Hébergement et sécurité des données
Mise à jour du 15 septembre 2026. Cette page dit où sont vos données, comment elles sont protégées, comment elles sont sauvegardées, et qui peut y accéder. Elle est écrite pour être lue par une agence qui confie son parc au service, et par la personne qu'elle chargera de vérifier ce qu'on lui promet.
Ce qui est décrit ici est ce qui est en place. Ce qui est prévu et pas encore fait est dit dans la dernière section, en toutes lettres.
Où sont vos données
Un serveur dédié au service, chez OVH, dans un centre de données situé au Royaume-Uni. Le serveur n'héberge rien d'autre que MonBailFacile. L'hébergeur fournit la machine, l'énergie, le réseau et la sécurité physique ; il n'a aucun accès applicatif aux données.
Une base de données par produit, un espace par client. Toutes les données d'un client, biens, propriétaires, locataires, baux, paiements, portent l'identifiant de son espace, et le serveur ajoute ce filtre à chaque lecture et à chaque écriture, sans qu'aucun écran ni aucun développeur ait à y penser. Aucune page du service ne peut afficher les données d'un autre espace.
Les fichiers téléversés, pièces d'identité, baux signés, mandats, photographies, sont conservés sur le disque du serveur sous un nom aléatoire, jamais sous leur nom d'origine, et ne sont jamais servis directement par le serveur web : chaque téléchargement passe par le service, qui vérifie les droits de qui le demande.
Les données sont hors de Côte d'Ivoire. Nous le disons tel quel, et la politique de confidentialité explique comment ce point est instruit avec l'Autorité de protection des données.
Comment elles sont protégées
Chiffrement des échanges. Toute communication entre votre navigateur et le service est chiffrée, avec un certificat renouvelé automatiquement. La liaison entre le service et sa base de données est chiffrée aussi, bien qu'elle ne quitte pas le serveur.
Mots de passe. Ils sont conservés sous forme d'empreinte, avec un algorithme conçu pour être lent à attaquer. Personne, pas même nous, ne peut lire votre mot de passe. Un lien de réinitialisation ne sert qu'une fois et expire au bout d'une heure.
Tentatives de connexion. Les échecs répétés sont comptés, par compte, par adresse et par couple des deux, avec un délai croissant entre les essais. Le service ne dit jamais si une adresse est connue de lui : la réponse est la même pour un mot de passe faux et pour un compte inexistant.
Appareils connectés. Chaque connexion ouvre une session liée à un appareil. Vous voyez la liste de vos appareils et vous fermez ceux que vous ne reconnaissez pas ; un changement de mot de passe déconnecte tous les autres. Une session inactive expire au bout de sept jours, et au plus tard trente jours après son ouverture.
Droits par profil. Chaque personne de votre équipe reçoit un profil et des rôles, et le serveur vérifie à chaque requête ce que ce profil autorise. Ce que l'écran ne montre pas n'est pas pour autant accessible : le refus est prononcé par le serveur, jamais par l'interface seule. Les actes sensibles, annulation d'un paiement, résiliation d'un bail, restitution d'une caution, peuvent exiger un second regard, par une autre personne que celle qui les demande.
Fichiers vérifiés. Le type d'un fichier téléversé est déduit de son contenu, pas de son nom ; un fichier qui n'est pas ce qu'il prétend est refusé. Les images sont redimensionnées par le serveur.
Pièces d'identité. Elles sont protégées par un droit spécifique, distinct de la lecture de la fiche, et la pièce d'un locataire est effacée automatiquement douze mois après la fin de son dernier bail.
Journal des faits. Chaque acte de gestion, encaissement, bail, changement de droits, est enregistré avec son auteur et sa date dans un journal que personne ne peut modifier, pas même l'administrateur de l'espace. Les traces techniques ne recopient ni les numéros de pièce, ni les téléphones, ni les adresses électroniques.
Protection à la bordure. Le serveur web n'expose que deux ports, limite le débit des appels par adresse, borne la taille des envois et pose les en-têtes de sécurité recommandés. Le système est mis à jour automatiquement, et l'accès d'administration se fait par clé, jamais par mot de passe.
Comment elles sont sauvegardées
Chaque nuit, une sauvegarde complète, base de données puis fichiers, dans cet ordre, pour qu'aucune ligne sauvegardée ne renvoie à un fichier absent.
Chiffrée avant de quitter le serveur. La sauvegarde est chiffrée sur le serveur, puis déposée dans le stockage objet d'OVH, dans un centre de données situé en France, distinct de celui du serveur, où elle est illisible sans la clé. La clé est conservée hors du serveur, à deux endroits.
Conservée en profondeur. Quatorze sauvegardes quotidiennes, huit hebdomadaires, douze mensuelles. Une sauvegarde supplémentaire est prise avant chaque mise à jour du service.
Vérifiée. L'intégrité des sauvegardes est contrôlée chaque mois, et l'absence d'une sauvegarde nocturne déclenche une alerte. La restauration complète est répétée sur un serveur vierge avant l'ouverture du service, puis à intervalle régulier : une sauvegarde qui n'a jamais été restaurée n'est pas une sauvegarde.
Comment le service est surveillé
Le serveur est supervisé en continu : disponibilité mesurée depuis l'extérieur, charge, espace disque, erreurs, file d'envoi des courriels, sauvegarde de la nuit. Une quinzaine de règles d'alerte préviennent l'équipe par courriel. Les journaux techniques sont conservés trente jours et ne contiennent aucune donnée personnelle.
Qui accède à quoi
| Qui | Accès | Comment il est encadré |
|---|---|---|
| Vous et votre équipe | Votre espace, selon les profils que vous donnez | Vérifié par le serveur à chaque requête, tracé au journal des faits |
| L'éditeur, pour le support | Aucun accès par l'application : son personnel n'a pas de profil dans votre espace, et sa console ne lui montre que des compteurs sur votre activité et votre abonnement | Un accès de support par l'application, limité dans le temps, visible par vous et tracé, est prévu et pas encore ouvert |
| L'éditeur, pour l'exploitation | Le serveur et la base, pour les mises à jour et les incidents | Par clé, avec double authentification sur le compte hébergeur, journalisé |
| L'hébergeur | La machine | Aucun accès applicatif ; sécurité physique et réseau |
| Un tiers à qui vous remettez un document | La page de vérification de ce document, par son code QR | Elle affiche ce que le document dit et rien d'autre ; la consultation n'identifie pas le visiteur |
Nous ne lisons pas les données d'un espace sans son accord, nous ne les utilisons pas pour notre compte, et nous ne les communiquons à personne, sauf obligation légale.
Ce qui est prévu et pas encore fait
Nous préférons le dire ici plutôt que de le laisser deviner.
- Le jeton de session sera déplacé dans un cookie protégé du navigateur avant l'ouverture du service à une première agence, ce qui le met hors de portée d'un script qui serait injecté dans la page.
- Une seconde barrière d'isolation, dans la base de données elle-même, sera ajoutée à l'arrivée du deuxième client : la première barrière, portée par le serveur, protège déjà chaque requête.
- Le règlement en ligne des abonnements passera par un prestataire de paiement agréé, sur sa propre page ; le service ne verra jamais un numéro de carte.
- La déclaration auprès de l'Autorité de protection des données est en cours d'instruction, y compris la question de la localisation des données hors du pays.
- Un accès de support par l'application sera ouvert, borné dans le temps, visible dans votre liste de profils et tracé. Tant qu'il n'existe pas, un dépannage qui exige de regarder vos données passe par l'accès d'exploitation au serveur, à votre demande.
- Une garantie de disponibilité chiffrée n'est pas offerte pendant la phase de pilote. Le service tourne sur un serveur unique ; un second serveur viendra avec les premiers clients payants.
Cette page est mise à jour à chaque changement de ce qu'elle décrit.