Sécurité by design

Vos données sont chiffrées en transit et au repos.

• TLS 1.3 sur toutes les connexions (HTTPS obligatoire, HSTS actif)
• AES-256 pour les données au repos dans la base de données
• Mots de passe stockés avec bcrypt + salt (jamais en clair)
• Jetons d’accès rotatifs à expiration courte
• Gestion des secrets via un coffre-fort dédié (Vercel + Supabase Vault)

Plusieurs couches pour confirmer que la personne qui se connecte est bien celle qu’elle prétend être.

• Authentification à 2 facteurs (2FA/TOTP) disponible sur tous les forfaits
• OAuth 2.0 avec Google pour une connexion sécurisée
• Politiques de mot de passe fort : minimum 8 caractères, validation en temps réel
• Rate limiting contre les attaques par force brute
• Sessions invalidées automatiquement après une inactivité prolongée

Hébergement chez des fournisseurs disposant des plus hautes certifications mondiales.

• Serveurs Vercel (edge) + Supabase (Postgres) dans plusieurs régions
• Certifications SOC 2 Type II, ISO 27001 et PCI-DSS Level 1
• Sauvegarde automatique quotidienne avec rétention de 30 jours
• Réplication multi-région pour une haute disponibilité
• Protection DDoS et WAF (Web Application Firewall) intégrés

Principe du moindre privilège appliqué à toutes les couches.

• Row Level Security (RLS) dans la base de données : chaque entreprise ne voit que ses propres données
• Profils d’accès (admin, collaborateur) avec des permissions granulaires
• Multi-tenant isolé by design — aucune fuite entre les comptes
• Journaux d’audit pour les actions critiques (connexion, modifications financières, etc.)
• Accès de l’équipe interne restreint et entièrement tracé

Détection en temps réel et processus clair quand un incident survient.

• SIEM avec alertes 24/7 pour les anomalies et tentatives suspectes
• Health checks automatiques toutes les 60 secondes
• SRE d’astreinte avec un SLA de réponse de 15 minutes maximum
• Communication des incidents significatifs sous 72 h (conformément à la LGPD)
• Postmortems publics pour une transparence totale

Aligné sur les principales réglementations applicables au Brésil.

• LGPD (Loi 13.709/2018) — traitement des données personnelles
• Marco Civil da Internet (Loi 12.965/2014) — conservation des journaux
• PCI-DSS — transactions par carte via des passerelles certifiées
• Code de défense du consommateur — transparence contractuelle
• Audits annuels indépendants réalisés par une société spécialisée

Des plans pour maintenir votre activité même dans les scénarios extrêmes.

• Sauvegardes quotidiennes automatisées (RPO de 24 h, RTO de 4 h)
• Plan de reprise après sinistre (DRP) testé tous les six mois
• Basculement automatique vers une région secondaire en cas de panne
• Historique des versions des données critiques (finances, rendez-vous)
• Export complet de vos données à tout moment