Sécurité chez Gestioo

Dernière mise à jour : 3 mai 2026

Gestioo traite des documents, contrats, signatures, certificats et renseignements personnels pouvant inclure des données sensibles. La sécurité est donc une composante essentielle de notre plateforme.

1. Infrastructure

Gestioo utilise ou peut utiliser selon configuration :

• Vercel, Montréal, QC, Canada pour les fonctions et traitements configurés;
• Supabase, Montréal, QC, Canada, incluant possiblement Supabase Storage;
• Microsoft Entra ID / Microsoft 365 pour le SSO;
• Google Workspace comme SSO futur;
• Mapbox pour l’autofill d’adresse;
• Pingram.io, Montréal, QC, Canada;
• OVH Storage, Beauharnois, QC, Canada;
• Backblaze B2, Toronto, ON, Canada, comme stockage possible selon configuration;
• SignatureAPI, États-Unis, pour certaines fonctionnalités de signature;
• GlobalSign, États-Unis, comme fournisseur possible de certificats ou signature;
• Stripe, États-Unis, pour les paiements.

La majorité de l’infrastructure applicative et de stockage est conçue pour demeurer au Canada lorsque possible. Certaines fonctions peuvent être configurées à Montréal, QC, Canada. Toutefois, certains services périphériques, CDN, logs, analytics ou traitements opérationnels de fournisseurs peuvent être globaux. Certaines fonctionnalités spécifiques peuvent nécessiter un transfert hors Québec ou hors Canada.

2. Mesures de sécurité

Gestioo applique des mesures raisonnables, incluant :

• chiffrement des communications en transit;
• authentification sécurisée;
• contrôles d’accès;
• gestion des rôles et permissions;
• principe du moindre privilège;
• journalisation;
• surveillance technique;
• sauvegardes;
• séparation logique des clients;
• processus de réponse aux incidents.

3. Accès administrateur

Les accès internes aux systèmes de production et aux données clients sont limités aux personnes qui en ont besoin à des fins légitimes, notamment support, sécurité, diagnostic, maintenance ou conformité.

4. Journalisation

Gestioo peut conserver des journaux pour sécuriser la plateforme, diagnostiquer les problèmes, détecter les accès non autorisés et produire des preuves de signature ou d’intégrité.

Pour les fournisseurs de signature, Gestioo devrait consigner l’envoi, la complétion, le téléchargement du livrable et la demande de suppression ou de réduction de conservation fournisseur via l’API après sauvegarde du livrable et des preuves.

5. Sauvegardes

Les sauvegardes sont conservées jusqu’à 30 jours selon les cycles applicables.

Selon configuration, elles peuvent être stockées sur OVH Storage, Supabase Storage ou Backblaze B2.

6. Gestion des incidents

En cas d’incident, Gestioo suit un processus de détection, confinement, analyse, évaluation du risque, correction, notification lorsque requise et post-mortem.

7. Sous-traitants

La liste est publiée à https://gestioo.co/sous-traitants.

8. Signalement

Pour signaler une vulnérabilité ou un problème de sécurité : support@gestioo.co.

Ne tentez pas d’accéder à des données qui ne vous appartiennent pas.