Loading...
Centre de confiance
La sécurité et la conformité, à découvert.
FasoFresh achemine des produits alimentaires, des paiements et des données personnelles pour des clients, des boutiques indépendantes et des livreurs dans les deux régions ouvertes aujourd'hui, le reste du pays restant fermé tant que les coursiers n'y sont pas — c'est pourquoi la sécurité et la conformité sont pour nous des fonctionnalités du produit, pas de la paperasse. Cette page résume notre posture en langage clair : les référentiels sur lesquels nous nous alignons (et jusqu'où va exactement cet alignement), les protections concrètes mises en œuvre dans la plateforme, l'infrastructure qui l'héberge, et les pages en direct où vous pouvez vérifier vous-même nos affirmations. Elle complète notre Politique de sécurité et notre Politique de confidentialité.
Référentiels et réglementations
SOC 2
Aligné · prêt pour l'auditUne matrice de contrôles alignée sur SOC 2 relie chaque critère de service de confiance de l'AICPA TSP 100 (CC1–CC9, Disponibilité, Confidentialité, Intégrité du traitement, Vie privée) à la fonctionnalité de la plateforme qui l'applique, avec des preuves en direct issues de notre journal d'audit en ajout seul. Un rapport de Type 2 exige l'examen d'un CPA indépendant, qui n'a pas encore été mandaté — les contrôles et la chaîne de preuves sont construits pour que ce mandat soit une simple visite guidée, pas une reconstruction.
ISO/IEC 27001
AlignéNos contrôles de sécurité de l'information sont alignés sur l'Annexe A de la norme ISO/IEC 27001:2022 — contrôle d'accès, cryptographie, sécurité des opérations, relations avec les fournisseurs et gestion des incidents ont tous une contrepartie mise en œuvre dans la plateforme. Nous n'avons pas été certifiés par un organisme accrédité et nous ne le prétendons pas.
HIPAA
Garanties volontairesFasoFresh n'est ni une entité couverte ni un partenaire commercial au sens d'HIPAA et ne détient aucune information de santé protégée (PHI). Nous appliquons néanmoins de façon volontaire aux données clients des garanties administratives, techniques et physiques du niveau de la HIPAA Security Rule — chiffrement en transit, accès selon le rôle, pistes d'audit et procédures de réponse aux violations.
Identifiants de paiement
Jamais traité chez nousAucun numéro de carte ni code PIN de mobile money n'est jamais saisi dans FasoFresh. L'identifiant part directement chez le prestataire de paiement et nous ne recevons qu'une référence opaque. Nous ne détenons aucune donnée de porteur de carte, donc nous ne formulons aucune revendication PCI DSS pour notre compte — l'obligation revient au prestataire, et c'est bien le but de la lui déléguer.
Prix réglementés
Réglementaire · appliqué dans le codeLes produits dont l'État fixe ou plafonne le prix — pain, butane, ciment, riz, sucre, génériques essentiels — sont vérifiés au moment de la mise en ligne puis de nouveau au moment de la commande, face à une table administrable qui porte pour chaque règle sa date d'effet, sa portée géographique et l'arrêté source. La commission est ramenée à zéro sur les lignes à prix fixé : prélever un pourcentage sur un prix que le vendeur n'a pas le droit d'augmenter constitue l'infraction elle-même.
Régime fiscal
Réglementaire · appliqué dans le codeLa TVA suit le régime de la boutique qui vend, pas un taux unique appliqué à toute la plateforme. Une boutique au CME ou au RSI ne facture aucune TVA ; seule une boutique au RNI en facture, au taux normal ou au taux réduit restauration, avec des exonérations par catégorie. Un taux unique inventerait une taxe sur la majeure partie du catalogue et sur chaque boutique à qui la loi interdit de la percevoir.
Planchers de rémunération des coursiers
Réglementaire · appliqué dans le codeLes coursiers reçoivent le plus élevé des deux montants — ce que leurs livraisons ont rapporté ou un plancher de rémunération — calculé sur toute la période de paie, le complément étant détaillé sur chaque relevé. Un plancher horaire dérivé du SMIG et un plancher par livraison s'appliquent comme des alternatives et non comme un cumul, et les pourboires ne comptent dans ni l'un ni l'autre.
Contrôles automatisés en direct
Au-delà des matrices statiques, un catalogue de contrôles automatisés sonde en continu la plateforme en fonctionnement — configuration des en-têtes de sécurité, hachage des mots de passe, vérification des signatures de webhook, fraîcheur du journal d'audit, artefacts de sauvegarde et de reprise après sinistre, et d'autres encore — chacun rattaché à des identifiants de contrôle SOC 2, ISO/IEC 27001 et HIPAA Security Rule. Le résultat agrégé est publié ici ; c'est de la surveillance continue à découvert, pas une certification.
Contrôles automatisés réussis
4 sur 26
Dernière exécution automatique : 2026-11-02 08:00 UTC
Les contrôles sont relancés en continu ; la tâche de conformité nocturne consigne chaque exécution dans notre journal d'audit en ajout seul.
Exemples de contrôles actuellement réussis
- Audit log receiving events (24h)Réussi
- Admin accounts held to least privilegeRéussi
- Automated monitor run within 26 hoursRéussi
- Row Level Security enabled on every tableRéussi
Comment nous protégeons vos données
- Chiffrement en transit. Tout le trafic est servi exclusivement en HTTPS/TLS, avec HTTP Strict Transport Security (HSTS, sous-domaines et preload inclus) appliqué sur chaque réponse.
- Sécurité des mots de passe. Les mots de passe sont hachés avec bcrypt et ne sont jamais stockés ni journalisés en clair. Les codes à usage unique sont hachés de la même façon avant stockage.
- Contrôle d'accès selon le rôle. Quatre rôles (client, boutique partenaire, livreur, administrateur) sont appliqués deux fois : à la périphérie, où un middleware filtre chaque portail selon le rôle, puis dans chaque route API, qui valide la session côté serveur et restreint les requêtes en base aux enregistrements de l'appelant.
- En-têtes de sécurité sur chaque réponse. Une Content-Security-Policy propre à chaque réponse avec une liste d'autorisations stricte, une protection anti-clickjacking (X-Frame-Options: DENY), une protection contre le MIME-sniffing, Referrer-Policy et Permissions-Policy sont appliquées sur toute la plateforme.
- Journalisation d'audit. Les actions touchant à la sécurité et à la conformité sont consignées dans un journal d'audit en ajout seul, avec recherche administrateur et export CSV — le même flux de preuves qui alimente notre matrice de contrôles alignée SOC 2.
- Authenticité des webhooks. Chaque webhook entrant est vérifié cryptographiquement avant traitement — les événements de paiement par signature sur le corps brut, les événements des partenaires de livraison par HMAC-SHA256 — et nos propres webhooks sortants vers les consommateurs de l'API sont signés en HMAC-SHA256, pour que les destinataires puissent nous vérifier à leur tour.
- Limitation des requêtes. Les points d'entrée de l'API sont soumis à une limitation des requêtes (adossée à Redis en production, pour que les limites tiennent sur toutes les instances), ce qui protège aussi les points d'entrée de paiement et de cartes cadeaux contre l'énumération.
- Protection contre la force brute. Les points d'entrée de connexion, d'inscription et de réinitialisation de mot de passe sont bridés par adresse e-mail et par adresse IP, et les sessions peuvent être révoquées sur toute la plateforme lorsqu'un mot de passe change ou qu'un compte est suspendu ou supprimé.
- Statistiques soumises au consentement. Le signalement des erreurs et les statistiques d'usage ne se chargent qu'après votre consentement donné dans le bandeau cookies — pas de consentement, pas de scripts de suivi.
Infrastructure
La plateforme tourne sur le réseau edge géré de Vercel, avec des données stockées dans un PostgreSQL géré, accessible uniquement via un ORM typé (aucun SQL écrit à la main dans les chemins de requête). L'encaissement des paiements et les reversements passent par les opérateurs de mobile money via un seul agrégateur de paiement, donc aucun identifiant de paiement n'est conservé ici. La liste complète des sous-traitants — qui ils sont, quelles données chacun reçoit, et pourquoi — est publiée dans , et chacun est lié par un accord de traitement des données.