Sécurité et protection des données
QrX relie les prestataires de paiement, les transporteurs et les réseaux de consignes à colis. La sécurité chez QrX repose sur des responsabilités claires : le prestataire de paiement gère le paiement, le partenaire de livraison gère le colis, et QrX coordonne le statut vérifié entre eux. Cet article explique comment cela protège les consommateurs, les marchands et les partenaires.
Sécurité des paiements
QrX ne stocke jamais de données de carte. Les paiements sont traités par des prestataires de paiement agréés et conformes PCI DSS (Stripe, Mollie et MultiSafePay). Les numéros de carte et les identifiants de paiement sont transmis au prestataire de paiement, pas à QrX.
QrX ne détient jamais les fonds des clients. Le prestataire de paiement règle l'argent au marchand dans le cadre du propre contrat PSP du marchand.
L'authentification forte du client, comme 3D Secure ou une confirmation dans l'application bancaire, est appliquée par le prestataire de paiement et votre banque lorsque le moyen de paiement l'exige.
Événements de paiement vérifiés. QrX ne marque une transaction comme payée que sur la base d'une confirmation du prestataire de paiement.
Les pages de paiement authentiques pour payer à la porte sont servies sur go.qr-x.app. Chaque QR code est lié à une commande précise, vous pouvez donc vérifier le montant et le marchand avant de payer.
Chiffrement et hébergement
Toutes les connexions sont chiffrées en transit avec TLS 1.2 ou supérieur.
Les principaux stockages de données sont chiffrés au repos, et les sauvegardes sont chiffrées.
La plateforme est hébergée sur Google Cloud dans l'Espace économique européen (EEE). Lorsqu'un prestataire de services transfère des données hors de l'EEE, un mécanisme de transfert valide tel que les clauses contractuelles types de l'UE est utilisé.
Authentification et contrôle d'accès
Connexion au portail avec un code de vérification. La connexion à PortalX combine votre mot de passe et un code de vérification à usage unique.
Permissions basées sur les rôles. Les membres de l'équipe ne voient et ne font que ce que leur rôle autorise.
Cloisonnement des comptes. Les données de chaque marchand restent dans son propre compte et ses propres canaux.
Requêtes signées. Les requêtes du portail sont signées par HMAC afin de protéger leur intégrité.
Sécurité de l'API. L'API publique utilise une clé API de canal marchand, échangée contre un jeton Bearer de courte durée (valable une heure), avec des limites de débit par clé.
Webhooks signés. Chaque envoi de webhook porte une signature HMAC-SHA256 afin que votre système puisse vérifier qu'il provient de QrX. Les secrets de signature peuvent être renouvelés.
Secrets en écriture seule. Les identifiants que vous enregistrez dans PortalX, comme vos propres comptes d'envoi d'emails ou de SMS, ne sont plus jamais affichés après l'enregistrement.
Sécurité des communications
Les emails transactionnels sont envoyés via SendGrid, et les SMS et messages WhatsApp via Bird, dans le cadre d'accords de traitement des données. Les liens de paiement, les codes PIN et les messages de vérification ne sont envoyés qu'aux coordonnées fournies pour la commande, et les liens sensibles sont signés afin de ne pas pouvoir être devinés ni modifiés.
Surveillance et traçabilité
Les erreurs applicatives sont surveillées avec Sentry, et la disponibilité de la plateforme est publiée sur la page de statut QrX à l'adresse status.qr-x.app.
Les actions dans PortalX sont enregistrées dans un journal d'activité, afin que les marchands puissent voir qui a fait quoi et quand.
Des contrôles de fraude et de sécurité peuvent signaler une transaction pour examen. Une personne peut examiner un signalement sur demande. La réussite d'un paiement est décidée par le prestataire de paiement agréé.
Confidentialité et RGPD
QrX B.V. traite les données personnelles conformément au RGPD et au droit néerlandais. QrX est responsable du traitement pour les données relatives aux comptes marchands, à la facturation, au site web, au support et à la sécurité. Lorsqu'un marchand transmet à QrX les données de ses clients pour des expéditions, le Payment on Delivery, la remise par PIN ou les retours, le marchand est le responsable du traitement et QrX est le sous-traitant, dans le cadre de l'avenant QrX relatif au traitement des données. Consultez la Politique de confidentialité et l'Avenant relatif au traitement des données pour plus de détails. QrX ne vend jamais de données personnelles.
Ce que vous pouvez faire
Ne partagez jamais de mots de passe, codes de vérification, clés API ou données de carte par chat, email ou téléphone. QrX ne vous les demandera jamais.
Conservez vos clés API uniquement sur votre serveur, et renouvelez-les si vous pensez qu'elles ont été exposées.
Vérifiez qu'une page de paiement se trouve sur go.qr-x.app et affiche le montant de votre commande avant de payer.
Quand contacter notre équipe support
Contactez directement le support QrX si vous soupçonnez un accès non autorisé à votre compte, une clé API ou un secret de webhook divulgué, un lien de paiement suspect ou une violation de données. Les signalements de sécurité sont toujours traités par une personne. Pour les demandes relatives à la vie privée, écrivez à [email protected].