Un seul cadre, le vôtre
Nous ne raisonnons pas en droit européen. Nos obligations de déclaration, de notification et de conservation sont celles de la loi sénégalaise.
Sommaire
1. La souveraineté n’est pas un argument, c’est une adresse
C’est notre différence la plus concrète, alors nous la mettons en premier.
Futurize S.A.S est une société sénégalaise. Le traitement de vos données relève de la loi n° 2008-12 du 25 janvier 2008, et l’autorité compétente est la Commission de protection des données personnelles, à Dakar.
Ce que cela change le jour où quelque chose se passe mal : la différence entre saisir une autorité à Dakar et engager une procédure à Bruxelles n’est pas juridique, elle est pratique. Même fuseau horaire, même langue de procédure, même corpus. Un recours qu’on peut réellement exercer vaut mieux qu’un droit théoriquement plus protecteur mais hors d’atteinte.
Une autorité joignable
La CDP est votre voie de recours si vous estimez que nous traitons mal vos données. Nous ne faisons rien pour rendre ce chemin plus long.
SYSCOHADA d’origine
Notre comptabilité est nativement SYSCOHADA — pas un module de localisation greffé sur un plan comptable conçu ailleurs. Ce n’est pas de la sécurité, c’est de l’intégrité comptable.
2. Hébergement et isolation
Vos données sont hébergées dans des centres de données situés en Allemagne, opérés par Hetzner Online GmbH, certifié ISO 27001 pour ses installations. Ce transfert hors du Sénégal est déclaré, et nous l’expliquons au chapitre 9.
L’architecture repose sur un principe simple : les bases de données ne sont joignables depuis Internet par aucun chemin. Elles n’ont pas d’adresse publique. Tout ce qui vient de l’extérieur traverse d’abord une bordure filtrante, puis l’application — jamais la donnée directement.
Une société ne voit pas les autres
Chaque enregistrement porte la société à laquelle il appartient, et le filtre s’applique au niveau du socle applicatif plutôt qu’à chaque écran — un oubli d’écran ne peut donc pas ouvrir une brèche entre deux clients.
Aucune porte d’administration exposée
Nos interfaces d’exploitation ne sont pas atteignables depuis Internet. Elles vivent sur un réseau privé auquel on accède par une identité nominative.
Ce qui est exposé est inventorié
La liste de ce qui répond depuis Internet est tenue sous forme de contrat vérifié automatiquement. Un service qui apparaîtrait sans y figurer fait échouer le contrôle.
3. Bordure et cloisonnement
Une attaque qui n’atteint jamais l’application est une attaque qu’il n’y a pas à corriger. La plus grande part de ce qui nous vise est écartée avant nous.
Des règles qui bloquent, pas qui signalent
Des règles applicatives écartent les tentatives d’injection et les motifs d’attaque connus, en plus du jeu de règles géré par notre fournisseur de bordure. Elles bloquent — elles ne se contentent pas de journaliser.
Les flots sont absorbés au bord
Une protection contre le déni de service applicatif s’interpose devant nos serveurs. Un flot n’a pas à traverser notre réseau pour être écarté, et nos machines ne le voient jamais.
Un mot de passe déjà fuité est refusé
Les tentatives présentant un identifiant reconnu comme compromis dans une fuite publique sont bloquées à la bordure. C’est la contre-mesure du bourrage d’identifiants, l’attaque la plus banale et la plus efficace contre un service en ligne.
Nos serveurs n’écoutent que notre bordure
La bordure prouve son identité à nos serveurs par certificat client. Une requête qui contournerait la bordure pour frapper l’origine directement n’est pas servie : elle ne peut pas présenter ce certificat.
Entre nos services : refus par défaut
Beaucoup d’intrusions ne réussissent pas parce qu’une porte était ouverte, mais parce qu’une fois entré, tout était joignable. Chez nous, chaque machine refuse par défaut toute connexion entrante, et n’ouvre que les liaisons déclarées, une par une.
Nos consoles ne sont pas sur Internet
Les interfaces qui servent à exploiter la plateforme ne répondent à aucune adresse publique. On y accède depuis un réseau privé, avec une identité nommée — pas un compte partagé, pas un mot de passe d’équipe.
Une liste d’adresses, pas un mot de passe
L’accès d’administration est restreint à une liste d’adresses nommées, tenue dans le code de l’infrastructure. Connaître un mot de passe ne suffit pas : encore faut-il arriver depuis un endroit déclaré.
Un fournisseur d’identité, et il n’est pas encore là
Nos consoles d’exploitation seront regroupées derrière un fournisseur d’identité unique, avec double authentification obligatoire. Prévu pour fin septembre 2026 — ce n’est donc pas en place aujourd’hui, et nous préférons le dater que de le laisser entendre.
4. Chiffrement
| Où | Ce qui est appliqué |
|---|---|
| Entre vous et nous | HTTPS avec redirection systématique. Aucun contenu ne circule en clair. |
| Entre nos composants | Le trafic interne circule sur un réseau privé chiffré, et la bordure prouve son identité à l’origine. |
| Sauvegardes | AES-256. Une sauvegarde qui sortirait de chez nous serait illisible. |
| Mots de passe | Jamais stockés — seulement une empreinte à sens unique, calculée avec un algorithme conçu pour être lent. |
| Secrets techniques | Centralisés dans un coffre dédié, injectés à l’exécution. Aucun secret n’est écrit dans notre code, et un contrôle automatique bloque la livraison s’il en trouve un. |
5. Authentification et contrôle d’accès
La double authentification par application mobile est disponible pour tous vos utilisateurs — y compris pour les comptes d’administration les plus élevés. Vous décidez qui l’active.
Nous préférons être exacts : cette protection est disponible, pas encore obligatoire. Nous ne pouvons donc pas vous annoncer un taux d’activation. Si votre politique interne exige la double authentification pour tous, elle s’appuie aujourd’hui sur votre discipline, pas sur une contrainte que nous imposons — et nous préférons vous le dire que de laisser croire l’inverse.
Des permissions fines
Les droits se composent par rôle et par module. Un comptable n’a pas besoin de voir la paie pour tenir les livres.
Les actions sensibles sont journalisées
Qui, quoi, quand. Sans cela, une notification d’incident serait une supposition : on ne pourrait dire ni quelles données, ni quelles personnes, ni depuis quand.
Un accès nominatif et restreint
Nos intervenants accèdent à la production par une identité nominative, sur un réseau privé. Aucun accès partagé, aucun compte générique.
6. Sauvegardes et reprise
La bonne question n’est pas « sauvegardez-vous ? » — tout le monde répond oui. C’est « combien puis-je perdre, et depuis quand l’avez-vous vérifié ? »
| Propriété | Où nous en sommes |
|---|---|
| Perte maximale de données | 5 minutes — et ce n’est pas une estimation : la restauration à un instant donné a été déchiffrée et rejouée pour le vérifier. |
| Immuabilité | Une sauvegarde ne peut être ni modifiée ni supprimée pendant sa fenêtre de protection, y compris par nous. C’est la défense contre un rançongiciel qui viserait les sauvegardes plutôt que les données. |
| Chiffrement | AES-256 avant même de quitter la machine qui produit la sauvegarde. |
| Délai de remise en service | ⚠️ La procédure a été validée en environnement de test, mais jamais chronométrée sur l’infrastructure réelle. Nous n’annonçons donc pas de délai. L’exercice est programmé. |
| Copie dans une seconde région | ⚠️ Pas en place. Nos sauvegardes vivent dans la même région que la plateforme. C’est un arbitrage de coût que nous assumons et que nous préférons écrire. |
7. Disponibilité — un chiffre, et sa mesure
Nous engageons 99,7 % de disponibilité mensuelle, effectif au 1er novembre 2026. Soit 130 minutes par mois — nous écrivons les minutes, parce qu’un pourcentage est facile à promettre et difficile à se représenter.
| Élément | Ce que nous retenons |
|---|---|
| Périmètre | Le service applicatif. Les services annexes — documents, messagerie, temps réel — sont hors de cet engagement, et nous le disons. |
| « Disponible » | Une réponse valide obtenue par une sonde extérieure à notre réseau. |
| « Indisponible » | Deux contrôles consécutifs en échec. Conséquence assumée : une coupure de moins de deux minutes n’est pas comptée. |
| Maintenance | Annoncée 72 h à l’avance et plafonnée à 4 h par mois. Au-delà du plafond, le temps compte comme indisponibilité. |
| Publication | Le chiffre mensuel paraît sur notre page de statut publique — y compris les mois où nous manquons l’objectif. |
Le plafond de quatre heures est ce qui rend l’engagement réel. Sans lui, « hors maintenance annoncée » permet de tenir n’importe quel taux : il suffit d’annoncer. C’est la clause que nous vous invitons à vérifier ailleurs.
Nous n’accordons pas d’avoir de service. Voici ce que nous faisons à la place.
Les avoirs existent chez la plupart des grands fournisseurs. Trois choses sont vraies de ces mécanismes : ils sont sur réclamation, ils sont plafonnés, et ils ne réparent rien. Un avoir de 10 % ne rend pas la journée de facturation que votre équipe a perdue.
Nos quatre engagements
- Toute panne paraît sur la page de statutpendant l’incident, pas après.
- Toute panne majeure donne lieu à un rapport écrit sous 10 jours ouvréschronologie, cause, et ce que nous avons changé.
- Le chiffre mensuel est publiéy compris — surtout — les mois manqués.
- Un rapport annuelde disponibilité et d’incidents.
Pourquoi c’est crédible
- Cette pratique existe déjàLe rapport de notre incident du 28 août 2026 a été écrit ainsi : chronologie horodatée, cause identifiée, cinq correctifs avec leur état — dont ceux qui n’étaient pas encore fermés.
- Un avoir se réclame, se négocie et s’oublieUn rapport publié reste. Nous préférons le second, et nous acceptons qu’on nous le rappelle.
8. Ce que traverse une mise en production
Chaque livrable est analysé
Les vulnérabilités connues des composants sont recherchées à chaque construction. Un livrable qui dépasse le seuil ne part pas.
La signature n’est pas décorative
Chaque livrable est signé cryptographiquement, et le déploiement refuse ce qui ne l’est pas. C’est ce qui empêche qu’un livrable substitué en chemin atteigne la production.
Aucun secret dans le code
Un contrôle bloquant cherche les secrets à chaque proposition de modification. Il ne prévient pas : il arrête.
Rien ne part sans relecture
Les modifications passent par une revue et par des tests automatisés avant d’atteindre la production.
On attaque nos propres jetons
Les jetons qui donnent accès à un fichier sont soumis à un test qui les mute méthodiquement et exige que chaque altération soit refusée. Le détail qui compte est le témoin : le test échoue aussi si une mutation n’a rien muté — c’est ce qui empêche un contrôle de rendre un résultat rassurant sans avoir rien regardé.
9. Audits indépendants
Nous n’avons pas de certification. Nous avons des audits réels, datés, dont les constats sont suivis — et dont nous publions les résultats, y compris quand ils sont mauvais.
Test d’intrusion applicatif
Dix-sept vulnérabilités — 4 critiques, 6 hautes, 5 moyennes, 2 basses. Toutes closes au 26 avril, soit douze jours. Ce qui compte n’est pas le nombre trouvé, c’est le délai de fermeture et le fait que sept tests automatisés reproduisent désormais les scénarios : sans eux, un test d’intrusion referme les mêmes portes tous les ans.
Audit externe d’infrastructure
Un plan de remédiation suivi, dont les constats alimentent notre registre et notre politique de sécurité. C’est lui qui joue aujourd’hui le rôle de contrepoids : notre responsable sécurité est aussi notre fondateur, et un regard extérieur est ce qui empêche d’être juge et partie.
Prochain cycle
Nouveau test d’intrusion et nouvel audit d’infrastructure commandés. Nous datons ce qui n’est pas encore fait plutôt que de l’omettre.
10. Vos données personnelles
Pour les données que vous déposez dans l’ERP, vous êtes responsable de traitement et nous sommes sous-traitant. Cette distinction n’est pas administrative : elle détermine qui décide, et qui exécute. Nous n’utilisons pas vos données pour autre chose que vous fournir le service.
72 heures
En cas de violation de données vous affectant, nous vous informons sous 72 heures, en parallèle de la notification à la CDP — même si l’origine est chez un de nos sous-traitants.
Hébergement hors du Sénégal, déclaré
Vos données sont hébergées en Allemagne. Ce transfert relève des articles 49 et 50 de la loi 2008-12 et fait partie de nos formalités auprès de la Commission.
Un changement vous est annoncé avant
Tout changement de sous-traitant ayant accès à vos données vous est communiqué avant qu’il n’intervienne, pas dans un rapport ultérieur.
Notre point faible, dit franchement
Nous ne disposons pas encore d’un export global que vous pourriez déclencher vous-même. L’extraction de votre seule société se fait aujourd’hui manuellement, sans délai que nous puissions annoncer. L’outillage est engagé et daté ; en attendant, nous ne promettons pas ce que nous n’avons pas construit.
Pour toute question relative à vos données ou à l’exercice de vos droits : [email protected].
11. Vous avez trouvé une faille ?
Écrivez-nous à [email protected]. Nous préférons l’apprendre de vous.
Nos engagements envers vous, et les limites du jeu
Ce que nous vous devons
- Un accusé de réception sous 3 jours ouvréspar un humain, pas par un automate. C’est le délai que porte notre
security.txt, et nous ne l’annonçons pas plus court ici qu’ailleurs. - Une qualification sous 10 jours ouvrésavec notre analyse, que nous retenions la faille ou non.
- De l’information jusqu’à la clôturey compris quand nous concluons à l’absence de faille — et nous vous disons alors pourquoi.
- Une mention au tableau d’honneursous le nom de votre choix, ou aucune si vous préférez.
- Aucune poursuitepour une recherche de bonne foi respectant le périmètre ci-contre.
Le périmètre
- Dans le périmètreNos domaines publics et l’application accessible depuis Internet.
- Hors périmètreLe déni de service, l’ingénierie sociale de nos équipes ou de nos clients, l’intrusion physique, et toute action touchant les données d’un client réel.
- Sur les donnéesSi vous atteignez des données réelles, arrêtez-vous, ne les copiez pas, et dites-le-nous. C’est ce qui distingue une recherche d’une intrusion.
- Pas de prime aujourd’hui — mais un engagement datéNous n’offrons pas de récompense financière à ce jour, et nous préférons l’écrire plutôt que de vous laisser l’espérer. Ce n’est pas une position de principe, c’est un état de trésorerie. Nous ouvrirons un programme de récompenses — matérielles ou financières — dès que nous aurons atteint la rentabilité ou réalisé une levée de fonds, et les personnes qui nous auront signalé une faille avant cette date ne seront pas oubliées.
12. Tableau d’honneur
Les chercheuses et chercheurs qui nous ont aidés à corriger une faille, avec leur accord.
Ce tableau est vide, et nous ne le remplirons pas avec des noms inventés.
Notre programme de divulgation s’ouvre avec cette page. La première ligne reste à écrire — et si c’est la vôtre, elle portera le nom que vous choisirez.
13. Ce que nous n’avons pas
Cette section est inhabituelle sur une page de ce genre. Nous la gardons parce qu’un expert sécurité sait qu’une page sans elle en cache une — et parce que chacune de ces lignes serait découverte de toute façon, par votre auditeur ou par un incident.
Ce qui nous manque
- Pas encore de certification ISO 27001 ni de rapport SOC 2 — mais le référentiel est déjà appliquéL’absence de certificat n’est pas l’absence de pratique. Nous appliquons le référentiel qu’ISO 27001 impose, et nous documentons notre position mesure par mesure sur les 93 de l’annexe A — y compris là où elle est partielle ou absente. Ce qu’un certificat ajoute n’est pas la pratique : c’est un tiers accrédité qui l’atteste. Ce programme est à notre feuille de route : démarrage au quatrième trimestre 2026, échéance visée au deuxième trimestre 2027. Jusque-là nous n’en revendiquons aucun, et si votre politique d’achat en fait une condition éliminatoire, nous ne sommes pas éligibles aujourd’hui — mieux vaut le savoir maintenant que trois réunions plus tard.
- Pas d’hébergement au SénégalIl n’existe pas, à notre connaissance, d’offre de ce niveau localement. Nos données sont en Allemagne, et ce transfert est déclaré.
- Pas de copie des sauvegardes dans une seconde régionUn arbitrage de coût, assumé.
- Pas d’export global en libre-serviceLa restitution de vos données est aujourd’hui manuelle.
Ce que nous avons, que d’autres n’ont pas
- Votre droit, et une autorité joignableLoi 2008-12, recours devant la CDP à Dakar.
- Une perte maximale chiffrée et vérifiée5 minutes, déchiffrées et rejouées — là où la formule courante « perte minimale à nulle » n’est pas vérifiable.
- Une correspondance mesure par mesureNous documentons notre position face à chacune des 93 mesures du référentiel international, avec ce qui est en place, partiel ou absent. « Aligné sur » n’est pas « conforme à », et nous n’écrirons pas la seconde formule tant qu’un organisme accrédité ne l’aura pas établie.
- Des preuves exécutablesNos affirmations reposent sur des commandes qu’on peut rejouer devant vous, pas sur un logo de certification.
- Une infrastructure décrite en codeServeurs, réseau, pare-feu, bordure : tout est déclaré dans un dépôt versionné, et une vérification de dérive tourne chaque nuit. Une plateforme qu’on reconstruit à l’identique depuis son code n’est pas seulement plus rapide à remonter — elle est auditable : ce qui tourne est ce qui est écrit, et l’écart se voit.
- SYSCOHADA d’originePas une localisation greffée.
Ce qui compose la plateforme
Nous nommons ici ce qu’un observateur constate déjà de l’extérieur. Le reste de notre architecture n’est pas secret par principe, mais le publier reviendrait à dresser la liste des composants à surveiller — et cela ne vous apporterait rien.
Marques citées à titre informatif, propriété de leurs détenteurs respectifs.