La sécurité chez Paco

Où sont vos données

Les serveurs de Paco sont en Allemagne, dans l'Union européenne.

Hébergé en Allemagne

La base de données, les documents et la messagerie tournent sur des serveurs de Hetzner Online, dans son centre de données de Falkenstein, en Allemagne.

Une copie de secours chaque nuit

Chaque nuit, une copie est envoyée hors du serveur, chez Backblaze. Elle est stockée chiffrée et verrouillée pendant 30 jours : pendant ce temps, personne ne peut l'effacer, pas même nous. La restauration depuis cette copie a été testée.

Vos documents lus en Europe

L'IA qui lit vos rapports est fournie par Mistral AI, en France. Pour un hôtel de l'UE, l'assistant de discussion fonctionne lui aussi chez Mistral ; pour un hôtel hors de l'UE, il utilise par défaut Claude (Anthropic, États-Unis). Vos données ne servent pas à entraîner leurs modèles.

La liste complète, sans détour

Chaque entreprise qui traite des données pour Paco, y compris les quelques-unes situées hors de l'Union européenne, est nommée dans la politique de confidentialité.

Votre boîte mail et vos logiciels

Les accès que vous confiez à Paco sont la chose la plus précieuse qu'il détienne. Ils sont traités comme tels.

Chiffrés avant d'être enregistrés

Les mots de passe et jetons d'accès de votre boîte mail, les connexions à vos logiciels hôteliers et les données personnelles comme les numéros de téléphone sont chiffrés avant d'entrer dans la base. Une copie de la base, seule, n'en révèle aucun.

Deux clés distinctes

La clé qui protège vos accès n'est pas celle qui protège les données personnelles. Une clé perdue n'ouvre jamais les deux.

Un service à part pour vos accès, en cours de déploiement

Nous déplaçons les accès à votre boîte mail et à vos logiciels dans un petit service isolé, le seul à pouvoir les ouvrir. La partie de Paco qui lit le courrier entrant ne les détiendra plus. Il est mis en service par étapes.

Vous pouvez tout couper

Déconnecter une boîte mail supprime l'accès enregistré, et Paco cesse de la lire.

Une personne décide de ce qui part

Un courrier à une entreprise extérieure ne part que si quelqu'un de l'hôtel a validé ce texte, si le responsable l'a demandé dans la discussion, ou s'il s'agit d'un type de courrier dont il a approuvé une fois le texte exact. Chaque envoi laisse une trace qui nomme qui l'a autorisé. Paco n'efface jamais un e-mail de votre boîte.

Chaque client, séparé des autres

Paco est un seul service pour tous les hôtels qui l'utilisent. Aucun ne voit ce qui appartient à un autre.

Vos données ne répondent qu'à vous

Chaque lecture des données d'un client est limitée à son organisation. Un contrôle automatique bloque tout nouveau code qui l'oublie, sauf exception écrite avec sa raison (notre propre console d'assistance, par exemple).

Les fichiers ouverts à l'écart

Les fichiers que vous déposez ou que Paco trouve dans un e-mail sont ouverts dans un processus isolé, qui ne détient aucun mot de passe ni aucune clé.

Qui peut entrer

Moins il y a de portes, moins il y a à garder.

Les mots de passe ne sont jamais lisibles

Ils sont enregistrés sous une forme qu'on ne peut pas inverser. Personne chez Paco ne peut lire le vôtre.

Deviner ne marche pas

Après cinq essais manqués sur un compte en cinq minutes, ou dix depuis une même connexion, Paco refuse les tentatives suivantes pendant un moment.

Connexions chiffrées uniquement

Tout passe par HTTPS, et les navigateurs ont pour consigne de ne jamais se connecter à Paco sans.

Notre propre équipe passe un second contrôle

La console qu'utilise l'équipe de Paco pour aider les clients exige un mot de passe et un code d'application d'authentification, vérifiés sur le serveur à chaque demande.

Deux personnes sur les serveurs

Seuls les deux fondateurs peuvent accéder aux serveurs de production, avec une clé personnelle : la connexion par mot de passe y est désactivée. Toute lecture des fichiers qui contiennent les secrets du serveur est enregistrée.

Vérifié de l'extérieur

Nous ne nous contentons pas de notre propre avis.

Vérifié par Google pour l'accès à Gmail

Avant qu'une application puisse lire Gmail, Google exige une évaluation de sécurité indépendante. Celle de Paco a été menée en septembre 2026, et Google a validé l'accès de Paco à Gmail en octobre 2026. Elle est renouvelée chaque année.

Attaqué exprès, puis corrigé

En septembre 2026, nous avons lancé des tests d'attaque automatisés contre le site en production, connectés comme un client, corrigé chaque vrai problème trouvé, puis relancé les tests pour le confirmer.

Des rapports d'erreur sans vos données

Quand quelque chose casse, le rapport que nous recevons est débarrassé des mots de passe, des clés et des données personnelles.

Vos données restent à vous

Vous pouvez tout reprendre, et tout effacer.

Tout télécharger

Dans Paramètres › Compte, « Télécharger mes données » vous donne une copie de vos données dans un format courant.

Supprimer votre compte

« Supprimer mon compte » ferme le compte. Les données sont ensuite supprimées ou anonymisées dans les 12 mois, sauvegardes comprises à mesure qu'elles expirent.

Prévenu en cas d'incident

Si une violation de données vous concerne, nous vous prévenons dans les meilleurs délais, avec ce qu'il faut pour la déclarer à l'autorité.

Signaler une faille

Vous avez trouvé un problème de sécurité dans Paco ? Écrivez-nous à contact@pacoapp.io, avec « Sécurité » dans l'objet, ce que vous avez trouvé et comment le reproduire. Merci de ne pas consulter, modifier ou effacer les données de quelqu'un d'autre pendant vos essais, et de nous laisser le temps de corriger avant d'en parler publiquement. Ces coordonnées figurent aussi dans le fichier standard security.txt.

Les faits clés