Pratiques de sécurité

Infrastructure

• Hébergé sur Vercel avec HTTPS automatique, protection DDoS et diffusion en périphérie mondiale.
• Base de données, authentification et stockage de fichiers propulsés par Supabase sur AWS (région US-Est).
• Les politiques de sécurité au niveau des lignes (RLS) sont appliquées au niveau de la base de données — aucune requête ne s'exécute sans validation des permissions.

Chiffrement

• Toutes les données en transit sont chiffrées avec TLS 1.2 ou supérieur. HTTPS est obligatoire sur toutes les routes.
• Les données au repos sont chiffrées avec AES-256 via les clés gérées par AWS.
• Les mots de passe ne sont jamais stockés par CrecyStudio. L'accès à l'espace de travail client utilise des liens à jeton signé, pas des mots de passe.

Accès à l'espace de travail client

• Chaque espace de travail est accessible via un jeton signé cryptographiquement unique — pas d'identifiants partagés.
• Les jetons expirent après 30 jours d'inactivité et nécessitent une ré-authentification après expiration.
• L'accès administrateur suit un chemin d'authentification complètement distinct de celui des espaces de travail clients.

Isolation des données

• Les données de chaque client sont isolées par des politiques RLS — aucun client ne peut accéder aux données d'un autre.
• Le stockage de fichiers utilise des contrôles d'accès par projet. Seules les parties authentifiées avec un jeton valide pour ce projet peuvent accéder à ses fichiers.

Sauvegardes et récupération

• Sauvegardes automatiques quotidiennes de la base de données avec rétention de 7 jours.
• La récupération en temps réel est disponible dans la fenêtre de rétention active.
• Les sauvegardes sont stockées dans le même environnement AWS chiffré que les données en direct.

Sous-traitants

Les données sont partagées uniquement avec les fournisseurs nécessaires au fonctionnement de notre plateforme. Chacun est contractuellement tenu de protéger vos données.

Ce que nous ne faisons pas

• Nous ne vendons, partageons ni n'octroyons de licence sur les données clients à des tiers.
• Nous ne sous-traitons pas le travail de développement. Komlan est la seule personne ayant accès aux environnements clients et au code source.
• Nous ne conservons pas indéfiniment les données clients. Les projets sont archivés après 1 an et supprimés après 3 ans sauf obligation légale contraire.
• Nous ne stockons pas les données de carte de paiement. Tout le traitement des paiements est entièrement géré par Stripe.

Vos responsabilités

• Gardez votre lien d'espace de travail privé. Ne le transmettez pas à des personnes qui ne font pas partie de votre équipe de projet.
• Utilisez une session de navigation privée ou incognito lorsque vous accédez à votre espace de travail depuis un appareil partagé.
• Signalez immédiatement toute activité suspecte à hello@crecystudio.com.
• Révoquez l'accès à l'espace de travail des membres de l'équipe qui quittent votre organisation.

Divulgation des vulnérabilités

Pour signaler un problème de sécurité, envoyez un e-mail à hello@crecystudio.com avec l'objet « Sécurité ». Nous accusons réception de tous les rapports sous 48 heures et visons à résoudre les vulnérabilités confirmées sous 72 heures.