Sécurité et confiance

En vigueur à compter du 2026-10-06 · Traduction française ; seule la version tchèque fait foi

Sur Negotiq, les entreprises confient à des agents leurs prix, leurs conditions et leurs décisions commerciales. Le présent document décrit comment nous protégeons la Plateforme, comment vous pouvez vérifier vous-même l’intégrité des enregistrements, comment nous gérons les incidents et comment nous signaler une vulnérabilité. Il a une valeur informative ; les mesures contraignantes applicables au traitement des données à caractère personnel figurent à l’annexe 1 de la Convention de traitement des données. Les termes commençant par une majuscule ont le sens qui leur est donné dans les Conditions générales d’utilisation.

Certifications : l’Exploitant ne dispose pas encore de la certification ISO/IEC 27001, d’un rapport SOC 2 ni d’aucune autre certification de sécurité. L’une et l’autre sont prévues. D’ici là, nous fournirons sur demande des informations plus détaillées ou remplirons un questionnaire de sécurité raisonnable.

1. Ce que la Plateforme ne fait pas

• Elle ne détient pas d’argent. L’Exploitant ne reçoit, ne détient ni ne transfère de fonds des parties aux Accords et ne fournit pas de services de paiement ; les paiements vont directement du compte de l’Acheteur au compte du Fournisseur. La Plateforme se borne à afficher des instructions de paiement et à tenir des enregistrements (article 7 des Conditions générales d’utilisation).
• Elle n’entraîne pas de modèles sur vos données. Nous n’utilisons pas le Contenu de l’Utilisateur pour entraîner des modèles d’intelligence artificielle ; aux termes de son contrat, le fournisseur du modèle génératif ne l’utilise pas non plus à cette fin.
• Elle ne laisse pas l’IA générative négocier. Les Agents sont des règles déterministes ; le modèle génératif se borne à convertir des listes de prix non structurées et un humain vérifie toujours le résultat (Déclaration sur la gouvernance de l’IA).
• Elle ne vous trace pas. Ni l’application ni les pages juridiques ne chargent de code d’analyse, publicitaire ou de traçage, ni de polices ou de scripts de tiers. La langue de la page est déterminée par les paramètres de votre navigateur, sans interroger aucun autre service.
• Elle ne vend pas de données. Nous ne vendons ni données à caractère personnel ni données commerciales ; les comparatifs de marché ne sont publiés que sous forme anonymisée et agrégée, à partir d’accords d’au moins deux Fournisseurs différents.

2. Accès et comptes

• Toutes les communications avec la Plateforme sont chiffrées via HTTPS (TLS).
• Les mots de passe ne sont conservés que sous forme d’empreintes Argon2id. Les codes de récupération, les sessions de connexion et les clés API ne sont conservés que sous forme d’empreintes cryptographiques ; une clé API n’est affichée qu’au moment de sa création.
• Le cookie de session est HttpOnly, Secure et SameSite=Lax ; pour les requêtes qui modifient des données, nous contrôlons l’en-tête Origin (protection contre les attaques CSRF).
• Après 5 tentatives de connexion infructueuses, le compte est verrouillé pendant 15 minutes ; un changement de mot de passe déconnecte tous les appareils. L’API est soumise à une limitation du nombre de requêtes.
• Les droits de chacun sont déterminés par les rôles attribués par l’Administrateur de l’Organisation (par exemple le droit d’approuver des Offres). L’Administrateur de l’Organisation crée, nomme et révoque les clés API et consulte les enregistrements d’audit de l’Organisation.

3. Séparation des clients

Tout accès aux données est limité à l’Organisation de l’Utilisateur connecté ou de la clé API ; la Plateforme rejette toute requête portant sur les données d’une autre Organisation. Des tests automatisés vérifient cette séparation à chaque modification. Les données de démonstration sont conservées séparément des données des entreprises réelles. Avant la conclusion d’un Accord, la contrepartie ne voit ni l’identité ni les limites de l’autre partie.

4. Intégrité et vérifiabilité des enregistrements

• Chaîne d’audit. Nous inscrivons les opérations importantes dans une chaîne à laquelle des entrées peuvent uniquement être ajoutées. Chaque entrée contient l’empreinte (hash) de l’entrée précédente, et un déclencheur (trigger) de base de données bloque la modification ou la suppression des entrées, de sorte que toute altération est détectable.
• Signatures Ed25519. Les Mandats, les Confirmations, les Enregistrements AP2 (IntentMandate, CartMandate, PaymentMandate) et les exports de la Chaîne d’audit sont signés avec la clé de la Plateforme. La clé publique (algorithme, clé et identifiant de la clé) est disponible à l’adresse https://app.negotiq.synqflows.com/api/trust/public-key et au format JWKS à l’adresse https://app.negotiq.synqflows.com/.well-known/jwks.json ; les Enregistrements AP2 portent des signatures au format JWS (EdDSA). Les signatures des Mandats, des Confirmations et des Enregistrements AP2 peuvent également être vérifiées directement au moyen des points de terminaison de vérification de l’API.
• Contrôle public. À l’adresse https://app.negotiq.synqflows.com/api/trust/chain, chacun peut vérifier si la Chaîne d’audit est intacte, y compris la dernière empreinte signée ; https://app.negotiq.synqflows.com/api/trust/status indique que l’environnement de production n’utilise pas de clés de signature ou de chiffrement de développement.
• Attestation par le dépositaire. Les enregistrements sont signés par l’Exploitant avec sa propre clé, et non avec des clés détenues par les parties. La signature prouve que l’enregistrement a été créé sur la Plateforme et n’a pas été modifié depuis sa signature ; elle ne prouve pas à elle seule qu’une partie l’a signé — le lien avec la personne agissante est assuré par la connexion, les rôles et la Chaîne d’audit. Lors d’un renouvellement de clé, nous publierons la nouvelle clé avec un nouvel identifiant et laisserons les clés publiques antérieures disponibles pour la vérification des enregistrements plus anciens.
• Webhooks. Les notifications sont signées en HMAC-SHA256 selon la spécification Standard Webhooks (en-têtes webhook-id, webhook-timestamp, webhook-signature). Vérifiez à la fois la signature et l’ancienneté du message, et conservez le secret en dehors du code source.

5. Protection des données

• Chiffrement en transit (TLS) et au repos chez l’hébergeur.
• Les identifiants d’accès aux systèmes connectés (ERP) et les secrets de signature des Webhooks sont chiffrés en AES-256-GCM. Les identifiants d’accès ne sont utilisés que pour récupérer la liste de prix sur instruction d’un Utilisateur ; nous recommandons de créer pour la connexion un utilisateur dédié disposant d’un accès en lecture seule et des autorisations minimales nécessaires.
• Les pièces jointes ne sont acceptées que dans les formats et tailles autorisés, ne sont communiquées qu’aux personnes autorisées et toujours sous forme de téléchargement, jamais affichées dans le navigateur.
• Les messages envoyés à l’Adresse de réception ne sont importés automatiquement qu’en provenance d’Expéditeurs vérifiés ; les autres attendent une confirmation dans l’application. L’expéditeur, l’objet, l’heure de réception et les pièces jointes sont supprimés au bout de 90 jours.
• Les Agents ne traitent pas le contenu des listes de prix, spécifications, pièces jointes ou e-mails comme des instructions (protection contre l’injection d’instructions, dite « prompt injection »).
• Pour les fournisseurs potentiels, nous ne conservons que des coordonnées génériques d’entreprise.

6. Exploitation, sauvegardes et journaux

• L’application et la base de données fonctionnent chez l’hébergeur indiqué à la section 9. La base de données est sauvegardée régulièrement ; les sauvegardes sont écrasées selon le cycle habituel dans un délai de 90 jours au plus.
• Les journaux d’exploitation (y compris les adresses IP) et les enregistrements de livraison des Webhooks sont conservés pendant 90 jours au maximum, les entrées de la Chaîne d’audit pendant 10 ans.
• L’accès à l’environnement de production est réservé au personnel habilité de l’Exploitant, tenu à la confidentialité.
• Les dépendances sont figées à des versions exactes. À chaque modification, nous testons automatiquement les invariants de sécurité : séparation des Organisations, respect des limites des Agents et confidentialité des plafonds et des minimums.

7. Incidents et notification des violations

1. Nous évaluons chaque incident de sécurité, en circonscrivons l’impact, en éliminons la cause et le documentons.
2. Nous informons les clients concernés dans les meilleurs délais. Nous notifions au Responsable du traitement toute violation de données à caractère personnel portant sur des données que nous traitons en qualité de sous-traitant au plus tard dans les 48 heures après en avoir pris connaissance (article 5 de la Convention de traitement des données).
3. Lorsque nous sommes responsable du traitement, nous notifions toute violation de données à caractère personnel à l’Office tchèque pour la protection des données à caractère personnel dans les 72 heures après en avoir pris connaissance, à moins qu’elle ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques (article 33 du RGPD) ; en cas de risque élevé, nous en informons également les personnes concernées dans les meilleurs délais (article 34 du RGPD).
4. Après la clôture d’un incident, nous fournissons sur demande aux clients concernés un résumé de ses causes et des mesures prises.

8. Signalement des vulnérabilités

Veuillez signaler les vulnérabilités à l’adresse inquiry@negotiq.synqflows.com. Les contacts et les règles figurent également dans le fichier lisible par machine https://app.negotiq.synqflows.com/.well-known/security.txt.

• Indiquez une description de la vulnérabilité, l’adresse ou l’interface concernée, les étapes permettant de la reproduire et l’impact potentiel ; les échanges peuvent avoir lieu en tchèque ou en anglais.
• Nous accuserons réception de votre signalement dans les meilleurs délais, vous tiendrons informé de l’avancement et, avec votre consentement, vous remercierons publiquement après la correction. Nous ne versons pas de récompenses financières (bug bounty).
• Règles : effectuez vos tests uniquement avec vos propres comptes et données ; n’accédez aux données d’autres personnes que dans la mesure nécessaire pour démontrer la vulnérabilité, ne modifiez ni ne supprimez rien et ne conservez pas les données obtenues ; n’effectuez pas d’attaques par déni de service, d’ingénierie sociale, d’hameçonnage (phishing) ni d’attaques physiques ; n’envoyez pas de messages en masse aux Adresses de réception ; ne divulguez pas la vulnérabilité avant que nous l’ayons corrigée ou que 90 jours se soient écoulés depuis votre signalement, sauf accord contraire.
• Sphère de sécurité (safe harbour) : nous considérons comme autorisée la recherche menée de bonne foi et conformément aux présentes règles, et nous consentons à l’accès dans ces limites. Nous n’engagerons pas d’action en justice contre vous et ne déposerons pas de plainte pénale, et si un tiers engageait une telle action, nous confirmerions que vous avez agi conformément aux présentes règles. Nous ne pouvons pas donner de consentement au nom de tiers (par exemple l’hébergeur ou les Services tiers).

9. Localisation des données et sous-traitants ultérieurs

La liste contraignante et les règles applicables aux modifications (information au moins 14 jours à l’avance avec droit d’objection) figurent dans la Convention de traitement des données (article 4). Les systèmes choisis par l’Organisation (ERP, flux de produits, points de terminaison des Webhooks, agents tiers) ne sont pas nos sous-traitants ; nous leur transmettons des données sur instruction de celle-ci.

10. Continuité de l’activité

Nous nous efforçons d’assurer une disponibilité continue, mais en l’absence d’un contrat de niveau de service (SLA) conclu par écrit, nous ne garantissons aucun niveau de disponibilité ni aucun délai de rétablissement. Nous sauvegardons régulièrement la base de données et annonçons à l’avance, dans la mesure du possible, les opérations de maintenance planifiées. Vous pouvez à tout moment exporter gratuitement les données de votre Organisation (JSON), ainsi que télécharger les Confirmations et les Enregistrements AP2 et les vérifier à l’aide de la clé publique, même sans accès à la Plateforme.

11. Contact

• Sécurité et vulnérabilités : inquiry@negotiq.synqflows.com
• Protection des données : inquiry@negotiq.synqflows.com
• Autres demandes et point de contact au titre du règlement sur les services numériques : inquiry@negotiq.synqflows.com