--- title: "Sécurité de Viaondo : hébergement, isolation, liens privés" description: "Comment Viaondo protège les données des agences et des voyageurs : hébergement dans l’UE, agences isolées, liens privés, fichiers, journaux et signalement." url: "https://viaondo.com/fr/legal/securite" language: "fr" updated: "2026-10-18" --- # Sécurité et confiance Ce que fait Viaondo pour que les voyages, les documents et les voyageurs de chaque agence restent privés, ce qui lui manque encore et comment signaler un problème de sécurité. *Dernière mise à jour : 18 octobre 2026* Viaondo conserve ce que les agences de voyages lui confient : les noms de leurs clients, leurs billets, leurs bons et leurs copies de passeport. Cette page explique simplement comment ces données sont protégées, y compris ce que nous n’avons pas encore. Le volet juridique figure dans la [politique de confidentialité](https://viaondo.com/fr/legal/confidentialite), l’[accord de traitement des données](https://viaondo.com/fr/legal/accord-de-traitement) et la liste des [sous-traitants ultérieurs](https://viaondo.com/fr/legal/sous-traitants). ## Où se trouvent les données - **Base de données et fichiers dans l’Union européenne.** Les voyages, les voyageurs, les documents et les paramètres sont stockés chez Cloudflare sous juridiction de l’UE (la base de données D1 et le stockage de fichiers R2). L’application s’exécute sur le réseau de Cloudflare, à l’emplacement le plus proche de chaque utilisateur. - **Les fichiers sont privés.** Le navigateur ne communique jamais directement avec le stockage de fichiers. Chaque fichier passe par Viaondo, qui vérifie qui le demande avant de le servir. - **Des sauvegardes, elles aussi dans l’UE.** La base de données peut être restaurée à n’importe quelle minute des 30 derniers jours ; un export complet est conservé chaque semaine pendant 84 jours et sa restauration est testée chaque mois ; et les fichiers sont copiés chaque nuit dans un compartiment distinct qui conserve chaque copie au moins 30 jours et refuse les écrasements. ## Une agence ne voit jamais les données d’une autre - Chaque requête vers les données d’une agence vérifie que la personne connectée est membre de cette agence. Pour toute autre personne, l’agence n’existe pas : elle reçoit « introuvable », jamais « accès interdit ». - Chaque requête à la base de données est limitée à l’agence et construite avec des paramètres liés, jamais à partir d’un texte saisi par quelqu’un. - Propriétaires et membres n’ont pas les mêmes droits : seul le propriétaire modifie les paramètres de l’agence, invite ou retire des personnes et supprime définitivement des voyages. ## Liens du voyage Les voyageurs ouvrent leur voyage depuis un lien privé, sans compte. Ce lien fait office de clé, et nous le traitons comme tel : - Chaque lien contient 32 octets aléatoires. La base de données n’en conserve qu’une empreinte (SHA-256) pour le retrouver, ainsi qu’une copie chiffrée pour que l’agence puisse le copier à nouveau. - Un lien ne fonctionne que tant que le voyage est publié et que le lien n’a pas été révoqué. Archiver un voyage suspend ses liens ; l’agence peut révoquer un lien ou tous ses liens, et un voyageur retiré du voyage perd l’accès immédiatement. - Un lien personnel ne montre à ce voyageur que ses propres documents et sièges. - Les pages demandent aux navigateurs de ne jamais transmettre le lien à d’autres sites (aucun référent), les aperçus de lien dans les messageries n’affichent que l’agence, et le lien n’apparaît jamais dans nos journaux. Ce qu’un lien ne permet pas : toute personne qui le possède peut ouvrir ce qu’il montre, et sa révocation ne peut pas effacer une copie déjà enregistrée hors ligne sur un téléphone. Si un lien est partagé par erreur, révoquez-le et envoyez-en un nouveau. ## Documents et téléversements - Chaque fichier téléversé est vérifié de trois façons (ses premiers octets, son type et son extension), et seuls les PDF et les images courantes sont acceptés, dans des limites de taille. - Les fichiers sont servis avec des en-têtes qui empêchent le navigateur d’exécuter quoi que ce soit qu’ils contiennent. - Les billets, les bons et les copies de passeport sont supprimés 30 jours après la fin du voyage, avec ce qui en a été extrait. - La copie hors ligne sur le téléphone d’un voyageur est vérifiée fichier par fichier, par taille et par empreinte, avant que l’app n’indique que le voyage est enregistré. ## Connexion - Les utilisateurs des agences se connectent avec un lien envoyé par e-mail, un mot de passe ou Google. Les mots de passe ne sont jamais stockés en clair. - Les formulaires de connexion sont protégés contre les robots par Cloudflare Turnstile, et le nombre de tentatives de connexion est limité. - Les sessions peuvent être consultées et fermées depuis le profil, appareil par appareil. ## Journaux et mesure d’audience - Nous n’enregistrons pas les requêtes. L’application n’enregistre que des noms d’événements, des identifiants et des codes d’erreur : jamais de liens du voyage, de texte de documents, d’adresses e-mail ni ce que l’IA a lu. - Le site public utilise des comptages de visites agrégés, sans cookies. Le tableau de bord et l’app du voyageur ne chargent aucun outil de mesure d’audience ni aucun script tiers. - Quand un voyageur ouvre un voyage, Viaondo enregistre que le lien a été ouvert, que le voyage a été enregistré hors ligne ou qu’un document a été consulté, sans son adresse IP, son appareil ni cookies, pour que l’agence sache que le voyage est bien arrivé. Ces enregistrements sont supprimés au bout de 13 mois. ## Paiements Les agences paient sur des pages hébergées par Stripe. Les données de carte sont transmises directement à Stripe : Viaondo ne les voit ni ne les conserve jamais, et le tableau de bord n’affiche que le type de la carte, ses quatre derniers chiffres et sa date d’expiration. ## IA Les documents lus par l’IA sont envoyés à NaN, dans l’Union européenne, qui ne conserve ni les documents ni les réponses et ne s’en sert pas pour entraîner des modèles. Les instructions cachées dans un document sont ignorées, et rien de ce que l’IA ajoute n’arrive aux voyageurs avant que l’agence ne publie. Les détails figurent sur la [page consacrée à l’IA](https://viaondo.com/fr/legal/ia). ## Ce que nous n’avons pas encore - Aucune certification SOC 2 ni ISO 27001. Nos prestataires (Cloudflare, Stripe) disposent des leurs. - Pas encore d’authentification unique (SAML) ni de connexion à deux facteurs obligatoire pour les équipes des agences. - Pas de journal d’audit dédié permettant aux agences de voir qui a modifié quoi (chaque voyage conserve ses versions publiées). Viaondo est une petite entreprise. Si vous avez besoin de réponses pour un audit de sécurité ou un questionnaire fournisseur, écrivez-nous et nous y répondrons par écrit. ## Signaler un problème Si vous découvrez un problème de sécurité, écrivez à [info@viaondo.com](mailto:info@viaondo.com) en indiquant ce que vous avez trouvé et comment le reproduire. Nous répondons sous deux jours ouvrables, et nous vous demandons de nous laisser un délai raisonnable pour le corriger avant de le rendre public. Le même contact est publié dans notre fichier [security.txt](https://viaondo.com/.well-known/security.txt). Vous pouvez vérifier que le service fonctionne sur la [page d’état du service](https://viaondo.com/fr/statut).