Sécurité, confidentialité et conformitéSecurity, Privacy & Compliance
MesColis traite les données d'expédition de centaines de PME canadiennes. Cette page documente nos pratiques, notre infrastructure, nos sous-traitants et nos engagements de conformité — pour vous, votre service achats et vos auditeurs.MesColis handles shipping data for hundreds of Canadian SMBs. This page documents our practices, infrastructure, sub-processors, and compliance commitments — for you, your procurement team, and your auditors.
État de la conformitéCompliance Status
Nous documentons honnêtement chaque certification — ce que nous détenons aujourd'hui, ce qui est en cours, et ce qui n'est pas applicable.We document every certification honestly — what we hold today, what's in progress, and what's not applicable.
PCI-DSS
Conforme via Stripe Elements — nous ne touchons jamais aux données de carte.Compliant via Stripe Elements — we never touch card data.
PIPEDA
Loi canadienne sur la protection de la vie privée — entièrement applicable.Canadian privacy law — fully applicable.
GDPR
Pratiques GDPR-compatibles (export de données, droit à l'effacement, DPA disponible).GDPR-compatible practices (data export, right to erasure, DPA available).
SOC 2 Type II
Préparation en cours. Disponible au troisième trimestre 2026.In preparation. Targeted for Q3 2026.
Test de pénétration annuelAnnual Penetration Test
Premier engagement prévu Q2 2026 via une firme tierce.First engagement planned Q2 2026 via a third-party firm.
ISO 27001
Évalué selon les exigences des clients entreprise.Evaluated based on enterprise customer demand.
Pratiques de sécuritéSecurity Practices
Chiffrement en transitEncryption in Transit
TLS 1.3 par défaut sur tous les domaines, géré par notre CDN edge Vercel. HSTS activé. Aucune connexion HTTP non chiffrée acceptée.TLS 1.3 by default across all domains via Vercel edge CDN. HSTS enforced. No unencrypted HTTP connections accepted.
Chiffrement au reposEncryption at Rest
Toutes les données sont chiffrées AES-256 au repos via Supabase (Postgres avec chiffrement intégré). Les étiquettes et factures PDF sont stockées chiffrées dans Supabase Storage.All data encrypted AES-256 at rest via Supabase (Postgres with native encryption). Label and invoice PDFs stored encrypted in Supabase Storage.
Authentification & accèsAuthentication & Access
Authentification gérée par Supabase Auth (JWT + cookies sécurisés). Rôles utilisateurs/admin/super-admin avec contrôle d'accès basé sur les rôles (RBAC). Row-Level Security (RLS) appliquée sur chaque table contenant des données utilisateur.Auth managed by Supabase Auth (JWT + secure cookies). User/admin/super_admin roles with role-based access control (RBAC). Row-Level Security (RLS) enforced on every user-data table.
Authentification multifacteur (MFA)Multi-Factor Authentication
MFA TOTP disponible pour tous les comptes administrateurs. Déploiement client en cours.TOTP MFA available for all admin accounts. Customer-facing rollout in progress.
Limitation de débitRate Limiting
Plus de 50 routes API sont protégées par une limitation de débit Redis Upstash. Limites par IP + par utilisateur, en-têtes Retry-After conformes à la norme.50+ API routes protected by Upstash Redis-backed rate limiting. Per-IP + per-user limits, standards-compliant Retry-After headers.
Surveillance & alertesMonitoring & Alerts
Erreurs suivies via Sentry. Journaux applicatifs dans Vercel Observability. Alertes configurées pour les pics d'erreurs et défaillances de paiement.Errors tracked via Sentry. Application logs in Vercel Observability. Alerts configured for error spikes and payment failures.
Pistes d'auditAudit Trails
Table audit_logs structurée enregistrant chaque action administrateur (annulations, remboursements, ajustements). Conservation indéfinie pour conformité.Structured audit_logs table recording every admin action (cancellations, refunds, adjustments). Indefinite retention for compliance.
Idempotence des paiementsPayment Idempotency
Toutes les routes de paiement (création, annulation, remboursement) sont idempotentes. Garde anti-doublon vérifie la base avant chaque opération externe Stripe/PayPal/NOWPayments.All payment routes (create, cancel, refund) are idempotent. Replay-guard checks the DB before any external Stripe/PayPal/NOWPayments call.
Protection BOLABOLA Protection
Chaque route API vérifie la propriété par user_id avant de retourner des données utilisateur. Prévient l'énumération d'objets et l'accès non autorisé.Every API route checks user_id ownership before returning user data. Prevents object enumeration and unauthorized access (OWASP API1).
Validation des entréesInput Validation
Toutes les routes PATCH/PUT utilisent des listes blanches explicites de champs (ALLOWED). Aucune assignation de masse autorisée.All PATCH/PUT routes use explicit field allowlists (ALLOWED). No mass-assignment permitted.
Webhooks signésSigned Webhooks
Webhooks Easyship, SendGrid et Stripe vérifiés par signature HMAC avec comparaison à temps constant (timingSafeEqual).Easyship, SendGrid, and Stripe webhooks verified via HMAC signature with constant-time comparison (timingSafeEqual).
EDI 214 bidirectionnelBidirectional EDI 214
Génération et analyse EDI X12 214 standard pour les partenaires entreprise. Support natif des flux de statut d'expédition transporteur.Standards-compliant X12 EDI 214 generation + parsing for enterprise partners. Native support for carrier shipment status feeds.
Infrastructure et résidence des donnéesInfrastructure & Data Residency
Base de donnéesDatabase
Supabase Postgres hébergé sur AWS (us-east-1). Réplicas en lecture, sauvegardes ponctuelles automatisées, point de restauration à 7 jours.Supabase Postgres hosted on AWS (us-east-1). Read replicas, automated point-in-time backups, 7-day restore window.
CalculCompute
Vercel Edge Functions et Serverless Functions. Distribué globalement avec basculement automatique multi-région.Vercel Edge Functions and Serverless Functions. Globally distributed with automatic multi-region failover.
StockageStorage
Supabase Storage (basé sur S3). Étiquettes PDF, factures et logos. Accès contrôlé par RLS.Supabase Storage (S3-backed). Label PDFs, invoices, brand assets. RLS-gated access.
DisponibilitéAvailability
Objectif 99,9 % de disponibilité (~8h45 d'interruption max par an). Disjoncteurs sur APIs transporteurs pour dégradation gracieuse.99.9% uptime target (~8h45 max downtime/year). Circuit breakers on carrier APIs for graceful degradation.
Sous-traitantsSub-Processors
Chaque entité tierce qui traite des données client. Mis à jour au plus tard 30 jours avant tout nouveau sous-traitant. Pour être averti par email des changements, contactez Every third-party entity that processes customer data. Updated at least 30 days before any new sub-processor is added. To be notified of changes by email, contact privacy@mescolis.ca.
| FournisseurVendor | UsagePurpose | DonnéesData | RégionRegion | ConformitéCompliance |
|---|---|---|---|---|
| Supabase | Base de données, authentification, stockage de fichiersDatabase, authentication, file storage | Profils utilisateurs, expéditions, factures, étiquettes PDFUser profiles, shipments, invoices, label PDFs | AWS · us-east-1 | SOC 2 Type II, HIPAA |
| Vercel | Hébergement, fonctions serverless, CDNHosting, serverless functions, CDN | Code, journaux de requêtes (anonymisés)Code, request logs (anonymized) | Global Edge | SOC 2 Type II, ISO 27001 |
| Stripe | Paiements par carte, portefeuilles, autorisationsCard payments, wallets, payment authorizations | Données de carte (jamais touchées par nous via Stripe Elements)Card data (never touched by us — via Stripe Elements) | Global | PCI-DSS Level 1, SOC 2 |
| PayPal | Paiements alternatifsAlternative payments | Identifiants de commande PayPal, montantsPayPal order IDs, amounts | Global | PCI-DSS, SOC 2 |
| NOWPayments | Paiements en cryptomonnaieCryptocurrency payments | Adresses de portefeuille, identifiants de transactionWallet addresses, transaction IDs | EU | PCI-DSS exempt (non-card) |
| SendGrid | Emails transactionnels (confirmations, factures, suivi)Transactional emails (confirmations, invoices, tracking) | Adresses email, contenu des emails sortantsEmail addresses, outbound email content | US | SOC 2 Type II, ISO 27001 |
| Postmark | Réception d'emails entrants (tickets de support)Inbound email reception (support tickets) | Emails de support reçusReceived support emails | US | SOC 2 |
| Anthropic | API Claude pour fonctionnalités IA (conseiller, classification HS, vision)Claude API for AI features (advisor, HS classification, vision) | Requêtes IA — pas de données personnelles persistées chez AnthropicAI prompts — no personal data persisted at Anthropic | US | SOC 2 Type II |
| Upstash | Limitation de débit (Redis)Rate limiting (Redis) | Adresses IP, identifiants utilisateurs (TTL court)IP addresses, user IDs (short TTL) | AWS us-east-1 | SOC 2 Type II |
| Sentry | Suivi des erreurs et observabilitéError tracking & observability | Traces de pile (PII expurgée avant envoi)Stack traces (PII scrubbed before send) | US / EU | SOC 2 Type II, ISO 27001 |
| Easyship | Agrégateur de transporteurs (tarifs, étiquettes, suivi)Carrier aggregator (rates, labels, tracking) | Détails d'expédition, adresses, déclarations douanièresShipment details, addresses, customs declarations | Singapore HQ | SOC 2 |
Traitement des donnéesData Handling
Données collectéesData We Collect
Informations de profil (nom, email, téléphone, adresse), détails d'expédition (origine, destination, contenu, déclarations douanières), données de paiement (via Stripe — jamais stockées côté MesColis), journaux d'activité administrative.Profile information (name, email, phone, address), shipment details (origin, destination, contents, customs declarations), payment data (via Stripe — never stored on our side), admin activity logs.
Durée de conservationRetention
Données actives conservées pendant la durée du compte. Après suppression de compte : profil et expéditions effacés sous 30 jours, factures conservées 7 ans pour conformité fiscale canadienne (ARC).Active data retained for the lifetime of the account. After account deletion: profile and shipments removed within 30 days, invoices retained 7 years for Canadian tax compliance (CRA).
Droit à l'effacementRight to Erasure
Vous pouvez demander la suppression de votre compte à tout moment depuis Paramètres ou en écrivant à privacy@mescolis.ca. Nous répondons sous 30 jours conformément à PIPEDA et GDPR.You can request account deletion at any time from Settings or by emailing privacy@mescolis.ca. We respond within 30 days per PIPEDA and GDPR.
PortabilitéData Portability
Export complet de vos données disponible en CSV/JSON depuis le tableau de bord Paramètres → Données. Inclut profil, expéditions, factures et journaux de suivi.Full data export available in CSV/JSON from your dashboard at Settings → Data. Includes profile, shipments, invoices, and tracking logs.
Pas de revente, pas de partage publicitaireNo Sale, No Ad Sharing
Vos données ne sont jamais vendues ni partagées à des fins publicitaires. Période. Aucune intégration tierce de marketing/analytics ne reçoit de données personnelles.Your data is never sold, never shared for advertising. Period. No third-party marketing or analytics integration receives personal data.
Réponse aux incidentsIncident Response
En cas de violation de données ou d'incident de sécurité significatif, nous nous engageons à :In the event of a data breach or significant security incident, we commit to:
- Notifier les clients affectés par email dans les 72 heures suivant la confirmation de l'incidentNotify affected customers by email within 72 hours of incident confirmation
- Notifier les autorités compétentes (Commissariat à la vie privée du Canada) selon la loi PIPEDANotify the relevant authorities (Office of the Privacy Commissioner of Canada) per PIPEDA
- Publier un post-mortem détaillé sur cette page sous 14 jours après résolutionPublish a detailed post-mortem on this page within 14 days of resolution
- Fournir un canal de support dédié pour les clients affectésProvide a dedicated support channel for affected customers
Historique des incidents :Incident history: Aucun incident de sécurité majeur à signaler à ce jour.No major security incidents to report to date.
Divulgation responsable de vulnérabilitésResponsible Vulnerability Disclosure
Nous accueillons les rapports de chercheurs en sécurité. Si vous découvrez une vulnérabilité, contactez security@mescolis.ca avec :We welcome reports from security researchers. If you discover a vulnerability, contact security@mescolis.ca with:
- Une description détaillée de la vulnérabilitéA detailed description of the vulnerability
- Les étapes de reproductionReproduction steps
- L'impact potentielPotential impact
- Votre contact pour la communicationYour contact for follow-up
Nous nous engageons à accuser réception sous 2 jours ouvrables, à enquêter activement, et à coordonner la divulgation publique avec vous. Nous nous engageons à ne pas poursuivre les chercheurs agissant de bonne foi.We commit to acknowledging receipt within 2 business days, actively investigating, and coordinating public disclosure with you. We commit to not pursuing legal action against researchers acting in good faith.
Accord de traitement des données (DPA)Data Processing Agreement (DPA)
Pour les clients soumis à des exigences de conformité GDPR, PIPEDA ou contractuelles, nous fournissons un DPA standard sur demande. Écrivez à privacy@mescolis.ca avec le nom de votre entreprise et le contexte de la demande.For customers subject to GDPR, PIPEDA, or contractual compliance requirements, we provide a standard DPA on request. Email privacy@mescolis.ca with your company name and the context of the request.
Cette page est mise à jour régulièrement. Dernière mise à jour :This page is updated regularly. Last updated: