Notre statut de conformité
Ce que nous avons et n'avons pas comme certifications, et ce que nos prestataires ont.
Dernière mise à jour: 30 septembre 2026
En bref
Okidoky fonctionne conformément au RGPD, les paiements passent par Mollie (agréé par De Nederlandsche Bank, la banque centrale néerlandaise) et notre serveur se trouve en Allemagne, chez IONOS SE. Okidoky appartient à RULIDO, une entreprise individuelle inscrite à la Chambre de commerce néerlandaise (KVK) sous le numéro 98709364. Un contrat de sous-traitance pour les organisations est en préparation : nous ne le publierons qu'après sa vérification par un juriste.
MAIS : nous n'avons pas nous-mêmes de certifications ISO 27001 ou SOC 2. Celles-ci coûtent entre 15 000 € et 40 000 € par audit pour un SaaS bootstrappé — ce n'est pas réalisable pour l'instant. Si vous avez besoin d'un fournisseur avec un tel certificat : consultez notre section de solutions de repli en bas de page.
Statut de conformité actif
Six points concrets actuellement en vigueur. Vérifiables via des registres publics ou sur ce site.
Enregistrement au KVK
KVK 98709364
Inscrite à la Chambre de commerce néerlandaise sous le numéro 98709364. RULIDO est une entreprise individuelle (pas une personne morale). Vérifiable via kvk.nl.
Entité assujettie à la TVA
NL
Enregistrée à la TVA aux Pays-Bas. Reçoit automatiquement des factures conformes à la TVA. Pour les relations B2B avec un numéro de TVA valide : autoliquidation.
Conforme au RGPD/GDPR
GDPR / AVG
Nous travaillons conformément au RGPD : nous ne traitons pas plus de données que nécessaire, demandons le consentement lorsque c'est requis, vous pouvez exporter vos données et supprimer votre compte, et nous notifions les violations de données comme la loi l'exige. Questions sur la vie privée : info@okidoky.nl.
Paiements PSD2
PSD2 via Mollie
Tous les paiements passent par Mollie B.V., qui détient une licence PSD2 de la Banque Centrale des Pays-Bas. Mollie gère l'authentification forte du client (SCA) prévue par la PSD2.
Hébergement des données dans l'UE
IONOS SE · DE
Okidoky fonctionne sur un serveur virtuel chez IONOS SE en Allemagne ; il héberge l'application, la base de données avec votre compte et votre livre de comptes, ainsi que notre propre serveur de messagerie. Ce qui peut se retrouver hors de l'UE : ce que nous envoyons à OpenAI (États-Unis) — les photos de reçus et les libellés d'imports bancaires des comptes Premium, ainsi que les totaux mensuels du récapitulatif envoyé avec la newsletter — et des données d'utilisation via Google Analytics, AdSense et les serveurs de polices et d'icônes. Voir la page des sous-traitants.
Liste publique des sous-traitants
/sub-verwerkers
La page /sub-verwerkers liste les services externes qui peuvent voir les données des utilisateurs, avec la finalité, les données et le pays.
Honnêtes sur ce qui manque
Un SaaS bootstrappé n'a pas toutes les certifications que possèdent les grands concurrents. Voici ce qui manque — et pourquoi.
ISO 27001 (gestion de la sécurité de l'information)
Pas (encore) en notre possessionNorme internationale pour les systèmes de gestion de la sécurité de l'information. De nombreux clients entreprises l'attendent de leurs fournisseurs.
Pourquoi pas: Un premier audit coûte facilement entre 15 000 € et 25 000 €, plus des audits annuels et des centaines d'heures de travail en interne. Pour une entreprise individuelle, ce n'est pas faisable pour l'instant. La sécurité physique du centre de données relève de notre hébergeur IONOS (voir le tableau ci-dessous).
SOC 2 Type II (norme américaine)
Pas (encore) en notre possessionNorme d'audit américaine pour les organisations de services, populaire auprès des entreprises américaines et des SaaS. Axée sur la sécurité, la disponibilité et la confidentialité.
Pourquoi pas: Encore plus coûteuse qu'ISO 27001 (20 000 à 40 000 € par audit, encore une fois pour le Type II qui évalue le comportement sur 6 mois). Principalement pertinente pour le marché américain — nous sommes axés sur les Pays-Bas/l'UE. Si nous nous étendons un jour aux États-Unis, c'est la première que nous envisagerons.
PCI DSS (direct)
Pas (encore) en notre possessionNorme pour le traitement sécurisé des cartes de paiement. Requise pour ceux qui traitent eux-mêmes des numéros de carte.
Pourquoi pas: Non applicable à notre cas : nous ne traitons JAMAIS directement de numéros de carte. Tous les paiements passent par Mollie (certifié PCI DSS niveau 1). Nous ne voyons que des identifiants de transaction, jamais les détails de carte. Nous n'avons donc pas besoin de PCI DSS — et au niveau bancaire, nous l'avons donc indirectement.
NEN 7510 (spécifique à la santé)
Pas (encore) en notre possessionNorme néerlandaise pour la sécurité de l'information dans le secteur de la santé.
Pourquoi pas: Non pertinent : Okidoky est destiné aux finances personnelles/domestiques, pas aux données de santé. Cette norme concerne les hôpitaux, les médecins généralistes et les SaaS de santé. Nous le documentons explicitement car certaines listes d'audit le demandent.
Contrat de sous-traitance (DPA)
Pas (encore) en notre possessionUn contrat de sous-traitance fixe la manière dont nous traitons les données lorsque nous le faisons pour le compte d'une organisation, par exemple pour des coachs ou des associations.
Pourquoi pas: Le texte est en préparation. Nous ne le publierons qu'après sa vérification par un juriste. Votre organisation en a besoin dès maintenant ? Écrivez à info@okidoky.nl.
Certifications dont nous profitons BIEN
Nos principaux fournisseurs détiennent des certifications que nous n'avons pas (encore) nous-mêmes. Attention : elles s'appliquent à leurs propres services, pas à Okidoky.
| Fournisseur | Certifications | Ce que cela vous apporte |
|---|---|---|
IONOS | ISO 27001 | Selon IONOS, IONOS est certifié ISO 27001 (mentionné dans le contrat de sous-traitance d'IONOS). IONOS gère le centre de données et le matériel ; nous gérons nous-mêmes les logiciels sur le serveur (application, base de données, serveur de messagerie), que cette certification ne couvre pas. |
Mollie | PCI DSS L1PSD2GDPR | Toutes les données de carte sont traitées par Mollie selon PCI DSS niveau 1. Nous ne voyons jamais votre numéro de carte. |
OpenAI | SOC 2 Type 2GDPR (SCCs) | Fonctions IA sous SOC 2 Type 2 : scan des reçus et catégories à l'import bancaire (Premium) et résumé du récapitulatif mensuel envoyé avec la newsletter. OpenAI n'entraîne pas ses modèles sur vos données d'entrée et ne les stocke pas durablement. Le scan gratuit des reçus fonctionne 100% en local. |
Planification des certifications
Calendrier honnête indiquant quand nous prévoyons quelles certifications. Pas de promesses — des indications.
Publier le contrat de sous-traitance
Dès qu'un juriste aura vérifié le texte, nous publierons un contrat de sous-traitance sur ce site, avec un numéro de version et une date.
Analyse des écarts ISO 27001
Engager un consultant externe pour une analyse des écarts. Identifier lesquels des 93 contrôles nous appliquons déjà effectivement vs ce qui manque. Pas d'engagement d'audit, mais une préparation.
Audit ISO 27001 complet (si le chiffre d'affaires le permet)
À partir de 500 000 € de chiffre d'affaires annuel, un audit complet devient envisageable. Cela donne aux clients entreprises le document dont ils ont besoin. Pour l'instant : trop cher, trop de charge.
Cette planification est notre meilleure estimation au 30 septembre 2026. Les circonstances (chiffre d'affaires, exigences clients, réglementation) peuvent modifier l'ordre. Nous la mettons à jour au moins une fois par an.
Avez-vous besoin d'un fournisseur certifié ISO ?
Certaines entreprises ont une politique interne qui exige ISO 27001 ou SOC 2. C'est une raison valable de NE PAS travailler avec nous — nous ne voulons pas que vous enfreigniez cette politique en nous choisissant. Voici les options :
Options concrètes
Remplir un questionnaire de sécurité
De nombreuses équipes de sécurité d'entreprise acceptent un questionnaire rempli (VAIS, CAIQ, SIG) comme alternative à une certification formelle. Nous remplissons une telle liste sous 2 semaines — envoyez un mail à security@okidoky.nl avec votre liste.
Choisir un fournisseur alternatif
Pour ceux qui ont vraiment besoin d'ISO 27001 : Twinfield (Wolters Kluwer) ou Exact — tous certifiés ISO 27001. Peut-être pas pour un livre de caisse privé, mais pour l'administration d'entreprise, oui.
Attendre que nous l'obtenions
Si notre feuille de route (2028+) vous convient : placez-nous sur une liste « à réévaluer ». Nous enverrons activement un message dès que nous obtiendrons la certification ISO 27001 — dans votre boîte de réception dans les 5 minutes suivant la réception du certificat.
Questions fréquentes sur la conformité
Puis-je signer un DPA (Accord de traitement des données) ?
Pas encore. Le contrat de sous-traitance est en préparation et sera d'abord vérifié par un juriste ; ensuite, nous le publierons sur ce site. Votre association ou organisation en a besoin dès maintenant ? Écrivez à info@okidoky.nl et nous vous préviendrons dès qu'il sera prêt.
Le RGPD/GDPR est-il vraiment suffisant pour notre entreprise ?
Pour la plupart des entreprises et associations néerlandaises : oui. Le RGPD est la loi sur la vie privée la plus stricte au monde. Si vous êtes conforme pour votre propre traitement, nous sommes également conformes en tant que sous-traitant. Exceptions : • Secteur de la santé : NEN 7510 requis (nous ne convenons alors pas) • Secteur financier nécessitant une responsabilité au niveau bancaire : ISO 27001 peut être requise • Entreprises américaines avec données UE : les CCT suffisent, mais parfois le siège souhaite également SOC 2
Pourquoi ne pas faire ISO 27001 malgré tout, même si c'est cher ?
Trois raisons : 1. Coûts : un audit coûte des dizaines de milliers d'euros, plus des centaines d'heures de travail en interne. Cela devrait se répercuter sur le prix, ou se faire au détriment du développement de l'application. 2. Peu de demande : pour une application de budget familial, l'ISO 27001 est rarement exigée. Ceux qui la demandent sont généralement de grandes organisations qui ne cherchent pas un livre de comptes personnel. 3. Hébergement : la sécurité physique du centre de données relève d'IONOS. La sécurité du serveur, de la base de données et de l'application, nous la gérons nous-mêmes ; c'est surtout sur ce point que porterait un audit. Si cet équilibre change, nous y réfléchirons à nouveau.
Votre modèle de DPA est-il publié quelque part ?
Pas encore. Nous ne publierons le contrat de sous-traitance qu'après sa vérification par un juriste. Il figurera ensuite sur ce site, avec un numéro de version et une date, pour que vous sachiez toujours quelle version s'applique.
Avez-vous fait réaliser un test de pénétration ?
Pas encore formellement (5 000 à 15 000 € par intervention). En revanche : • npm audit à chaque mise à jour de dépendance (les CVE connues sont immédiatement corrigées) • Revue manuelle de code pour chaque nouvelle fonctionnalité • OWASP Top 10 comme référence à chaque release • Programme de divulgation responsable via security@okidoky.nl Un test de pénétration formel — ainsi que des outils d'analyse CI automatisés tels que Snyk ou GitHub Dependabot — figurent sur la feuille de route 2027.
Question spécifique sur la conformité ?
Pour des questions sur le contrat de sous-traitance, les questionnaires de sécurité ou votre situation spécifique : envoyez-nous directement un mail. Réponse sous 48 heures.