Sécurité et données

Où se trouvent vos données

• L'application et sa base de données fonctionnent sur le réseau de Cloudflare (Cloudflare Workers et Cloudflare D1). Nous n'avons aucun serveur à nous à mettre à jour ou à perdre.
• Les paiements par carte sont entièrement gérés par Stripe. Nous ne voyons ni ne stockons jamais les numéros de carte complets.
• Nous ne vendons pas de données et n'affichons pas de publicités. Les prestataires que nous utilisons sont listés dans notre politique de confidentialité.

Comment elles sont protégées

• Toutes les connexions sont chiffrées en HTTPS, et les navigateurs reçoivent l'instruction de refuser tout le reste (HSTS).
• Les mots de passe ne sont jamais stockés. Nous conservons un hachage PBKDF2-SHA256 salé : même nous ne pouvons pas les lire.
• Les sessions de connexion utilisent un cookie sécurisé HTTP-only que les scripts de la page ne peuvent pas lire. Réinitialiser votre mot de passe vous déconnecte partout.
• Les échecs de connexion répétés sont ralentis pour empêcher de deviner les mots de passe.
• Les pages sont envoyées avec des en-têtes de sécurité stricts, dont une politique de sécurité du contenu et une protection contre l'intégration dans d'autres sites.

Qui peut voir vos données

• Les données de chaque organisation sont séparées, et chaque requête est contrôlée par rapport à l'organisation à laquelle vous êtes connecté. Nos tests automatisés vérifient qu'une organisation ne peut ni lire ni supprimer les données d'une autre.
• Au sein de votre organisation, les propriétaires, administrateurs et membres ont des droits différents. Seuls les propriétaires et administrateurs peuvent modifier les paramètres, inviter des personnes ou gérer la facturation.
• Les invitations et les liens de réinitialisation du mot de passe sont à usage unique et expirent (7 jours et 1 heure).
• Les fournisseurs à qui vous demandez des données accèdent à un formulaire unique par un lien privé. Ils ne voient jamais votre compte.
• Les modifications importantes, comme celles de la facturation et des paramètres, sont consignées dans un journal d'audit.

Vos données vous appartiennent

• Exportez à tout moment, tant que votre offre est active, chaque ligne d'activité et d'émission sous forme de tableur, avec le facteur utilisé pour chaque chiffre.
• Si vous arrêtez de payer, rien n'est supprimé : choisissez de nouveau une offre et tout est là où vous l'avez laissé.
• Un propriétaire peut supprimer l'organisation et tout son contenu depuis les Paramètres. Elle est effacée immédiatement de la base de données en production.

Cookies et mesure d'audience

• Seuls les cookies nécessaires à la connexion sont déposés sans demander. Google Analytics et Microsoft Clarity ne se chargent qu'avec votre accord, et vous pouvez changer d'avis à tout moment via « Paramètres des cookies » en bas de chaque page.
• Cloudflare Web Analytics, qui n'utilise aucun cookie, compte les pages vues.

Ce que nous n'avons pas encore

Nous sommes un service jeune ; nous préférons donc vous le dire plutôt que de vous laisser le découvrir. Nous n'avons pas encore de connexion à deux facteurs, d'authentification unique (SSO) ni de certification indépendante comme ISO 27001 ou Cyber Essentials. La connexion à deux facteurs est la prochaine sur notre liste. Si votre service achats dispose d'un questionnaire de sécurité, envoyez-le-nous et nous y répondrons honnêtement.