Sécurité & conformité

Comment Notifuse gère la sécurité, qui est responsable de quoi, et ce qui se passe quand une vulnérabilité est découverte.

Dernière mise à jour : 3 novembre 2026

Auto-hébergé ou Cloud : qui fait quoi

Auto-hébergé

Vous exécutez Notifuse sur vos serveurs, avec votre base de données et vos règles réseau. Nous fournissons le produit et les contrôles ci-dessous. Vos données ne passent pas par nous.

Notifuse Cloud

Nous l'exécutons dans l'Union européenne (OVHcloud en France, Google Cloud en Belgique). Chaque déploiement a son propre serveur PostgreSQL, des sauvegardes quotidiennes sur un stockage séparé, et un chiffrement au repos et en transit.

Contrôles du produit

  • Authentification unique (OIDC). Les utilisateurs se connectent via votre fournisseur d'identité (Microsoft Entra ID, Keycloak, Okta, Google Workspace…). Vos règles MFA s'appliquent, et les jetons sont vérifiés côté serveur. Documentation
  • Permissions granulaires & clés API scopées. Définissez les accès en lecture et en écriture par zone, pour les utilisateurs et les clés API. Les changements s'appliquent tout de suite. Documentation
  • Journaux d'audit. Un journal des actions d'administration : qui a fait quoi, depuis où, et si c'était autorisé. Il ne peut pas être modifié, il peut être exporté, et vous choisissez combien de temps il est conservé (licence Enterprise). Documentation
  • Isolation des workspaces. Chaque workspace a sa propre base de données, ses contacts, ses campagnes et ses réglages. Les entités ne voient pas les données les unes des autres. Documentation
  • Vérification de licence hors-ligne. Les clés de licence sont vérifiées localement, dans le programme. Aucun compte n'est requis et rien de votre installation ne nous est envoyé. Comment fonctionne la licence
  • Code auditable. Le code source est public. Chaque version est publiée sous BSL 1.1 et devient AGPL-3.0 après quatre ans. Dépôt · LICENSE

Quand une vulnérabilité est découverte

Merci de signaler les vulnérabilités en privé, via GitHub ou par email à hello@notifuse.com. Nous répondons sous trois jours ouvrés et donnons une première évaluation sous dix jours ouvrés. Nous publions les détails une fois le correctif disponible, et nous créditons les chercheurs qui le souhaitent.

Les correctifs sont publiés dans la dernière version, avec un avis public indiquant la version qui corrige. Si vous auto-hébergez, merci de suivre les versions — il y en a environ quatre par mois. Les licences standard ne garantissent pas de délai de correction ; un délai peut être convenu dans une licence Custom.

La politique complète est dans SECURITY.md. Les avis publiés sont sur GitHub.

Protection des données

Pour les données de vos destinataires, vous êtes responsable de traitement et nous sous-traitant (article 28 du RGPD). Nos conditions de sous-traitance sont dans la section 9.4 de nos Conditions (en anglais). Elles couvrent la notification des violations et l'aide pour les demandes d'accès ou de suppression. Nos sous-traitants sont OVHcloud (France), Google Cloud (Belgique), Stripe et Postmark (États-Unis). Ils sont listés dans la Politique de confidentialité, et nous prévenons nos clients avant tout ajout ou changement.

En auto-hébergé, vos données restent sur votre infrastructure et rien ne passe par nous.