Une plateforme de paiement qui répond en langue locale manipule deux choses sensibles : de l'argent et des conversations. Voici les mesures en place, et les limites de chacune.
La première mesure de sécurité d'un service n'est pas son chiffrement, c'est ce qu'il choisit de ne pas garder. Nous partons de là. Les numéros de téléphone et les adresses e-mail sont chiffrés en base et ne sont jamais lisibles par une requête d'analyse. Les vues qui alimentent nos tableaux de bord internes ne contiennent aucune donnée personnelle : ni identité, ni texte libre, ni adresse IP. Elles ne portent que des identifiants techniques, qui servent à relier des lignes entre elles sans dire qui est derrière.
Concrètement, une personne qui consulte nos statistiques d'usage voit des volumes, des coûts et des durées. Elle ne voit pas de conversations. Cette séparation est écrite dans la base elle-même : les analyses passent par un accès en lecture seule qui ne peut pas atteindre les données chiffrées. Un jour de fatigue n'y change rien.
Un engagement sans limite écrite n'est pas un engagement. Chacun de ceux qui suivent est suivi de ce qu'il ne promet pas.
Les adresses e-mail et les numéros de téléphone sont chiffrés dans la base. Ils ne sont déchiffrés qu'au moment strictement nécessaire, pour vous envoyer un code de connexion ou traiter un paiement.
Le contenu de vos conversations, lui, doit rester lisible par le service pour vous être restitué. Il est protégé par les accès, pas par un chiffrement de bout en bout.
Tout le trafic passe en HTTPS, certificats gérés automatiquement, sur les deux domaines. Aucune page, aucune requête d'interface n'est servie en clair.
Cela protège la liaison entre votre appareil et nos serveurs. Cela ne protège pas un appareil déjà compromis, ni un réseau qui intercepte vos frappes avant l'envoi.
Une revue automatisée s'exécute après chaque déploiement et vérifie les points qui cassent le plus souvent : secrets exposés, dépendances vulnérables, en-têtes manquants, permissions trop larges. Son résultat est consigné.
Une revue automatique attrape les erreurs connues. Elle ne remplace pas un audit externe, que nous ferons conduire avant d'ouvrir le service aux entreprises.
Les analyses tournent sous un accès en lecture seule, incapable d'écrire ni de lire les données sensibles. Les accès d'administration sont nominatifs et journalisés.
La séparation vaut pour la base de données. Un accès au serveur lui-même reste un accès complet : c'est pourquoi il est réduit au minimum de personnes.
Nous ne stockons aucun numéro de carte ni aucun code PIN de mobile money. Les paiements sont traités par nos prestataires, qui portent l'agrément et la conformité aux normes de l'industrie.
Nous conservons la trace des transactions : montant, devise, date, statut, et l'identifiant que le prestataire nous renvoie. C'est ce qu'exige la comptabilité.
Les données sont sauvegardées chiffrées, à l'écart des serveurs, avec une clé que l'hébergeur ne détient pas ; chaque sauvegarde est vérifiée et consignée. Les exports d'analyse sont supprimés après trente jours.
Trente jours est la durée des exports d'analyse, pas celle de vos données de compte. La durée de conservation de vos données figure dans la politique de confidentialité.
Écrivez à notre adresse de sécurité avant toute publication.
Nous accusons réception sous trois jours ouvrés, nous vous tenons informé de la correction, et nous ne poursuivons pas les chercheurs qui restent dans le cadre de la divulgation responsable.
Les serveurs sont hébergés dans l'Union européenne, chez un hébergeur de référence, avec des certificats renouvelés automatiquement. Depuis l'Afrique de l'Est, la latence reste acceptable, le coût est maîtrisé, et le droit européen sur les données personnelles s'applique.
Nous savons que ce point sera discuté, et qu'un hébergement sur le continent serait préférable à plusieurs égards. Nous le referons quand la capacité et la fiabilité y seront comparables, et nous le dirons ici le jour où ce sera le cas.
La liste des entreprises qui interviennent, par catégorie, ce que chacune voit exactement et où elle est établie, est publiée sur la page Sous-traitants ; les noms sont communiqués sur demande écrite. Elle est datée et mise à jour à chaque changement.