Sécurité

Les notes de séance, les enregistrements de résultats clients, les identifiants d'intégration, les jetons de paiement et les secrets d'authentification à deux facteurs sont chiffrés en AES-256-GCM au niveau applicatif avant d'atteindre la base de données. Les coordonnées des clients telles que le nom, l'e-mail principal et le téléphone principal sont stockées non chiffrées afin que la recherche et l'association des messages fonctionnent.

Toutes les données transmises entre votre navigateur et nos serveurs sont chiffrées à l'aide de TLS 1.3 avec des suites de chiffrement modernes.

Vous pouvez vous connecter avec Google, Facebook ou Apple via OAuth 2.0, ou avec une adresse e-mail et un mot de passe. Un mot de passe n'est jamais stocké tel que vous l'avez saisi — uniquement une empreinte bcrypt, qui ne peut pas être reconvertie en mot de passe.

Les jetons d'accès expirent au bout d'1 heure. Les jetons de rafraîchissement sont rotés à chaque utilisation et peuvent être révoqués immédiatement.

Hébergé chez Hetzner en Allemagne. Les centres de données Hetzner sont certifiés ISO 27001 et offrent une sécurité physique de niveau entreprise ainsi qu'une atténuation DDoS en périphérie du réseau.

PostgreSQL est sauvegardé chaque nuit, puis à nouveau avant chaque déploiement en production et chaque migration. Les sauvegardes sont chiffrées en AES-256 — sur le serveur et dans le stockage d'objets externe — et conservées 30 jours en local et 90 jours hors site. Chaque semaine, un test automatique télécharge une sauvegarde hors site, la déchiffre et la restaure dans une base de données jetable, afin que la restauration soit prouvée et non supposée.