Comment Tallio prend soin de vos données
Sécurité
Tallio relie votre logiciel aux prestataires de facturation électronique de vos marchands. Cette page dit comment nous protégeons ce qui y passe, et ce qui est encore en construction.
Les mesures en place
Ce que nous faisons
Hébergé dans l’UE
L’API et le site tournent sur Vercel à Francfort. La base de données est Neon Postgres à Francfort.
Identifiants des prestataires chiffrés
Les identifiants de chaque marchand auprès de son prestataire sont chiffrés avec une clé par éditeur, elle-même protégée par une clé Google Cloud KMS à Francfort. Ce coffre est en construction et sera actif avant tout trafic de production.
Les identifiants restent chez nous
L’API ne renvoie jamais les identifiants des prestataires, et ils ne sont jamais écrits dans les journaux.
Pas d’archive fiscale
Le prestataire de votre marchand conserve l’archive légale. Tallio garde les métadonnées des documents et récupère les PDF auprès du prestataire quand vous les demandez.
Journaux de débogage chiffrés et limités dans le temps
Les requêtes et réponses conservées pour le support sont chiffrées et affichées sans les données personnelles. Notre règle est de les supprimer après 90 jours ; la suppression planifiée est en construction et sera active avant tout trafic de production.
Réessais sans risque
Chaque création accepte une clé d’idempotence. Un nouvel essai renvoie le premier résultat au lieu d’émettre un second document.
Webhooks signés
Chaque webhook porte une signature et un horodatage, pour vérifier qu’il vient de Tallio et rejeter les rejeux.
En-têtes stricts dans le navigateur
Le site est servi avec une Content Security Policy et des en-têtes de sécurité : aucun script tiers, jamais dans un cadre, HTTPS uniquement.
Questions fréquentes
Questions
Tallio conserve les métadonnées du document, comme son statut et le MARK, et ne tient aucune archive fiscale : le prestataire conserve l’archive légale, et Tallio récupère le PDF auprès du prestataire quand vous le demandez. Pour le support, la requête et la réponse complètes sont conservées chiffrées, données personnelles masquées. Notre règle est de les supprimer au bout de 90 jours ; la suppression planifiée est en construction et sera active avant tout trafic de production.
Dans l’UE : l’application tourne à Francfort et la base de données est à Francfort. Les identifiants des prestataires seront chiffrés avec des clés conservées à Francfort.
Pas aujourd’hui. Tallio est en accès anticipé et ne détient aucune certification comme SOC 2 ou ISO 27001. Cette page le dira quand cela changera.
Vous avez trouvé un problème de sécurité ?
Écrivez à info@tallio.dev avec les détails. Laissez-nous le temps de le corriger avant de le rendre public.