Nous ne prêtons pas.
Advanta origine, vérifie et gère. Elle ne prête pas, ne fixe pas le prix, ne décide pas du crédit et ne détient pas l’argent.
Fait · company.role
Sécurité, preuves et données, telles qu’elles sont.
Comment la plateforme protège les données, conserve des preuves que votre auditeur peut recalculer et reste disponible. Chaque affirmation vient de notre registre des faits.
Chaque affirmation de cette page vient de notre registre des faits et est vérifiée sur la plateforme en production avant chaque version.
[01] Qui nous sommes
Advanta est un logiciel. Nous ne prêtons pas.
[02] Sécurité
Des règles imposées par la base de données, pas par l’écran.
Sécurité au niveau des lignes sur chaque table.
Chaque table de la base de données de la plateforme a la sécurité au niveau des lignes. Les deux rôles qu’un navigateur peut utiliser n’écrivent dans une table que là où une règle au niveau des lignes le permet, et aucune fonction de déclencheur ne peut être appelée de l’extérieur. Un autocontrôle nocturne demande les exceptions à la base de données et ne doit en trouver aucune.
Fait · security.least_privilege
Connexion à deux facteurs pour les financeurs.
Un financeur se connecte avec un mot de passe et une app d’authentification. La base de données refuse les données du financeur à une session qui n’a pas saisi de code, et les fonctions serveur qui agissent pour un financeur vérifient la même chose, en interrogeant la base de données au nom de l’appelant.
Fait · security.mfa
Les règles de financement dans la base de données.
Les règles de financement s’appliquent sur chaque chemin de l’app, de l’API et de la console de l’équipe. Aucun écran et aucun appel à l’API ne peuvent les contourner.
Fait · gate.db_session
Chaque financeur ne voit que ses demandes.
Un financeur ne voit que les demandes qui lui sont orientées ou sur lesquelles il a déjà agi. C’est la sécurité au niveau des lignes sur les demandes, les offres, les factures et les certificats, pas un filtre d’écran.
Fait · funder.isolation
[03] Où sont vos données
Dans l’UE, en Irlande.
Chaque sous-traitant, ce qu’il fait et où, figure sur notre page des sous-traitants ; l’usage des données personnelles est décrit dans notre politique de confidentialité.
Hébergé dans l’UE.
Toutes les données de la plateforme sont stockées dans l’UE : Supabase sur AWS, en Irlande (eu-west-1), les données de chaque entreprise étant séparées par la sécurité au niveau des lignes.
Fait · hosting.region
[04] Preuves
Des journaux que votre auditeur peut recalculer.
Les racines publiées et leurs horodatages sont sur la page des preuves.
Un journal de preuves chaîné par hachage.
Chaque entrée du journal de preuves des cessions porte le SHA-256 de son propre contenu et le hachage de l’entrée précédente. Votre auditeur peut recalculer toute la chaîne.
Fait · evidence.cession_chain
Scellé chaque nuit.
Chaque nuit, les entrées du jour sont scellées dans une racine qui porte la racine de la veille, chaque jour depuis le 17 septembre 2026.
Fait · evidence.cession_anchors
Le programme acheteur aussi.
Le journal d’audit du programme acheteur est lui aussi chaîné par hachage, une chaîne par acheteur, et scellé chaque nuit dans une racine qui porte celle de la veille.
Fait · evidence.buyer_audit_log · evidence.buyer_anchors
Horodaté par deux autorités extérieures.
Chaque jour, les racines scellées ce jour-là sont publiées, sans aucune donnée d’entreprise ni donnée personnelle, et horodatées par DigiCert et Sectigo (RFC 3161). Chacun peut vérifier un jeton avec openssl ts -verify.
Fait · evidence.external_timestamp
Des certificats en lecture seule.
Les certificats d’acceptation sont en lecture seule pour les vendeurs, les acheteurs et les financeurs : aucun chemin de la plateforme n’en insère, n’en modifie ni n’en supprime. Leur statut ne change qu’au fil de la notification, et chaque changement est écrit dans le journal de preuves.
Fait · evidence.certificates_read_only
[05] Résilience
Répété, surveillé et consigné.
Une restauration complète, répétée.
Le 26 septembre 2026, nous avons restauré une copie complète de la base de données de production dans un conteneur isolé, sans réseau. Cela a pris 7,1 secondes, les 284 tables correspondaient toutes à la source, et les deux chaînes de preuves ont été vérifiées sur la copie. L’exercice est programmé pour se répéter le 1er de chaque mois.
Fait · ops.restore_drill
Chaque service vérifié toutes les 5 minutes.
8 contrôles couvrent l’app entreprises, le portail financeur, les pages des débiteurs, les notifications de cession, l’API financeurs et le site. Deux contrôles en échec d’affilée ouvrent un incident et alertent notre équipe des opérations ; la page d’état publique montre 6 composants et l’historique des incidents.
Fait · ops.monitoring
Chaque interrupteur, avec qui et pourquoi.
Notre équipe des opérations voit tous les interrupteurs de la plateforme sur une seule page, avec qui a changé chacun en dernier, quand et pourquoi. Un changement fait là exige un motif écrit et est consigné dans la chaîne de preuves.
Fait · ops.switches_board
[06] Confidentialité
Une règle de conservation pour chaque donnée personnelle.
La conservation par règle.
Un moteur de conservation compte 63 politiques, qui couvrent chaque type d’enregistrement contenant des données personnelles, et un test échoue si une table contenant des données personnelles n’en a aucune. Les journaux, les sessions, les données d’analyse et les fichiers temporaires sont supprimés selon leur calendrier, et ce qui arrive dans la boîte à factures d’une entreprise est supprimé 90 jours après son arrivée.
Fait · privacy.retention
Gel légal et effacement.
Un gel légal arrête toute suppression. Une demande d’effacement ne garde que les enregistrements que la loi exige, pour la lutte contre le blanchiment et la comptabilité, avec un accès restreint.
Fait · privacy.retention
[07] Contrôles de conformité
Vérifié dans les listes officielles, chaque jour.
Contrôle des sanctions, mis à jour chaque jour.
Chaque entreprise, son représentant et ses bénéficiaires effectifs, les débiteurs de ses demandes et les fournisseurs d’un programme acheteur sont contrôlés dans les listes officielles de sanctions de l’UE, de l’ONU, du Royaume-Uni et des États-Unis (4 listes), téléchargées chaque jour dans notre propre base de données. Une liste non mise à jour depuis 48 heures compte comme indisponible, le contrôle échoue donc en position fermée, et une correspondance possible arrête l’orientation, les offres et le financement jusqu’à ce qu’une personne décide avec un motif écrit.
Fait · kyc.sanctions_screening
Les pièces d’identité restent entre des mains humaines.
Les pièces d’identité et les selfies ne sont jamais envoyés à un fournisseur d’IA : une personne chez Advanta les vérifie. Les documents de l’entreprise sont lus par un modèle d’IA pour aider la personne qui examine, et qui décide.
Fait · kyc.identity_documents_not_ai
[08] IA
L’IA lit et rédige. Les personnes décident.
Ce que fait l’IA, carte par carte, est sur la page IA.
Le crédit et le prix ne sont jamais décidés par l’IA.
Advanta ne décide pas du crédit et ne fixe pas les prix, et son IA non plus. Chaque facture et chaque dossier d’entreprise sont vérifiés automatiquement et expliqués ; ce qui est douteux va à une personne, et l’approbation reste toujours à une personne.
Fait · company.role · engine.autonomous_ops
Chaque score indique sa version.
Chaque score enregistré indique la version du modèle qui l’a produit, et chaque version indique qui l’a approuvée et pourquoi.
Fait · score.versioned
[09] Dossier fournisseur DORA
Le dossier fournisseur, pour votre équipe des risques.
Un dossier de due diligence technologique pour l’équipe des risques d’un financeur : le dossier DORA de prestataire tiers, qui couvre le prestataire, les services et les données, les sous-traitants, les contrôles de sécurité, la résilience, les incidents, l’audit et la sortie, ainsi qu’un extrait du registre d’informations, chaque affirmation étant marquée de son statut. Disponible pour l’équipe des risques d’un financeur, sur demande et sous NDA.
Fait · security.dd_pack · company.contact
Demander le dossier →
Ou écrivez à diogo@advanta.pt. Le dossier est envoyé à l’équipe des risques d’un financeur ; ce n’est pas un téléchargement public.