Aller au contenu
vivotempo
ConnexionDeux moisd'essai gratuit

Sécurité et confiance

Mise à jour : 13 novembre 2026

Cette page explique comment vivotempo protège vos données, où elles sont stockées et quelles attestations existent. Nous n’indiquons que ce qui est prouvé. Un certificat que nous n’avons pas figure ici comme absent.

En bref

  • Base de données, fichiers et fonctions serveur se trouvent dans des centres de données à Paris, dans l’Union européenne.
  • Chaque entreprise est séparée de toutes les autres au sein même de la base de données.
  • Second facteur par passkey, application d’authentification, Threema ou code par e-mail.
  • Le contrat de sous-traitance se conclut en ligne.
  • Les administrateurs exportent eux-mêmes à tout moment toutes les données de leur entreprise.

Attestations et référentiels

L’état de chaque référentiel et ce qui s’applique déjà aujourd’hui.

  • RGPD

    S’applique

    Directement applicable, il n’existe pas de certificat pour cela. Vous concluez le contrat de sous-traitance en ligne, avec somme de contrôle et preuve d’acceptation. L’annexe 2 décrit les mesures techniques et organisationnelles, l’annexe 3 les sous-traitants ultérieurs. Nous signalons les violations de données si possible dans les 24 heures.

  • Règlement européen sur les données (changement de fournisseur)

    S’applique

    S’applique depuis le 12 septembre 2025. Les administrateurs téléchargent eux-mêmes toutes les données de leur entreprise, dans des formats ouverts avec description. Voir « Changement de fournisseur et export des données ».

  • ISO/IEC 27001

    Non certifié

    vivotempo n’est pas certifié. Nous alignons nos mesures et notre documentation sur l’annexe A de la norme. Les centres de données de nos prestataires sont notamment certifiés ISO/IEC 27001.

  • Accessibilité (EN 301 549, WCAG 2.2)

    Partiellement rempli

    Partiellement conforme au niveau AA, établi par une auto-évaluation avec tests automatiques et contrôles manuels.

    Lire la déclaration d’accessibilité

  • BSI C5

    Non évalué

    Aucune attestation. En Allemagne, l’article 393 du livre V du code social peut exiger des cliniques et cabinets médicaux une attestation C5 ou une preuve équivalente lorsque des données de santé sont traitées dans le cloud. Parlez-nous-en avant de commencer.

  • SOC 2

    Non évalué

    Aucun rapport. SOC 2 ne connaît pas de niveaux de conformité : soit un expert-comptable a émis un rapport, soit non. Nous n’affirmons donc rien.

Lieu des données et prestataires

vivotempo fonctionne dans la région de Paris, en France. Ces sous-traitants ultérieurs travaillent pour nous, comme convenu à l’annexe 3 du contrat de sous-traitance :

Vercel et Supabase ont leur siège aux États-Unis. Un accès depuis ce pays est encadré par le Data Privacy Framework UE-États-Unis et les clauses contractuelles types de la Commission européenne.

Les e-mails passent en outre par un service de transfert exploité par Bergx2 GmbH elle-même.

Lire le contrat de sous-traitance avec toutes ses annexes

Comment nous protégeons les données

  • Entreprises séparées dans la base de données

    Chaque table a des règles d’accès au niveau des lignes (Row Level Security). Une nouvelle table sans ces règles fait échouer un test automatique avant la mise en ligne.

  • Un second facteur qui compte vraiment

    Qui a configuré un second facteur ne voit et ne modifie rien sans session confirmée. La base de données le vérifie elle-même à chaque accès, pas seulement l’interface. Le compte est bloqué après cinq tentatives échouées.

  • Rôles

    Employé, responsable d’équipe, RH et administrateur avec des droits gradués. Les données de santé comme les arrêts maladie ne sont visibles que par les rôles autorisés.

  • Journal

    Les modifications des données des employés, des demandes, des saisies de temps et des paramètres sont consignées avec l’heure et la personne qui agit. Les corrections de saisies de temps restent traçables. Les entrées de plus de 24 mois sont archivées, pas supprimées.

  • Chiffrement

    Toutes les connexions passent par TLS, et HSTS impose durablement ce chiffrement aux navigateurs. La base de données et le stockage de fichiers sont chiffrés au repos, les mots de passe ne sont conservés que sous forme de hachage.

  • Modifications contrôlées

    Chaque modification de la base de données est un fichier numéroté et versionné. Avant chaque mise en ligne, des tests automatiques vérifient les règles d’accès, l’application et l’interface.

  • Terminaux

    Les terminaux de pointage se connectent avec leur propre clé d’appareil. En cas de coupure réseau, ils conservent les pointages et les transmettent ensuite.

Ce que nous ne faisons pas

  • Nous ne vendons pas de données et n’en transmettons aucune à des fins publicitaires.
  • Nous n’entraînons pas de modèles d’IA avec vos données.
  • Le site et l’application ne chargent aucun service publicitaire ou d’analyse de tiers.
  • Nous ne reconnaissons pas les émotions et ne classons pas les personnes selon des caractéristiques. La reconnaissance faciale au terminal est un mode de connexion au choix et sert uniquement à reconnaître la personne qui pointe.

Changement de fournisseur et export des données

Vos données vous appartiennent. Dans les paramètres, les administrateurs téléchargent toutes les données de leur entreprise sous forme de fichier ZIP, à tout moment et sans frais supplémentaires. Il contient :

  • pour chaque table un fichier CSV et un fichier JSON avec des noms de colonnes fixes
  • une description des champs (JSON Schema) et un guide d’importation
  • les fichiers téléversés, par exemple les certificats

Les identifiants et secrets comme les hachages de mots de passe, les codes PIN, les clés d’appareil, les clés API et les caractéristiques faciales ne sont pas inclus. Ils ne servent dans aucun autre système et ne feraient que nuire s’ils étaient transmis.

Signaler une vulnérabilité

Vous avez trouvé une faille de sécurité ? Écrivez à info@bergx2.de avec l’objet « Sécurité ».

Nous accusons réception sous trois jours ouvrés et répondons avec une évaluation sous dix jours ouvrés.

Quiconque nous signale une vulnérabilité de bonne foi, sans l’exploiter ni la publier avant que nous ayons pu la corriger, n’a rien à craindre de nous.

Les mêmes informations lisibles par machine selon la RFC 9116 : security.txt

Documents sur demande

Sur demande motivée, les clients reçoivent :

  • le détail des mesures techniques et organisationnelles (selon l’article 9 du contrat de sous-traitance)
  • une description du format d’export
  • des réponses aux questionnaires de sécurité

Vers le formulaire de contact