Sécurité et confidentialité

• Chiffrement TLS 1.2/1.3 sur toutes les connexions (HSTS activé)
• Hachage des mots de passe aux normes du secteur, avec un facteur de coût élevé
• Jetons d’authentification de courte durée avec expiration automatique
• Toutes les connexions à la base de données sont chiffrées en transit

• Hébergement dans l’UE (Allemagne) — centre de données conforme au RGPD
• Architecture de microservices conteneurisés avec isolation réseau
• Base de données chiffrée avec couche de cache en mémoire
• Sauvegardes quotidiennes automatiques, conservées 30 jours
• CDN d’entreprise avec protection DDoS et pare-feu applicatif (WAF)

• Injection SQL, XSS, CSRF, IDOR, traversée de chemin — tous vérifiés comme sécurisés
• Content-Security-Policy (CSP) et Strict-Transport-Security (HSTS) appliqués
• Limitation de débit avec protection contre la force brute (blocage automatique après des échecs répétés)
• Validation des entrées avec schéma imposé sur tous les points d’accès API
• Suite complète d’en-têtes de sécurité (6 en-têtes actifs sur toutes les réponses)
• Les routes d’administration exigent une vérification de rôle au niveau de la base de données
• Aucune divulgation d’information — pas de traces d’erreur, pas de versions de serveur, pas d’empreintes technologiques

• Plus de 800 tests automatisés de bout en bout — plus de 99 % de couverture du code sur 68 cycles de test
• Les bugs critiques identifiés lors des tests ont été corrigés avant la mise en production
• 245 points d’accès API soumis à des tests de charge avec des entrées malformées et malveillantes — aucun plantage non géré détecté
• 100 appels API simultanés testés en charge — temps de réponse moyen inférieur à 50 ms
• Tests automatisés combinés à des tests QA humains en parallèle — comportements d’utilisateurs réels validés
• Parcours de paiement vérifié de bout en bout avec une vraie intégration Stripe (tous les abonnements)
• RGPD art. 15 (export des données) et art. 17 (droit à l’effacement) implémentés et testés
• Surveillance continue en production via Sentry + UptimeRobot — incidents résolus sous 24 heures

• Sécurité au niveau des lignes — chaque utilisateur n’accède qu’à ses propres données
• Traitement IA par des fournisseurs conformes à l’UE — vos données ne servent jamais à l’entraînement
• Solution IA sur site disponible pour les charges de travail sensibles
• Aucun outil d’analyse ni pixel de suivi tiers
• Suppression des données sur demande (traitée sous 30 jours)

• Conforme au RGPD — données stockées exclusivement dans l’UE (Allemagne)
• Politique de confidentialité et consentement aux cookies en place
• Accord de traitement des données (DPA) disponible pour les clients Enterprise
• Droit à la portabilité — exportez vos données à tout moment dans des formats standard
• Gestion des incidents : notification sous 72 heures conformément à l’art. 33 du RGPD