Sécurité — ce que nous stockons, et ce que non

Vos données sont séparées de celles des autres clients

La séparation est posée dans la BASE DE DONNÉES elle-même, pas dans le code de l'application. Chaque table porte une règle qui ne laisse voir que les lignes de votre société, et cette règle s'applique même au propriétaire des tables.

Le détail qui compte : le défaut est le REFUS. Une connexion qui n'a déclaré aucune société voit zéro ligne — pas tout. Un filtre oublié dans le code ne peut donc pas faire apparaître les données d'un autre client.

À chaque déploiement, un contrôle mesure le COMPORTEMENT, pas la déclaration : il pose une société inexistante et recompte. S'il reste quelque chose de visible, le déploiement s'arrête.

Le numéro de registre national

Aucune colonne du schéma ne porte un NISS, et un test parcourt toutes les migrations pour l'imposer. Dans les journaux et dans les signalements, il est masqué.

Une exception, et elle est écrite au contrat : lorsque vous nous confiez l'envoi de votre déclaration DmfA, ce fichier contient les numéros. Il est conservé chiffré (AES-256-GCM, clé dans l'environnement du serveur, jamais en base) jusqu'à l'envoi, puis effacé. La case est décochée par défaut.

Où tout cela tourne

Le serveur et la base sont dans la région AWS de PARIS (eu-west-3), au sein de l'Union européenne. La base est une instance managée séparée, avec TLS exigé et vérification du certificat. Aucun transfert hors de l'Union.

L'envoi des e-mails part de Francfort (eu-central-1) — également dans l'Union.

Chiffrement

Tout le trafic passe en HTTPS, avec HSTS pour deux ans, sous-domaines compris. Les mots de passe sont hachés en bcrypt ; les jetons de session, les liens des travailleurs et les clés d'API sont stockés hachés, jamais en clair. Le fichier DmfA est chiffré comme décrit plus haut.

Qui a lu quoi

Chaque accès d'un travailleur à sa fiche est consigné — c'est votre preuve de remise. Chaque accès de notre part l'est aussi, AVANT la lecture, avec un motif obligatoire, visant une seule société, et borné à 72 heures par une contrainte en base de données.

Ce qui n'est PAS consigné : le contenu lu. Le journaliser ferait une seconde copie de vos données et aggraverait le risque au lieu de le réduire. Les journaux sont purgés après cinq ans (A.R. du 08/08/1980, art. 25).

Ce que nous n'avons pas encore

Aucun audit EXTERNE, aucun test d'intrusion, aucune certification (ISO 27001, SOC 2). Nos revues sont internes. Nous préférons l'écrire plutôt que d'employer un mot rassurant.

L'authentification à deux facteurs par e-mail existe dans le produit mais n'est pas activée en production. Et si le canal e-mail tombe, la connexion retombe sur le mot de passe seul. Tant que c'est le cas, nous ne la présentons pas comme une protection.