Vos données
restent chez vous.

Une infrastructure française, que nous opérons.

L’application et sa base de données PostgreSQL (Supabase auto-hébergé) tournent sur des serveurs Scaleway à Paris (région fr-par). Les fichiers sont stockés sur un stockage objet compatible S3, avec une copie de sauvegarde sur Scaleway S3, également à Paris. Aucune donnée n’est hébergée hors de l’Union européenne.

Hébergeur

Scaleway SAS · Paris

Base de données

PostgreSQL 17 · Supabase auto-hébergé

Fichiers

Stockage objet S3 · copie Scaleway fr-par

Transport

TLS sur toutes les connexions

Une sauvegarde par jour, vérifiée avant d’être conservée.

Chaque nuit, la base est exportée intégralement, déposée sur un stockage séparé du serveur applicatif, puis contrôlée. Un export dont la taille est anormale est refusé plutôt que conservé. Les sauvegardes sont gardées 30 jours glissants.

1. 03:00Export complet de la base

   Format restaurable ; un export trop petit est refusé plutôt que déposé.

2. 03:01Dépôt hors du serveur applicatif

   Stockage objet distinct de l’application.

3. 03:05Vérification et purge

   Contrôle de l’archive, suppression des sauvegardes de plus de 30 jours.

Chaque entreprise ne voit que ses propres données.

Les données sont cloisonnées par entreprise au niveau de la base : une requête ne peut pas atteindre les projets, documents ou fiches d’une autre entreprise, y compris en cas d’erreur applicative. Les rôles et droits s’appliquent ensuite à l’intérieur de l’entreprise, suite par suite.

Une référence partagée entre suites ne donne pas accès à tout ce qui s’y rattache : une fiche personnel commune n’ouvre ni les congés ni les pointages.

L’identité de vos équipes reste entre vos mains.

La connexion par mot de passe seul n’est pas un objectif : elle reste un repli. L’accès s’appuie en priorité sur l’annuaire de votre entreprise, afin qu’une arrivée, un départ ou une politique de sécurité s’applique immédiatement dans EXAVO, sans double gestion.

Microsoft 365 (SSO)

Connexion via l’annuaire de votre entreprise. Vos règles de mot de passe, de double authentification et de révocation s’appliquent telles quelles.

Clés d’accès

Authentification par l’appareil, sans mot de passe à saisir : rien à retenir et rien à livrer à un faux site.

Mot de passe

Disponible pour les entreprises sans annuaire, complété d’un code de vérification à l’ouverture de session.

Terrain

Sur une tablette enrôlée par votre entreprise, l’identification se fait par badge ou code court. L’accès ainsi ouvert est limité aux gestes de terrain.

Création de compte

Aucune inscription publique : un compte est créé par l’administrateur de l’entreprise ou rejoint par code d’affiliation.

Mots de passe

Stockés hachés, jamais en clair, jamais transmis par courriel.

Sessions et journal

Durée limitée, révocation d’un appareil perdu, actions sensibles tracées par utilisateur.

Une connexion prouve qui entre, pas ce qui est visible : les droits par entreprise, par projet et par bouquet sont vérifiés côté serveur à chaque requête. Voir l’isolation des entreprises ↑

Clés d’accès, connexion par badge et journal d’accès font partie de la cible d’architecture. Les mécanismes déjà en place sont la connexion par mot de passe et la connexion Microsoft.

RGPD : durées de conservation annoncées.

Les données de compte sont conservées pendant la durée de l’abonnement, puis trois ans ; la facturation dix ans (obligation légale) ; les journaux de connexion un an ; les données métier trente jours après la fin de l’abonnement. Les droits d’accès, de rectification, d’effacement, de portabilité et d’opposition s’exercent à [email protected].

Détail complet dans la politique de confidentialité.

Les règles appliquées ont une source et un statut.

Les règles de tuyauterie industrielle utilisées par EXAVO proviennent de l’Industrial Knowledge Platform : corpus daté et versionné, chaque artefact portant sa source normative (EN 13480, EN 10204, DESP 2014/68/UE…), sa portée et son statut. Seuls les artefacts validés soutiennent une décision dans le logiciel ; une absence de couverture est déclarée, jamais masquée.

EXAVO accompagne la préparation et la traçabilité qualité. La plateforme ne constitue pas une certification de conformité.