Sécurité
Cette page décrit ce qui est en place aujourd’hui, dans des mots simples. Elle ne contient aucune certification, parce que nous n’en avons pas encore.
Toute donnée métier porte l’identifiant de votre entreprise. Postgres applique une isolation par lignes, forcée, qui n’ouvre que les lignes de l’entreprise connectée. Si une requête oubliait son filtre, elle ne rendrait rien, plutôt que les données d’une autre entreprise.
La base de données est chez Neon, à Francfort (Allemagne). L’application est servie par Vercel depuis sa région de Paris. Les données de votre entreprise sont stockées à Francfort et traitées à Paris.
Connexion par mot de passe (dix caractères au moins, les mots de passe trop simples sont refusés) ou par lien envoyé à votre adresse. Les sessions sont gérées par Better Auth, un composant d’authentification maintenu et ouvert. Chaque personne a un rôle dans l’entreprise, et l’on rejoint une entreprise uniquement sur invitation.
Chaque page reçoit une politique de contenu avec un jeton unique par requête : un script qui ne vient pas de nous ne s’exécute pas. Les en-têtes de sécurité empêchent d’afficher KORA dans un cadre étranger, forcent le chiffrement de la connexion et limitent ce que le navigateur partage. Les pages qui contiennent vos factures ne sont jamais mises en cache.
Créations de compte, connexions, imports, messages : chaque action sensible est plafonnée par connexion. L’adresse réseau n’est jamais conservée en clair : une empreinte salée, comptée sur une fenêtre courte, effacée sous vingt-quatre heures.
Relance envoyée, paiement confirmé, règle approuvée, membre invité, export demandé : tout est inscrit dans un journal d’audit, avec la personne, l’instant et l’objet.
Nous ne collectons que ce que le service exige. Vous exportez et supprimez vos données depuis votre espace. Après une résiliation, tout est effacé sous 30 jours. Les personnes qui figurent dans vos factures, vos clients, sont traitées pour votre compte, jamais pour le nôtre.
Quand KORA doit comprendre un texte (un en-tête de colonne inconnu, une réponse de client), il passe par Mistral AI, hébergé en Union européenne. Chaque appel est enregistré dans un journal. Aucun montant, aucune date, aucun score n’est calculé par ce biais : les chiffres viennent de votre base, par du code testé.
Sous-traitants
Quatre prestataires, pas un de plus. Si nous en ajoutons un, cette page et la politique de confidentialité sont mises à jour avant.
| Sous-traitant | Ce qu’il fait | Où |
|---|---|---|
| Vercel | Hébergement de l’application | Région Paris (France) |
| Neon | Base de données Postgres | Francfort (Allemagne) |
| Resend | Envoi des emails (liens de connexion, relances) | Sous accord de traitement des données |
| Mistral AI | Traitement de texte (colonnes inconnues, réponses de clients) | Union européenne |
Aucune certification (ISO 27001, SOC 2, HDS) n’est revendiquée. Pas de garantie de disponibilité chiffrée : le service est rendu au mieux, et les incidents sont annoncés. Le jour où une certification est obtenue, elle sera écrite ici, avec sa date.
Si vous pensez avoir trouvé une faiblesse, passez par le formulaire de contact. Nous répondons sous deux jours ouvrés et nous vous tenons informé de la correction.
Le détail de nos traitements est dans la politique de confidentialité.