Les données de vos visiteurs, traitées comme il faut
Tout ce qui est sur cette page est quelque chose que turnda fait aujourd’hui. Là où nous n’avons pas encore mérité une affirmation, nous le disons plus bas au lieu d’y coller un badge.
Chaque entreprise est isolée au niveau de la base de données
turnda utilise la sécurité au niveau des lignes de Postgres, forcée sur les données de chaque client. L’isolation est donc imposée par la base de données elle-même plutôt que par un code applicatif qui pense à ajouter un filtre — la façon habituelle dont ce genre de chose tourne mal. Une vérification automatique tourne dans la barrière de publication par laquelle chaque changement doit passer, et elle refuse de passer si une table client est un jour ajoutée sans cette protection : elle ne peut donc pas régresser en silence.
Nous ne collectons que ce dont une file a besoin
Chaque champ visiteur — nom, téléphone, taille du groupe, une note — est un interrupteur que le commerçant contrôle, et chacun est éteint tant qu’il n’est pas allumé. Si votre accueil n’a pas besoin d’un numéro de téléphone, ne le demandez pas. turnda n’est pas un système de dossiers et ne détient aucune donnée clinique, financière ou d’identité sur vos visiteurs.
La confidentialité sur l’écran de salle est imposée, pas masquée
Un écran réglé sur les numéros seuls ne reçoit jamais les noms : la restriction est appliquée là où les données sont lues, et non en masquant du texte dans la page. Cela compte dans une salle d’attente, où l’écran est visible de tous.
Les secrets et les données personnelles restent hors des journaux
Nos propres journaux sont expurgés avant d’être écrits : les valeurs qui ressemblent à une adresse e-mail, un numéro de téléphone ou une clé sont masquées, et les champs au nom sensible sont retirés à n’importe quelle profondeur. Les rapports d’erreur envoyés à notre outil de surveillance sont restreints à part : sa collecte de données personnelles est désactivée et les variables d’une trame de pile ne sont jamais transmises. Ainsi, la trace d’exploitation par laquelle passent vos données n’en accumule pas de copies.
La panne d’un canal ne met pas le produit à terre
Le lien de suivi gratuit est la façon principale dont un visiteur voit que c’est son tour ; WhatsApp et l’e-mail sont des suppléments au mieux. Si un canal de messages a une panne — ou si un établissement atteint son quota mensuel —, le lien de suivi continue de fonctionner, personne n’est donc laissé sans moyen de savoir que c’est son tour.
De forme RGPD et PDPA, avec une vraie suppression
Nous traitons les demandes des personnes concernées, et ce que vous saisissez — les informations de votre entreprise, votre marque — peut être effacé par vous et pas seulement par nous. Si vous cessez de payer, vos données sont gardées 90 jours pour que vous puissiez revenir, et peuvent être supprimées sur demande.
Un lien de logo collé est chargé depuis le serveur de quelqu’un d’autre
Si vous téléversez votre logo, il est stocké et servi par nous, et personne d’autre n’intervient. Si vous collez plutôt un lien vers votre logo hébergé sur un autre site, les navigateurs de vos visiteurs vont chercher cette image directement sur ce site — ce qui veut dire que ce site peut voir les adresses IP de vos visiteurs. Ce n’est pas nous qui le choisissons et nous n’avons aucun accord avec lui : il n’est donc pas sur notre liste de sous-traitants et ne peut pas y être. Téléverser évite cela entièrement, et c’est l’option que nous recommandons.
La liste courte et honnête
Voici les entreprises qui traitent des données pour le compte de turnda. C’est une liste volontairement courte, et nous mettrons cette page à jour avant d’y ajouter quoi que ce soit.
| Qui | Ce qu’ils font | Notes |
|---|---|---|
| Supabase | Base de données, connexion et stockage d’images | Là où vivent les données de votre compte, de votre équipe et de votre file : UE, Francfort (eu-central-1) |
| Fly.io | Hébergement de l’application | Fait tourner l’application elle-même. Région principale : Francfort (eu-central) |
| Upstash | Cache, mises à jour en direct et tâches de fond | État de file de courte durée et données de tâches ; aussi les adresses IP des visiteurs, pour limiter les abus |
| Stripe | Paiements et facturation des abonnements | Les informations de carte vont directement à Stripe : turnda ne les voit ni ne les stocke jamais |
| Meta (WhatsApp Cloud API) | Livraison des messages WhatsApp | La voie utilisée aujourd’hui, et seulement quand un commerçant active WhatsApp pour une file |
| Twilio · Gupshup · 360dialog | Voies alternatives de livraison WhatsApp | Alternatives configurées à Meta. Nommées ici parce que changer de voie est un changement de configuration et non une refonte : n’importe laquelle peut donc transporter un message WhatsApp |
| Resend | Livraison des e-mails transactionnels | Confirmations d’inscription, mises à jour et courrier de compte |
| Cloudflare | Noms de domaine (DNS) et acheminement du courrier entrant | Résout turnda.com. Ne relaie pas votre trafic web, il ne voit donc pas le contenu des requêtes. Il reçoit et transmet le courrier envoyé aux adresses turnda.com : ce que vous nous écrivez passe donc par Cloudflare avant de nous parvenir |
| Sentry | Surveillance des erreurs | Diagnostic uniquement. La collecte de données personnelles de Sentry est désactivée et les variables des trames de pile ne sont jamais envoyées : un rapport d’erreur porte la panne, pas la personne |
Ce que nous n’affirmons pas
Les pages de confiance ne listent d’habitude que les réussites. Voici l’autre moitié : ce qu’un acheteur attentif devrait savoir que nous n’avons pas encore fait. Si l’un de ces points est bloquant pour vous, dites-le-nous et nous répondrons franchement plutôt que par une promesse de feuille de route.
Posez-nous une question de sécurité- Nous ne sommes certifiés ni SOC 2 ni ISO 27001. Nous le dirons quand ce sera le cas, et pas avant.
- Nous n’avons pas commandé de test d’intrusion externe. Notre travail de sécurité jusqu’ici est un audit interne contradictoire.
- Nous ne proposons pas encore d’accord de sous-traitance signé pour grands comptes ni de processus de questionnaire sécurité. S’il vous en faut un, écrivez-nous et nous vous dirons honnêtement où nous en sommes.
- Nous n’avons aucun engagement de disponibilité. Le produit est conçu pour se dégrader proprement plutôt que promettre un chiffre que nous ne pouvons pas encore tenir.
Les questions de sécurité qu’on nous pose
Une entreprise peut-elle un jour voir les données d’une autre ?
Non. L’isolation est imposée par la base de données via la sécurité au niveau des lignes, et un test automatique fait échouer la compilation si une table client est un jour introduite sans elle. Ce n’est pas laissé au code applicatif.
Où nos données sont-elles stockées ?
À Francfort, dans l’UE. Vos données sont dans une base Postgres gérée par Supabase ; l’application elle-même tourne sur Fly.io dans la même région. Si votre régulateur exige une région précise, dites-le-nous avant votre inscription plutôt qu’après : nous préférons dire non que vous induire en erreur.
Stockez-vous les informations de carte ?
Non. Les informations de paiement vont directement à Stripe. turnda ne reçoit ni ne stocke jamais un numéro de carte.
Qu’advient-il de nos données si nous partons ?
Cela dépend de la façon dont vous partez. Si vous fermez le compte vous-même, vous pouvez revenir en arrière pendant 7 jours ; ensuite il est supprimé définitivement. Avant de fermer, prenez ce qu’il vous faut : votre configuration s’exporte en fichier à tout moment, et chaque rapport se télécharge en CSV, Excel ou PDF. Les enregistrements de visites individuelles ne sont pas dans l’export, car nous supprimons les informations des visiteurs selon la durée de conservation que vous fixez plutôt que de les garder longtemps. Si vous cessez simplement de payer, nous gardons le compte 90 jours pour que vous puissiez revenir sans refaire votre configuration. Dans les deux cas, vous pouvez nous demander de supprimer plus tôt. Rien n’est vendu, et rien ne sert à entraîner quoi que ce soit.
Combien de temps les données visiteurs sont-elles gardées, et les sauvegardes suivent-elles la même horloge ?
C’est vous qui choisissez la durée : de 24 heures à un an, et c’est 48 heures si vous n’y touchez pas. À expiration, le nom et le contact sont effacés et toute note ou marque est supprimée. Les sauvegardes sont l’exception honnête : nous en faisons une chaque nuit et gardons 14 copies quotidiennes et 8 hebdomadaires, une copie peut donc survivre environ huit semaines après sa disparition du système en service. Les sauvegardes sont privées, servent uniquement à se remettre d’un sinistre, et jamais à autre chose.
Si nous envoyons une capture d’écran avec un signalement, qu’en advient-il ?
Elle est stockée de façon privée, et nous seuls pouvons la voir : elle n’est ni publique ni partagée. Mais nous devons être francs sur une faiblesse que nous avons trouvée nous-mêmes : une capture d’écran prise sur votre page de file peut montrer les noms de vos visiteurs, et ces signalements d’assistance n’expirent aujourd’hui selon aucun calendrier, et ne sont pas atteints quand vous effacez les données d’un visiteur. Nous corrigeons cela. En attendant, le plus sûr est d’éviter de joindre une capture montrant les informations d’un visiteur, et nous dirons ici quand ce sera fait.
Pouvons-nous récupérer nos données ?
Oui : demandez et nous vous les fournirons. Nous traitons aussi les demandes des personnes concernées pour des visiteurs individuels.
Avez-vous un contact sécurité ?
Oui : écrivez à security@turnda.com et cela atteint une personne, pas une file. C’est l’adresse publiée dans notre security.txt (à /.well-known/security.txt), et elle sert aux signalements de failles et à rien d’autre. Si vous pensez avoir trouvé une faille, prévenez-nous avant toute divulgation publique et nous travaillerons avec vous.
Voyez aussi notre politique de confidentialité et conditions.