Ce que nous faisons pour protéger votre compte et vos apps, et ce que nous n'avons pas encore. Chaque point a été vérifié dans notre code ou nos textes légaux le 3 novembre 2026. Pour les données personnelles, la politique de confidentialité reste la référence.
Ce qui nous parvient
- Nous recevons l'adresse de votre site, pas son code source.
- Une app charge votre site directement. Les pages ouvertes par vos utilisateurs et ce qu'ils saisissent ne passent pas par nos serveurs.
- Les données de carte restent chez Stripe et n'arrivent jamais sur nos serveurs.
Qui accède à vos données
- La sécurité au niveau des lignes (RLS) est active sur toutes les tables de notre base. Un compte connecté n'accède qu'à ses propres projets, builds et connexions.
- Nos fonctions serveur vérifient qui appelle et à qui appartient le projet.
- Les fichiers de build et les clés de signature sont dans un stockage privé. Un lien de téléchargement n'est remis qu'au compte propriétaire du build.
- Les images et pages légales destinées au public, comme l'icône de votre app, sont stockées en accès public.
- Chaque build Android tourne dans son propre conteneur, supprimé à la fin du build.
- Nos serveurs n'acceptent que des clés SSH, jamais de mot de passe.
Chiffrement
- Tout le trafic vers saastostore.com passe en HTTPS, avec HSTS.
- La clé de signature de votre app est chiffrée en AES-256-GCM, avec une clé dérivée pour votre compte.
- Son mot de passe est filtré de nos journaux et ne vous parvient que par e-mail.
- Le build d'essai est signé par une clé jetable que nous ne conservons pas.
- Si vous nous laissez publier pour vous, les identifiants que vous nous confiez sont chiffrés en AES-256-GCM et déchiffrés uniquement pour la publication.
Connexion et sessions
- La connexion repose sur Supabase Auth : nous ne stockons pas les mots de passe nous-mêmes.
- Se déconnecter ferme ce navigateur seulement. Se déconnecter partout, sur la page de compte, ferme toutes les sessions.
- Une session fermée ne peut plus modifier vos projets, même avant l'expiration de son jeton.
Agents IA
Un agent IA se connecte par le connecteur MCP, après votre accord sur une page de consentement.
- Il peut vérifier une URL, créer votre app et lancer un build. Un build qu'il lance compte sur votre offre comme n'importe quel build.
- Il ne peut ni payer, ni publier, ni supprimer, ni modifier vos connexions. Il peut seulement préparer un lien de paiement, que vous ouvrez vous-même.
- Ces limites sont appliquées dans nos fonctions serveur et de nouveau dans la base, pas seulement dans le connecteur.
- Se déconnecter partout déconnecte aussi les agents.
Paiements
Les paiements passent par Stripe, dont la plateforme est certifiée PCI-DSS niveau 1. Cette certification est celle de Stripe, pas la nôtre. Nous gardons les enregistrements de paiement pour la comptabilité, jamais les données de carte.
Sous-traitants
Les principaux prestataires qui traitent des données pour SaasToStore :
| Prestataire | Usage | Localisation |
|---|---|---|
| Supabase | Base de données, connexion, stockage de fichiers, fonctions serveur | Union européenne |
| Ionos | Serveurs de build, e-mails de connexion | Allemagne |
| Cloudflare | Hébergement et diffusion du site | Réseau mondial |
| GitHub | Builds iOS et desktop | États-Unis |
| Stripe | Paiements | États-Unis |
| Resend | E-mails transactionnels | États-Unis |
| Anthropic | Textes IA et assistant de configuration | États-Unis |
| Google Gemini | Images IA | États-Unis |
| Browserless | Captures de votre site | États-Unis |
| Google Firebase | Notifications des apps | États-Unis |
| PWABuilder (Microsoft) | Packages Windows | États-Unis |
Les transferts hors de l'Union européenne reposent sur les clauses contractuelles types de la Commission européenne et, quand le prestataire est certifié, sur le Data Privacy Framework UE-États-Unis.
RGPD et vos droits
- SaasToStore est exploité par Méga Joule, en France, responsable du traitement.
- Vous pouvez demander l'accès, la rectification, l'effacement ou l'export de vos données à hello@saastostore.com. Nous répondons sous 30 jours.
- Vous pouvez aussi saisir la CNIL, l'autorité française de protection des données.
- Nous ne vendons pas vos données et ne les utilisons pas pour entraîner des modèles d'IA.
- Si une violation met vos droits en risque, nous prévenons l'autorité sous 72 heures, et vous-même sans délai injustifié.
Supprimer votre compte
Ouvrez Compte, choisissez Supprimer mon compte, saisissez votre adresse e-mail pour confirmer, puis choisissez Supprimer définitivement. La suppression est refusée pendant un build.
- Vos projets, builds, fichiers et clés de signature sont supprimés. Toutes les données personnelles sont effacées sous 30 jours, sauf ce que la loi nous oblige à garder.
- Les enregistrements de paiement sont conservés 10 ans, comme l'exige le droit comptable français, sans lien avec votre compte.
- Une app déjà publiée reste sur son store, et nous ne pouvons plus builder ses mises à jour.
Signaler une faille
Écrivez à hello@saastostore.com avec les étapes pour reproduire le problème. Nous lisons chaque signalement. Nous n'avons pas de programme de bug bounty rémunéré.