est jamais remis à zéro.
La vente est scellée avant d'être enregistrée
Si le journal ne peut pas sceller une vente, l'encaissement est refusé et rien n'est enregistré.
Mode formation séparé
Les ventes du mode formation vont dans un journal distinct du journal réel.
Accès
Session de connexion
La session de la console tient dans un cookie que le code des pages ne peut pas lire. Elle expire au bout de 24 heures.
Limite : Pas de verrouillage après inactivité.
Cloisonnement par établissement
À chaque requête, le serveur choisit l'établissement parmi ceux du compte connecté. Un identifiant d'établissement qui n'appartient pas à ce compte est ignoré.
Code personnel à la caisse, essais limités
Chaque membre de l'équipe peut avoir un code personnel à 4 chiffres. Après 5 essais faux en 5 minutes, la saisie est bloquée 5 minutes. Le blocage double à chaque récidive dans la journée, jusqu'à une heure.
Postes de vente autorisés
Avec un abonnement payant, seuls les navigateurs et applications autorisés comme postes de vente peuvent encaisser. Seule l'empreinte du jeton d'un poste est conservée, pas le jeton.
Limite : Cette autorisation ne s'applique pas aux comptes ouverts avant la mise en place des abonnements ni aux comptes de démonstration.
API
Clés d'API
Une clé d'API appartient à un seul établissement. Seule son empreinte SHA-256 est conservée, et le nombre d'appels par minute est limité.
Pas de doublon sur un nouvel essai
Sur la création d'un article par l'API et sur la prise de commande en ligne, un nouvel essai envoyé avec la même clé d'idempotence dans les 24 heures ne crée pas de doublon.
Limite : Tous les appels n'ont pas cette protection.
Sauvegardes
Archive quotidienne du journal fiscal
Chaque nuit, les écritures du journal fiscal de la journée sont archivées dans un fichier en lecture seule, avec son empreinte SHA-256.
Copie hors du serveur
Une fois créée, chaque archive quotidienne du journal fiscal est envoyée hors du serveur.
Limite : Un envoi qui échoue est signalé dans le journal du serveur. Il n'est pas relancé automatiquement.
- Sauvegarde complète des données
- Information en cours de publication
- Chiffrement des sauvegardes
- Information en cours de publication
- Durée de conservation des sauvegardes
- Information en cours de publication
- Dernier essai de restauration
- Information en cours de publication
- Perte de données maximale visée
- Information en cours de publication
- Délai de reprise visé
- Information en cours de publication
Niveaux de service
Aucun niveau de service n'est un engagement contractuel à ce jour.
| Sujet | Situation actuelle | Engagement contractuel |
|---|---|---|
| Disponibilité | Meilleur effort. Aucun taux de disponibilité n'est garanti à ce jour. | Non |
| Assistance | Assistance par e-mail à bonjour@caisse.bzh, sans astreinte permanente ni garantie de délai. | Non |
| Reprise après incident | Aucun délai de reprise ni aucune perte de données maximale n'est mesuré ni garanti à ce jour. | Non |
Conformité fiscale
Le 3° bis du I de l'article 286 du code général des impôts demande quatre conditions à un logiciel de caisse : inaltérabilité, sécurisation, conservation et archivage des données. Les mesures du journal de caisse décrites plus haut sont celles que caisse.bzh met en œuvre pour ces quatre conditions.
- Attestation individuelle de l'éditeur
- Pas encore disponible
- Certification NF525
- Non
- Certification LNE
- Non
- Certification ISO 27001 de l'éditeur
- Non
- Test d'intrusion par un tiers
- Non
Vérification par un tiers : Chaîne de hachage vérifiable par tout détenteur d'un export. Sceau vérifiable par l'éditeur.
caisse.bzh n'est pas certifié par un organisme accrédité.
Versions du logiciel
Chaque écriture du journal porte le nom et la version du logiciel qui l'a produite. Le premier nombre de la version est la version majeure.
- La version majeure change seulement quand une modification touche l'inaltérabilité, la sécurisation, la conservation ou l'archivage des données de caisse.
- Les autres nombres changent pour toute autre évolution de ce qui est enregistré.
| Version | Date | Ce qui change | Touche les quatre conditions |
|---|---|---|---|
| 2.0.0 | 15 octobre 2026 |
Le journal local et son rattachement différé touchent la sécurisation et la conservation. Les écritures déjà scellées restent inchangées. L’attestation de la version majeure 1 ne permet pas l’ouverture du hors ligne réel en version 2. | Oui (version majeure) |
| 1.1.0 | 7 octobre 2026 |
Champs ajoutés aux nouvelles écritures seulement. Le calcul de l'empreinte, le sceau, la numérotation, les clôtures et les écritures déjà scellées ne changent pas. | Non |
| 1.0.0 | Information en cours de publication |
Version d'origine : elle met en place l'inaltérabilité, la sécurisation, la conservation et l'archivage des données de caisse. | Oui (version majeure) |
Données personnelles
Le client est responsable des données qu'il saisit dans sa caisse. caisse.bzh les traite pour son compte. Le projet de contrat de sous-traitance est sur la page Contrat de sous-traitance, la politique de confidentialité sur la page Confidentialité.
- Délégué à la protection des données
- Aucun délégué n'est désigné à ce jour
- Adresse pour les demandes sur les données
- bonjour@caisse.bzh (pas encore d'adresse dédiée)
| Données | Personnes concernées | Effacement |
|---|---|---|
| Fiches clients et points de fidélité | Clients et visiteurs | Oui. La fiche est rendue anonyme ; les points restent attachés à un numéro sans nom. Le client peut aussi supprimer lui-même sa carte depuis sa page. Une inscription en ligne non confirmée s'efface au bout de deux jours. |
| Accord pour recevoir les offres par courriel (date, lieu, auteur), campagnes envoyées, liste d'opposition | Clients | Oui. Supprimer la fiche supprime l'accord et son historique ; une campagne ne garde que l'identifiant de la fiche. L'opposition reste, sous forme d'empreinte sans adresse, pour ne plus jamais écrire à la personne. |
| Réservations, liste d'attente, commandes passées en ligne | Clients et visiteurs | Oui, par le module concerné. Une commande payée garde le nom de l'acheteur avec la pièce comptable pendant la durée légale. |
| Équipe : nom, adresse e-mail, téléphone, rôle, pointages | Membres de l'équipe | Au départ de la personne, sauf ce que la loi impose de garder (temps de travail). |
| Nom de l'opérateur sur chaque écriture du journal de caisse, connexions à la console | Membres de l'équipe | Non. Le journal est inaltérable et conservé pendant la durée légale (6 ans) : la loi impose de savoir qui a enregistré chaque opération. |
| Factures demandées en caisse par des professionnels : société, adresse, SIREN ou SIRET, numéro de TVA, e-mail d'envoi | Clients professionnels, entrepreneurs individuels compris | Non pour la facture, pièce comptable gardée 10 ans. Oui pour le carnet des clients professionnels, depuis la page des factures. |
| Comptes clients (paiement différé, avances) : nom ou société, SIREN, adresse, e-mail, téléphone, plafond, achats sur compte et règlements | Clients réguliers et clients professionnels | Non pour les opérations du compte, créances gardées 10 ans comme pièces comptables. Le compte se ferme une fois soldé ; ses coordonnées se corrigent depuis la page des comptes clients. |
| Attestations, contrat de sous-traitance, demande de suppression | Personne qui a fait la démarche | Non. Pièces conservées pendant la durée légale. |
| Blocage après des codes erronés (adresse réseau sous forme d'empreinte) | Membres de l'équipe | Expire après un jour. |
Accessibilité
Non conforme : aucun audit n'a encore été réalisé. La déclaration complète est sur la page Accessibilité.
Récupérer ses données
Le journal fiscal d'un établissement s'exporte depuis la console, avec les empreintes et les sceaux de chaque écriture.
Le titulaire du compte peut aussi télécharger une archive complète depuis Données, Récupérer toutes mes données : catalogue, clients, réglages, ventes et journal fiscal, dans des formats ouverts avec un manifeste d’empreintes. Le guide de réversibilité décrit les fichiers et leur vérification.
Signaler une faille de sécurité
Écrivez à bonjour@caisse.bzh. Il n'existe pas encore d'adresse dédiée à la sécurité. Décrivez ce que vous avez observé et comment le reproduire. Merci de ne pas consulter ni modifier les données d'autrui.
Il n'existe pas de programme de récompense, et aucun délai de réponse n'est promis.
Engagements publiés
État du service
La mesure de disponibilité, les incidents en cours et leur historique.
Incidents et alertes
Signaler, numéro d'incident, gravité, alertes par e-mail, délais, rapport d'intervention.
Architecture et hébergement
Les éléments du service, l'hébergement, la mesure de la disponibilité et les limites.
Flux réseau et ports
HTTPS sortant sur le port 443, proxy filtrant, réseau local du musée.
Composants et prérequis
Navigateurs, systèmes, matériel, applications facultatives, dépendances.
Éco-conception
Pratiques, poids mesuré des pages, ce qui n'est pas encore mesuré.
Limites du module Contacts
Volumes, fonctions non natives, outils tiers.