Données et sécurité

Cette page décrit comment CORTELA OS traite les données des entreprises qui l’utilisent. Elle résume nos documents contractuels : l’accord de sous-traitance, les mesures techniques et organisationnelles et la liste des sous-traitants ultérieurs. Seul le contrat fait foi.

À la fin figure ce que nous ne promettons pas.

Où sont stockées les données

La base de données, la connexion et le stockage de fichiers fonctionnent chez Supabase, dans le centre de données de Francfort-sur-le-Main (région AWS eu-central-1). STRATO héberge le site et l’application en Allemagne.

Supabase, Inc. est une société dont le siège est aux États-Unis. Les données sont traitées dans la région UE de Francfort.

Les données ne se trouvent donc pas sur un ordinateur chez CORTELA, mais chez le prestataire. Elles existent ainsi indépendamment de CORTELA.

Qui traite les données

Ces prestataires traitent des données pour notre compte :

Supabase, Inc. Base de données, connexion, stockage de fichiers, fonctions serveur. Francfort-sur-le-Main (UE).
STRATO AG Hébergement du site et de l’application, envoi d’e-mails, boîte mail. Allemagne.
Mistral AI SAS Fonctions d’IA : assistance, transcription, lecture de documents de commande. France (UE).
Cal.com, Inc. Prise de rendez-vous. États-Unis. Uniquement en lien, non intégré sur cortela.de.
Partenaires de production et d’expédition Fabrication, marquage, finition et expédition, par commande. Allemagne et UE.

Des accords de sous-traitance sont conclus avec Supabase, STRATO et Cal.com. Pour Mistral, son accord de sous-traitance s’applique dans le cadre de ses conditions d’utilisation. Les partenaires de production et d’expédition ne reçoivent que les données nécessaires à la commande concernée.

Si un prestataire doit être ajouté ou remplacé, nous en informons nos clients au préalable par écrit.

Comment les données sont protégées

Séparation des entreprises. Chaque enregistrement porte l’identifiant de son entreprise. Des règles d’accès dans la base de données elle-même garantissent qu’une entreprise ne voit que ses propres données, même si quelqu’un contourne l’interface. Toutes les entreprises partagent une base de données ; la séparation passe par ces règles, pas par des instances distinctes.
Mesuré, pas affirmé. Le 10 octobre 2026, les 178 tables de l’application avaient toutes des règles d’accès activées. Un test sur chaque table vérifie que les accès anonymes sont réellement refusés.
Connexion. Comptes personnels, pas de comptes partagés. Les mots de passe ne sont stockés que sous forme de hachage. Il n’y a pas d’inscription libre ; les accès sont créés uniquement sur invitation. Une connexion à deux facteurs par application est disponible ; une fois activée pour un compte, la base de données l’exige à chaque accès.
Droits. Les droits dépendent du profil enregistré sur le serveur, jamais d’informations que l’on peut définir soi-même. Les partenaires de production ne voient que les commandes qu’ils exécutent, sans calcul de prix ni détails clients.
Chiffrement. Toutes les connexions sont chiffrées (TLS). Les données stockées sont chiffrées par les centres de données. Nos propres sauvegardes sont en plus chiffrées en AES-256.
Sauvegarde. La base de données et le stockage de fichiers sont en règle générale sauvegardés automatiquement chaque jour. Chaque sauvegarde est relue dans le même passage. Nous avons testé une restauration le 14 août 2026.
Contrôle. Les contrôles passent par des programmes de test, pas par des assurances : entre autres, si les accès anonymes sont refusés, si les prix d’achat restent hors du programme livré et ce qui est accessible sans connexion.

Export et suppression

Une entreprise peut demander à tout moment un export complet de ses données, pas seulement à la fin du contrat.

Les administrateurs le lancent eux-mêmes dans l’application : Admin → Demandes RGPD → « Exporter toutes les données ». Le résultat est un fichier ZIP contenant chaque table de l’entreprise en CSV et en JSON. Les clés d’accès et les identifiants de liens secrets n’y figurent pas. CORTELA fournit les fichiers associés (fichiers d’impression, documents, pièces jointes) dans leur format d’origine sur demande.

L’export comprend toutes les données de l’entreprise, pas seulement les données personnelles : clients et contacts, commandes et lignes, devis, factures et autres pièces, validations avec leur historique, listes de prix et de conditions ainsi que les paramètres. Il ne contient ni les données d’autres entreprises ni les éléments système de CORTELA comme le catalogue textile, les textes d’aide et le code du programme.

À la fin du contrat, nous fournissons l’export sans demande et sans frais supplémentaires. Les données sont ensuite supprimées. Ce qui doit être conservé légalement, par exemple les factures, est bloqué jusqu’à la fin du délai au lieu d’être supprimé.

Les demandes des personnes concernées (accès, effacement, rectification et autres) sont consignées par chaque entreprise dans son propre registre dans l’application, avec délai et rappel. Les demandes d’effacement sont réalisées par anonymisation.

Si CORTELA venait à disparaître

CORTELA est une entreprise individuelle. Si son exploitant disparaît durablement, personne ne peut poursuivre l’exploitation du logiciel à sa place.

Ce qui tient malgré tout : les données sont stockées chez Supabase à Francfort et existent donc indépendamment de CORTELA. Qui récupère l’export régulièrement ne dépend pas d’une défaillance.

Ce que nous ne promettons pas

Une garantie de disponibilité (pas de SLA).
Un délai de réaction fixe en cas de panne.
La poursuite de l’activité par des tiers.

Par ailleurs : une sauvegarde supplémentaire par le fournisseur de la plateforme n’existe pas pour l’instant ; elle est prévue avec la première entreprise payante. La connexion à deux facteurs n’est pas obligatoire pour chaque compte. Nous ne disposons pas de certification, par exemple ISO 27001.

Contact

Jan Keur répond directement aux questions sur les données et la sécurité : merch@cortela.de.

La manière dont nous traitons les données sur ce site est décrite dans la politique de confidentialité. Informations sur l’éditeur : mentions légales.

Version : 12 octobre 2026. Nous mettons cette page à jour lorsque les prestataires ou les mesures changent.