Sécurité & confiance

NordTraxis agit comme sous-traitant (Loi 25, art. 18.3 / processor RGPD art. 28) : les données saisies restent la propriété de votre entreprise. Vous pouvez en obtenir un export à tout moment, dans un format réutilisable, et demander leur suppression au terme du contrat.

• Infrastructure Google Firebase / Google Cloud, opérateur de niveau entreprise (centres de données certifiés ISO 27001 / SOC 2 côté Google).
• Chiffrement en transit (TLS/HTTPS) sur toutes les communications, et chiffrement au repos assuré par Google Cloud.
• Région d'hébergement des données : Google Cloud — northamerica-northeast1 (Montréal, Canada). Base de données, fichiers, Cloud Functions : l'ensemble de l'infrastructure est hébergé au Québec.
• Résidence au Canada : toutes les données restent sur le territoire canadien (région de Montréal), conformément aux exigences de la Loi 25 (Québec) et de la LPRPDE. Aucun traitement ne passe par des serveurs situés hors Canada.

• Connexion par identifiant + mot de passe géré via Firebase Auth.
• Double authentification (MFA / TOTP) disponible.
• Face ID / Touch ID sur l'app mobile : verrou de session ; l'inactivité verrouille l'app au lieu de la laisser ouverte.

• Rôles & permissions : chaque utilisateur ne voit que ce que son niveau autorise (employé, superviseur, direction, administrateur…).
• Isolation multi-tenant : les données de chaque entreprise cliente sont strictement cloisonnées ; un client n'a jamais accès à celles d'un autre (règles de sécurité Firestore par tenant).

• Journal d'audit des actions sensibles (qui a fait quoi, quand).
• Les documents approuvés (inspections, rapports) sont scellés par une empreinte SHA-256 : toute altération après signature est détectable — preuve d'intégrité pour un auditeur.
• Workflows d'approbation multi-niveaux avec signatures électroniques horodatées.

• Sauvegardes automatiques toutes les heures de la base de données, conservées 30 jours, en plus de la durabilité (réplication gérée) de Google Cloud. Les sauvegardes sont également stockées au Canada (Montréal).
• Récupération à un instant précis (PITR) : retour possible à n'importe quel moment des 7 derniers jours — protège contre une suppression ou une modification accidentelle.
• Réversibilité : en cas d'arrêt du service, vos données vous sont restituées par export, dans un format réutilisable, sous 30 jours — vous n'êtes jamais prisonnier de l'outil.

• Loi 25 (Québec) & LPRPDE (Canada) : mesures techniques en place (chiffrement, contrôle d'accès, journal, minimisation, résidence des données au Canada) + politique de confidentialité, registre des traitements et évaluation des facteurs relatifs à la vie privée (EFVP). Une revue juridique externe est planifiée pour consolider la conformité.
• Alignement normatif: ISO 9001 (qualité), ISO 45001 & ISO 31000 (SST / gestion du risque), CSA Z460 (cadenassage) — le produit est bâti autour de ces référentiels.
• Bonnes pratiques de sécurité appliquées en continu ; une certification formelle (p. ex. SOC 2) pourra être engagée selon les exigences des clients. (NordTraxis n'est pas, à ce jour, certifié SOC 2 / ISO 27001.)

NordTraxis s'appuie sur des fournisseurs reconnus, eux-mêmes certifiés :

• Google Firebase / Google Cloud — hébergement, base de données, stockage, notifications (FCM).
• Vercel — hébergement de l'interface web (plateforme certifiée SOC 2 Type II).
• Resend — envoi des courriels transactionnels (notifications, rapports).

Vous pensez avoir découvert une faille ? Écrivez-nous à rprp@nordtraxis.com. Nous accusons réception et traitons les signalements de bonne foi en priorité.

Question sur la sécurité ou la protection des renseignements personnels : rprp@nordtraxis.com. Voir aussi notre politique de confidentialité.