Sécurité

Hébergement

Les données sont hébergées en France chez OVH. Les échanges avec le site et l'application sont chiffrés en HTTPS.

Cloisonnement des entreprises

Chaque entreprise cliente ne voit que ses propres données : le cloisonnement est appliqué automatiquement par le serveur sur chaque requête, et vérifié par des tests dédiés.

Chiffrement des données sensibles

Les données RH sensibles (salaire de base, situation familiale, personnes à charge) et les montants des bulletins de paie sont chiffrés en base de données (AES-256-GCM).

Comptes et authentification

• Mots de passe stockés sous forme hachée (argon2id), jamais en clair.
• Authentification à deux facteurs (application TOTP) avec codes de récupération, disponible pour les comptes administrateurs.
• Verrouillage temporaire après plusieurs échecs de connexion et limitation du nombre de tentatives.
• Pas de mot de passe transmis : l'activation et la réinitialisation passent par des liens à usage limité dans le temps.

Traçabilité

Les actions sensibles (changements de statut de facture, accès d'administration, réinitialisations) sont consignées dans un journal d'audit conservé en ajout seul.

Sauvegardes

Les bases de données sont sauvegardées quotidiennement et la restauration est testée.

Signaler une vulnérabilité

Si vous pensez avoir découvert une faille de sécurité, merci de nous la signaler via la page Contact, en décrivant le problème. Nous traitons ces signalements en priorité.