Sécurité et données

Cette page est un guide : où sont physiquement stockées les données de votre entreprise, qui peut les voir, comment cet accès est révoqué et que faire si quelque chose ne va pas. Les instructions de connexion et de mots de passe se trouvent dans Compte et connexion.

Où sont stockées les données#

Le cloud et la région sont déterminés par la marque via laquelle vous vous êtes inscrit — ce n'est pas un paramètre du compte et cela ne change pas en cours de route.

Ce qui en découle en pratique :

• Les comptes des deux périmètres ne sont pas liés. Un compte sur cenaly.ru est un compte distinct avec ses propres données ; « transférer » un compte d'un cloud à l'autre est impossible, un déménagement signifie un nouveau compte et un import des données.
• Certaines fonctionnalités n'existent que dans un seul cloud. Par exemple, le scanner de cookies fonctionne sur les marques AWS, tandis que sur cenaly.ru le lancement d'un scan répond normalement « non pris en charge » — ce n'est pas une panne.
• Les médias lourds rarement consultés (par exemple, les enregistrements des conversations téléphoniques) sont stockés dans une archive froide distincte de la marque — moins cher et dans le même périmètre ; l'accès au fichier reste instantané.
• Les fichiers de la vitrine (menu, photos, documents publics) sont volontairement publics : le navigateur du client les lit sans autorisation.

Qui a accès#

Comment fonctionne l'accès du partenaire#

Le partenaire ne se connecte jamais lui-même. Il envoie une demande avec le motif, le mode et la durée, et seul le propriétaire du compte la valide — ni un employé, ni notre support. Les règles qui s'appliquent toujours :

• le mode par défaut est consultation seule ; « consultation et modification » s'accorde par une case distincte lors de la réponse ;
• la durée est limitée (une heure par défaut, deux au maximum), une seule session est ouverte à la fois ;
• pendant toute la visite, un bandeau violet reste affiché dans l'interface avec le nom de l'entreprise, le nom de la personne, le mode et un compte à rebours ;
• dans tous les modes sont fermés : l'abonnement et les paiements, les données du propriétaire, les droits des employés, l'export des données, les intégrations, le courrier, les appels et la téléphonie, les contreparties et les documents, le programme partenaire — et c'est le serveur qui refuse, pas seulement des entrées de menu masquées ;
• une demande sans réponse expire au bout de vingt-quatre heures, et vous recevez un e-mail à chaque connexion ;
• la révocation du consentement met fin à la session en cours ;
• sur cenaly.ru, il n'y a pas du tout de connexion partenaire.

Pour en savoir plus sur le programme lui-même — Programme partenaire.

Mots de passe, codes et sessions#

Faits utiles :

• La déconnexion ferme la session dans tous les onglets du navigateur ; il n'y a pas de case « se souvenir de moi » distincte.
• Le licenciement révoque le poste téléphonique de l'employé immédiatement sur tous les établissements — un employé licencié ne repartira pas avec un softphone fonctionnel.
• Les niveaux d'accès à une section (« consultation », « modification », « configuration ») se définissent dans le rôle. Limite honnête aujourd'hui : le niveau « modification » interdit bien l'enregistrement des données de la section sur le serveur, mais le mode « consultation seule » n'est pas encore pris en charge par les écrans du panneau eux-mêmes — ne donnez pas une section à quelqu'un qui ne doit pas en voir le contenu.

Données des clients et consentements#

Deux réserves honnêtes sur « Mes données » : l'écran agit sur les données de l'appareil du client (ce qui se trouve dans son navigateur), et non sur l'historique côté serveur, et la suppression y efface précisément l'appareil. Si un client demande la suppression de ses commandes et contacts de votre base, c'est vous qui le faites — dans la section Clients.

Une distinction importante : la bannière et les documents que voit le client sont les vôtres, pas les nôtres. Vous répondez de leur contenu en tant que propriétaire du commerce ; la plateforme fournit le générateur, l'hébergement des pages et le journal des consentements.

Export et suppression#

• Tout récupérer — Export des données : un seul ZIP avec les réglages, le catalogue, les commandes, les clients et les avis. L'archive n'inclut délibérément pas les PIN des employés, les clés et jetons d'intégrations, les mots de passe — l'archive est souvent transmise au comptable ou à un prestataire. Les photos ne sont pas empaquetées, seuls les liens restent ; l'archive prête est conservée 7 jours.
• Supprimer le compte — via une demande au support après l'export : il n'y a pas de bouton autonome dans le panneau. Le délai d'exécution de la demande est de 30 jours à compter de sa confirmation ; après la suppression, il n'y aura plus rien pour récupérer les données, donc l'export se fait avant, pas après.
• Supprimer les données d'un client — dans la section Clients.

Sauvegardes#

Il n'y a pas de bouton « restaurer le compte à une date » dans le panneau, et nous ne publions pas les durées de conservation des copies internes — donc faites votre propre copie vous-même : avant un import massif, un nettoyage du catalogue ou une variation de la structure du menu, réalisez un export. C'est le retour en arrière le plus fiable parmi ceux disponibles.

Si vous suspectez une fuite#

Dans l'ordre, de haut en bas :

1. Changez le mot de passe du propriétaire — /settings/access.
2. Désactivez « Accès support », s'il était activé, et consultez le journal des sessions : qui s'est connecté et quand.
3. Supprimez les codes d'appareils et les QR codes de connexion au panneau qui ne sont pas nécessaires sur le moment (/client-codes).
4. Révoquez les clés API dans l'onglet « Accès » et émettez-en de nouvelles là où elles sont réellement utilisées.
5. Changez les PIN des caissiers et réinitialisez les mots de passe des employés que vous suspectez ; désactivez les partants dans /staff.
6. Écrivez au support — Comment obtenir de l'aide. Joignez l'heure de l'incident, la marque et l'adresse du compte, l'établissement et ce que vous avez vu. Cette demande concerne VOTRE compte ; les vulnérabilités de la plateforme passent par un autre canal — voir ci-dessous.

Pour une vulnérabilité trouvée dans la plateforme elle-même, ne la signalez pas au support général, mais à une adresse dédiée — security@cenaly.com (l'adresse reçoit les courriers de n'importe quelle marque ; des boîtes security@ identiques sur les domaines des marques — security@cenaly.com, security@cenaly.ru, security@masamenu.tr — sont en cours de raccordement). Dans le courrier : l'adresse de la page, les étapes de reproduction et ce que vous avez pu obtenir. Veuillez ne pas publier les détails avant notre réponse et ne pas exporter de données d'autrui pour « vérifier l'ampleur ». Plus de détails sur ce canal — Comment obtenir de l'aide.

Ce que nous ne stockons pas#

• Les données des cartes bancaires. Ni numéro, ni CVV : la carte est traitée par le prestataire de paiement (par exemple, Stripe avec certification PCI Level 1), seul le résultat du paiement nous parvient — voir Paiement et Stripe.
• Les secrets dans l'export. Les PIN, clés, jetons et mots de passe ne figurent pas dans l'archive.
• La biométrie. Cette classe de données est interdite dans le périmètre et n'est pas collectée.

Ce qui est en cours#

Un périmètre de stockage distinct pour les données personnelles — chiffrement par classes de données, journal de chaque accès à celles-ci, rétention par événement — est en cours. Nous ne donnons ici ni délais ni promesses à ce sujet : quand il couvrira une nouvelle classe de données, cela apparaîtra dans la description de la section correspondante. De même, le portail de demandes des personnes concernées (DSAR) est en cours — actuellement, ces demandes sont traitées manuellement, via l'export et les sections « Clients » et « Employés ». L'authentification à deux facteurs sur cenaly.ru et dans les applications mobiles est également en préparation — nous ne promettons pas de délais.

Limitations#

• L'authentification à deux facteurs — uniquement dans le compte web des marques AWS (cenaly.com, cenaly.com, etc.) : elle s'active dans « Réglages → Accès », et à la connexion par mot de passe, elle demande un code provenant de l'application d'authentification. Les applications mobiles et la connexion via Google ou par QR code ne demandent pas encore de code, il n'y a pas de codes de secours, et sur cenaly.ru le facteur est absent. Partout, protégez la connexion par un mot de passe long et des identifiants distincts pour chaque employé (un mot de passe partagé par tous est la pire chose à faire), et gardez les tablettes et les écrans sur des codes d'appareils avec PIN.
• La séparation des clouds est stricte : un compte cenaly.ru et un compte cenaly.com sont des comptes différents, ils ne partagent jamais de compte commun.
• Sur cenaly.ru, il n'y a pas de connexion partenaire, de journal des sessions support, de transfert du compte vers un autre e-mail ni de scanner de cookies.
• « Mes données » du client nettoie l'appareil, pas l'historique serveur des commandes.
• Les niveaux d'accès « consultation » et « réglage » ne transforment pas encore l'écran en mode lecture (voir ci-dessus).
• Il n'y a pas de journal « quel employé a ouvert quoi » dans le panneau ; les journaux sont tenus pour les connexions support et partenaires.
• Nous ne déclarons pas de moyens de cryptoprotection certifiés ni de frontières formelles ИСПДн : si votre activité l'exige par la loi, discutez-en avant la mise en service.

Résolution des problèmes#

Questions fréquentes#

Dans quel pays se trouvent mes données ? Cela dépend de la marque : cenaly.com et cenaly.com — AWS (us-east-1), cenaly.ru — Yandex Cloud en Russie, les marques turques — une copie du périmètre dans eu-central-1 (Allemagne).

Le support peut-il accéder à mon Compte sans autorisation ? Non. L'interrupteur « Accès du support » doit être activé ; la portée, c'est vous qui la choisissez, chaque session est consignée dans le journal, et le retrait du consentement met fin même à une session en cours.

Le partenaire voit-il mon argent et les données des employés ? Non. L'Abonnement et les paiements, les données du propriétaire, les droits des employés, l'export des données, les Intégrations, la messagerie, les contreparties et les documents sont fermés dans tous les modes — le serveur refuse.

Un employé est parti — que faut-il révoquer ? Désactivez-le ou supprimez-le dans /staff (cela retire aussi l'accès au panneau et révoque le poste téléphonique), changez les codes PIN qu'il connaissait et supprimez les codes d'Appareils inutiles.

Stockez-vous les Numéros de carte de nos clients ? Non. La carte est traitée par le prestataire de paiement ; chez nous, il ne reste que le résultat de l'opération.

Comment répondre à un client qui exige la suppression de ses données ? Trouvez-le dans la section « Clients » et supprimez la fiche ; il peut effacer lui-même les données locales de son Appareil depuis la vitrine via l'écran « Mes données ».

Avez-vous un DPA et d'autres documents à vérifier ? Les conditions de traitement des données sont décrites dans l'article Accord de traitement des données (DPA) ; demandez un exemplaire signé et les autres documents au support.

Sections liées#

• Compte et connexion — mots de passe, codes d'Appareils, accès du support
• Paramètres du Compte et des Établissements — où se configure quoi
• Employés et Créneaux — rôles, couverture des Établissements, codes PIN
• Export des données — tout récupérer et faire une sauvegarde
• Cookies et consentement — bannière, journal des consentements, politique de cookies
• Documents juridiques — politique de confidentialité et conditions
• Clients — suppression des données d'un client donné
• Accord de traitement des données (DPA) — ce que nous traitons, sur quelle base et qui sont les sous-traitants
• Comment obtenir de l'aide — où écrire en cas d'incident ; les vulnérabilités — à security@ de votre marque