Vos données protégées, sans promesse invérifiable

Signature électronique

Les PV signés via PVIA utilisent une signature électronique simple (SES) au sens de l'article 3.10 du règlement eIDAS (UE) 910/2014. Il ne s'agit ni d'une signature avancée ni d'une signature qualifiée : PVIA n'émet pas de certificat qualifié et ne fait pas appel à un prestataire de services de confiance qualifié.

La valeur probante repose sur le dossier de preuve joint à chaque PDF : vérification de l'email du signataire par code à usage unique, date et heure du serveur, adresse IP, navigateur, consentement explicite et empreinte SHA-256 du document signé. Ce faisceau d'indices est recevable en justice, son appréciation relevant du juge.

Hébergement et localisation des données

La base de données, les fichiers (photos, PDF) et l'application sont hébergés sur une infrastructure managée Supabase déployée en région AWS eu-west-1 (Irlande), au sein de l'Union européenne, et distribués via le réseau Cloudflare.

Certains sous-traitants nécessaires au service peuvent traiter des données en dehors de l'Union européenne : Stripe (paiement et facturation) et Resend (envoi des emails transactionnels). Nous ne pouvons donc pas affirmer qu'aucune donnée ne quitte l'Union européenne. La liste à jour des sous-traitants et de leurs garanties de transfert est disponible sur demande.

Chiffrement

• Transit : HTTPS/TLS sur toutes les connexions, avec en-tête HSTS (max-age=31536000; includeSubDomains).
• Au repos : chiffrement des volumes de base de données et du stockage de fichiers assuré par l'hébergeur, selon ses propres garanties.
• Fichiers sensibles : accès uniquement via des URL signées à durée de vie courte, jamais en lecture publique.
• Authentification : connexion sans mot de passe par code à usage unique (OTP) envoyé par email ; les codes sont stockés hachés en SHA-256, à usage unique, expirants et limités en nombre de tentatives.

PVIA ne pratique pas de chiffrement de bout en bout : le service doit pouvoir lire vos données pour générer les PDF et les envoyer à vos clients.

Cloisonnement des données

Chaque entreprise est isolée au niveau de la base de données par des règles de sécurité au niveau des lignes (RLS). Les espaces professionnel et client sont séparés : un client final n'accède qu'aux documents qui le concernent.

Conformité RGPD

PVIA traite uniquement les données nécessaires à la création, à la signature et à l'archivage de vos procès-verbaux. Vous pouvez exporter ou demander la suppression de vos données à tout moment depuis votre espace ou par email.

Conservation

Les PV signés et leurs preuves sont conservés pendant toute la durée de votre abonnement et restent exportables. Aucune conservation à valeur d'archivage électronique probatoire (NF Z42-013) n'est aujourd'hui garantie : pour une conservation décennale opposable, conservez également l'export PDF de votre côté.

Sauvegardes et disponibilité

Les sauvegardes automatiques de la base de données sont assurées par l'hébergeur selon son plan de service. PVIA ne s'engage pas contractuellement sur un SLA de disponibilité chiffré ; l'état du service et les incidents sont communiqués par email aux administrateurs.

Audit & monitoring

Les actions sensibles (création, signature, envoi, levée de réserve, changement de rôle, facturation) sont tracées dans un journal d'audit consultable depuis votre espace administrateur. Les erreurs applicatives sont collectées et supervisées.

Certifications

PVIA n'est pas certifiée ISO 27001 ni HDS. Nos hébergeurs disposent de leurs propres certifications, qui ne s'étendent pas automatiquement à PVIA.

Question de sécurité ou signalement de vulnérabilité : security@pvia.fr.