Comment SpeakDo protège votre Dolibarr

1. Authentification sans mot de passe

Chaque terminal enrôlé (téléphone, tablette) génère lui-même, localement, une paire de clés cryptographiques au moment de l'association avec Dolibarr. La clé privée ne quitte jamais l'appareil et n'est jamais transmise, y compris à MargePro SASU. Chaque requête est signée par cette clé plutôt que protégée par un mot de passe partagé — il n'y a donc aucun mot de passe utilisateur qui pourrait fuiter.

2. Chiffrement des accès Dolibarr

La clé API de votre Dolibarr n'est jamais stockée en clair (libsodium, secretbox authentifié). Elle est déchiffrée temporairement en mémoire lors des appels autorisés vers votre Dolibarr, puis effacée immédiatement après usage, avec des accès d'administration strictement limités et journalisés.

3. Jetons et anti-rejeu

• Jetons de session et de paiement stockés sous forme de hash uniquement, jamais en clair
• Chaque requête signée porte un horodatage et un nonce à usage unique : une requête interceptée et rejouée est rejetée
• Toutes les communications sont chiffrées en TLS (HTTPS obligatoire)

4. Dolibarr garde le contrôle

SpeakDo ne remplace ni vos droits ni vos validations :

• Les droits appliqués sont ceux de l'utilisateur Dolibarr — pas ceux de SpeakDo
• Les écritures utilisent un catalogue d'actions fermé et versionné, jamais une écriture libre décidée par le modèle de langage
• Chaque opération sensible est présentée à l'utilisateur avant confirmation
• Un terminal peut être révoqué à tout moment depuis Dolibarr

5. Hébergement et disponibilité

Le service est hébergé par OVH SAS, en France. Base de données inaccessible depuis le réseau public.

6. Notification en cas d'incident

Pour les données de compte dont MargePro SASU est responsable de traitement, MargePro s'engage à notifier la CNIL dans les 72 heures conformément à l'article 33 du RGPD lorsque le risque l'exige. Pour les données métier de votre Dolibarr, traitées par MargePro en tant que sous-traitant, MargePro vous informe sans délai en cas d'incident : c'est à vous, responsable de traitement de ces données, qu'il revient d'évaluer l'incident et, le cas échéant, de procéder à la notification à la CNIL.

7. Signaler une faille

Vous avez identifié une vulnérabilité de sécurité ? Contactez-nous à hello@speakdo.fr avec le détail nécessaire pour la reproduire. Merci de ne pas divulguer publiquement une faille avant qu'elle n'ait été corrigée.