Vos données, hébergées en Europe et cloisonnées

Hébergé dans l'Union européenne

L'application, son API et sa base de données tournent sur Microsoft Azure, dans la région Europe de l'Ouest (Pays-Bas).

Seuls les fichiers de l'interface (code, images, traductions), qui ne contiennent aucune donnée de client, sont distribués par le réseau de diffusion de Microsoft pour s'afficher plus vite.

Chaque client dans son compartiment

Chaque enregistrement porte l'identifiant du compte client. Cet identifiant est lu dans la session vérifiée par le serveur, jamais dans un paramètre envoyé par le navigateur.

La base PostgreSQL impose en plus une sécurité au niveau des lignes (Row-Level Security) : une requête ne voit que les données du compte en cours. Des tests automatisés prouvent, à chaque modification du code, qu'un compte ne peut ni lire ni modifier les données d'un autre.

Chiffré en transit et au repos

Tout passe en HTTPS, TLS 1.2 au minimum, avec l'en-tête HSTS qui interdit au navigateur de revenir en HTTP.

Au repos, la base de données, ses sauvegardes et le stockage sont chiffrés par la plateforme Azure.

Aucun mot de passe de base de données

L'application se connecte à la base avec une identité managée Microsoft Entra : il n'existe aucun mot de passe de base de données, ni dans le code ni dans la configuration.

Les secrets restants, comme la clé de signature des sessions, sont conservés dans Azure Key Vault. Le cookie de session est signé, inaccessible au JavaScript de la page et envoyé uniquement en HTTPS.

Rôles et moindre privilège

Deux profils dans l'application : collaborateur et gestionnaire. Le collaborateur réserve et voit ses propres réservations ; seul le gestionnaire voit le détail de toutes les réservations et gère les places et les blocages. Dans la démo, chacun peut passer d'un profil à l'autre pour essayer.

Côté infrastructure, chaque composant n'a que les droits dont il a besoin, attribués sur la ressource concernée : l'application n'est pas propriétaire des tables de la base, et le déploiement automatique ne peut attribuer aucun rôle Azure.

Le minimum de données dans la démo

La démo ne demande ni compte ni mot de passe. Pour la personnaliser, elle vous demande votre entreprise, votre prénom, votre nom et votre adresse email professionnelle : l'entreprise et le nom restent dans votre bac à sable, effacé automatiquement après 24 h (au plus tard dans l'heure qui suit, puis 7 jours au plus dans les sauvegardes techniques), et l'adresse email n'est conservée que si vous acceptez d'être recontacté (case facultative, décochée par défaut).

Les collègues, les plaques et l'adresse du parking sont fictifs. En dehors du formulaire de démarrage, merci de ne pas y saisir de données réelles.

Un site sans traceur

parqube.com ne dépose aucun cookie, n'utilise aucun outil de mesure d'audience et ne charge rien depuis un autre site. Une politique de sécurité du contenu stricte (CSP) interdit tout script ou style qui ne vient pas du site lui-même, comme dans l'application.

La démo, elle, ne dépose qu'un cookie de session strictement nécessaire et garde quelques réglages dans votre navigateur : le détail figure sur la page Cookies.

Cookies et stockage du navigateur, pour le site et pour la démo

Une télémétrie sans données personnelles

Les erreurs et les temps de réponse sont suivis dans Azure Application Insights, en Europe de l'Ouest, avec des alertes sur le taux d'erreur et la latence, et conservés trente jours.

La télémétrie exclut les cookies, les corps de requête et les identifiants de compte en clair.

Sauvegardes

La base de données est sauvegardée automatiquement. Les sauvegardes sont conservées sept jours, dans la même région.

Export de vos données

L'administrateur télécharge sites, places, blocages, réservations, listes d'attente, membres et réglages des emails en un seul document JSON, ou en un fichier CSV par entité prêt pour Excel, pour les archiver ou changer d'outil.