Politique de sécurité
Comment nous protégeons vos données et votre vie privée.
La sécurité, notre priorité
En tant que plateforme utilisée par des cabinets comptables CPA, nous traitons des données hautement confidentielles. La sécurité de vos informations fiscales, financières et personnelles est au cœur de notre architecture et de nos processus.
Couches de sécurité
Chiffrement des données
Vos données sont chiffrées en transit ; le chiffrement au repos n’est pas vérifié depuis la plateforme.
- TLS 1.2 et TLS 1.3 pour les communications (mesurés en production)
- Chiffrement au repos : non vérifié depuis la plateforme
- Aucun chiffrement de bout en bout des documents : la plateforme les lit pour les traiter
- Rotation des clés : non vérifiée depuis la plateforme
Authentification sécurisée
Accès protégé par des mécanismes d’authentification robustes.
- Authentification à deux facteurs (MFA) : non exigée par défaut ; disponibilité selon la configuration de votre cabinet
- Mot de passe : 8 caractères minimum exigés à l’inscription ; 12 caractères recommandés
- Verrouillage du compte après plusieurs échecs de connexion
- Sessions avec expiration automatique (jeton de renouvellement : 30 jours)
Infrastructure sécurisée
Hébergement sécurisé avec des mesures de protection avancées.
- Serveurs hébergés au Canada (OVHcloud, Beauharnois) ; point d’entrée réseau relayé depuis la France (OVHcloud) — voir le DPA
- Pare-feu applicatif Web (WAF) : aucun en place
- Protection DDoS : celle de l’hébergeur, non vérifiée depuis la plateforme
- Cloisonnement des données par cabinet (multi-locataire)
Contrôle d’accès
Accès strictement limité selon le principe du moindre privilège.
- Contrôle d’accès basé sur les rôles (RBAC)
- Principe du moindre privilège
- Séparation des environnements (développement, recette, production)
- Revue périodique des accès : non attestée à ce jour
Surveillance continue
Journalisation et surveillance : ce qui est en place, et ce qui ne l’est pas.
- Surveillance 24/7 : non attestée
- Détection d’intrusion (IDS/IPS) : aucune en place
- Journalisation des connexions et d’une partie des actes — non exhaustive
- Alertes automatiques : non établies
Sauvegarde et récupération
Vos données sont sauvegardées et récupérables en cas d’incident.
- Sauvegardes quotidiennes vers un stockage objet OVHcloud au Canada
- Chiffrement des sauvegardes : non vérifié depuis la plateforme
- Durée de rétention des copies : non garantie par la plateforme
- Plan de reprise après sinistre : non testé à ce jour
- Objectif de temps de récupération (RTO) : non défini
Certifications
Loi 25 Québec
Obligations de la loi sur la protection des renseignements personnels — voir nos politiques
Aucune certification
SOC 2 et ISO 27001 : aucune certification n’est détenue ni délivrée à ce jour
PCI-DSS
Assurée par Stripe : les données de carte sont saisies dans le composant Stripe et ne transitent pas par nos serveurs
Réponse aux incidents
En cas d’incident de sécurité, notre équipe suit un protocole strict :
- Détection et confinement immédiats de l’incident
- Évaluation de l’impact et des données concernées
- Notification des autorités (CAI) dans les 72 heures si requis
- Notification des personnes concernées dans les meilleurs délais
- Mise en place de mesures correctives
- Analyse post-incident et amélioration continue
Bonnes pratiques pour vous
La sécurité est une responsabilité partagée. Voici nos recommandations :
Activez l’authentification à deux facteurs
Ajoutez une couche de sécurité supplémentaire à votre compte.
Utilisez un mot de passe unique
N’utilisez pas le même mot de passe pour plusieurs services.
Vérifiez régulièrement votre activité
Consultez l’historique de connexion de votre compte régulièrement.
Déconnectez-vous sur les appareils partagés
Fermez toujours votre session lorsque vous utilisez un appareil public.
Méfiez-vous de l’hameçonnage
Nous ne vous demanderons jamais votre mot de passe par courriel.
Maintenez vos logiciels à jour
Utilisez un navigateur récent avec les dernières mises à jour de sécurité.
Signaler un problème de sécurité
Si vous suspectez une activité suspecte sur votre compte ou découvrez une vulnérabilité, contactez immédiatement notre équipe de sécurité à security@cpa-advisory.ca.