Ce document décrit comment Comply protège les données des marchands et des utilisateurs finaux, la base cloud sur laquelle le service repose, ainsi que notre statut de certification actuel. Il est destiné à accompagner les audits de sécurité et de gouvernance réalisés par les marchands et leurs partenaires. Nous souhaitons être transparents sur ce que nous faisons et ce que nous n'avons pas encore mis en place.
Statut des certifications
Comply ne détient pas actuellement de certification SOC 2 ou ISO/IEC 27001 au niveau applicatif. Nous préférons l'indiquer clairement plutôt que de laisser entendre le contraire.
Cependant, Comply est entièrement construit sur Microsoft Azure et hérite des contrôles et certifications indépendantes de cette plateforme (voir Section 2). Sur cette base certifiée, nous exploitons une architecture délibérément minimale et isolée du réseau (Section 3), et appliquons une gouvernance des accès selon le principe du moindre privilège (Section 5).
Comply a obtenu la certification NF525 Catégorie B en France via un audit Infocert, avec le numéro de certification 525/0700-1, et est entièrement conforme aux exigences en Espagne.
Base cloud certifiée
L'application Comply fonctionne exclusivement sur l'infrastructure Microsoft Azure. Dans le modèle de responsabilité partagée du cloud, la sécurité physique des centres de données, le matériel sous-jacent et les services de plateforme que nous utilisons sont opérés et audités de manière indépendante par Microsoft.
Microsoft Azure (hébergement)
La plateforme Azure maintient un large ensemble d'attestations indépendantes, notamment SOC 1, SOC 2 et SOC 3, ainsi qu'ISO/IEC 27001. Ces certifications couvrent les couches d'infrastructure et de plateforme qui soutiennent Comply. Votre équipe peut vérifier le périmètre actuel et télécharger les rapports d'audit directement auprès de Microsoft :
Microsoft Trust Center : Microsoft Trust Center | Sécurité des données, confidentialité et conformité
Service Trust Portal (rapports d'audit) : Service Trust Portal
Comply est responsable de la sécurité de tout ce qui est construit au-dessus de cette base (code applicatif, configuration, traitement des données et accès), ce que décrivent les sections suivantes.
Shopify (plateforme de commerce)
Comply fonctionne comme une application au sein de la boutique Shopify du marchand. Les couches commerce, paiement et caisse sont fournies et sécurisées par Shopify, qui détient les certifications indépendantes suivantes :
PCI DSS Niveau 1. Shopify est certifié PCI DSS Niveau 1, le niveau le plus élevé défini par le PCI Security Standards Council pour le traitement sécurisé des données de cartes de paiement.
SOC 2 Type II / SOC 3. Shopify a publié des rapports SOC 2 Type II et SOC 3 couvrant la sécurité et la disponibilité de son service.
Les données de cartes bancaires étant traitées dans l'environnement certifié PCI de Shopify, Comply n'y a pas accès. Comply travaille uniquement avec les données de commandes et de transactions fiscales nécessaires à la conformité réglementaire, sans accès aux identifiants de paiement bruts.
Plus d'informations : Consulter les rapports de conformité de Shopify
Hébergement et architecture réseau
Comply est conçu pour minimiser sa surface d'attaque. Le principe directeur est qu'aucun composant n'est exposé à l'internet public, à l'exception d'un unique point d'entrée contrôlé.
Point d'entrée unique. Tout le trafic entrant transite par une seule instance Azure Front Door, équipée d'un pare-feu avec règles gérées. Aucun autre composant de la plateforme n'est accessible depuis l'internet public.
Isolation réseau. Les services applicatifs, les tâches d'arrière-plan et les stockages de données s'exécutent dans un réseau virtuel Azure privé. Les composants internes communiquent via un réseau privé et n'ont pas de points de terminaison publics.
Calcul. Les charges de travail applicatives s'exécutent sur Azure App Service et Azure Container Apps au sein du réseau virtuel isolé.
Stockage de données. Les données applicatives et transactionnelles sont stockées dans Azure.
Le tableau ci-dessous résume le modèle d'hébergement :
Couche | Implémentation |
Bord / entrée | Instance Azure Front Door unique ; seul point d'entrée public. Sécurisé avec pare-feu et règles gérées Azure |
Réseau | Réseau virtuel Azure privé ; pas de points de terminaison publics sur les services internes |
Calcul | Azure App Service et Azure Container App Jobs |
Données | Composants Azure DB et Storage |
Fournisseur cloud | Microsoft Azure (certifié SOC 1/2/3, ISO/IEC 27001) |
Protection des données
Les données des clients et des utilisateurs finaux sont protégées en transit et au repos :
Chiffrement. Le trafic vers et au sein de la plateforme est chiffré via TLS. Les données au repos sont chiffrées à l'aide du chiffrement géré par Azure sur l'ensemble des services de stockage et de base de données utilisés.
Gestion des clés et secrets. Les clés cryptographiques et les secrets applicatifs sont stockés dans Azure Key Vault, avec support par module de sécurité matériel (HSM) pour les opérations de signature sensibles.
Résidence des données. Comply est exploité depuis des régions Azure en UE, répondant aux exigences de résidence des données applicables aux marchands européens et à leurs utilisateurs finaux.
Archivage fiscal immuable. Lorsque les réglementations fiscales l'exigent, les enregistrements transactionnels sont conservés dans un stockage inaltérable en écriture unique (WORM) afin de préserver leur intégrité pendant la durée de conservation réglementaire.
Toutes les données proviennent exclusivement de Shopify ou sont requises dans l'application Comply ; il n'y a aucun partenaire externe ni partage de données.
Contrôle des accès et gouvernance
Identités gérées. Les identités gérées Azure sont utilisées à la place d'identifiants ou de secrets, pour une authentification sécurisée basée sur l'identité, minimisant la gestion et l'exposition des identifiants sensibles.
Administration restreinte. L'accès administratif à l'environnement cloud est limité au personnel autorisé uniquement.
Moindre privilège. L'accès aux ressources Azure est gouverné via le contrôle d'accès basé sur les rôles (RBAC) d'Azure, appliquant le principe du moindre privilège.
Journalisation et surveillance. L'activité de la plateforme et des ressources est journalisée via les services natifs de surveillance et de diagnostic d'Azure, afin de garantir la visibilité opérationnelle, l'auditabilité et la capacité d'investigation.
Contexte de conformité fiscale
Comply est une plateforme de conformité fiscale. Pour les marchands réglementés, l'intégrité et l'auditabilité des enregistrements fiscaux représentent souvent une préoccupation plus importante qu'une certification générique de sécurité.
Comply implémente les exigences techniques des régimes qu'il prend en charge, couvrant l'intégrité des enregistrements (chaînage de hachage), l'immuabilité, la signature numérique et l'archivage à long terme. Ces mécanismes garantissent que les enregistrements fiscaux restent complets, séquentiels et infalsifiables, répondant directement aux objectifs d'assurance des audits de gouvernance de la sécurité de l'information.