Sécurité

Cette page décrit les mesures de sécurité effectivement mises en œuvre sur la plateforme Quostra. Elle ne décrit que ce qui est en place aujourd'hui.

1. Mesures mises en œuvre

Chiffrement des échanges

Le site et la plateforme sont servis exclusivement en HTTPS. Les échanges entre votre navigateur et nos serveurs sont chiffrés.

Authentification

• Les comptes sont gérés par Supabase Auth. Les mots de passe ne sont jamais stockés en clair : leur hachage est assuré par Supabase.
• À l'inscription, le mot de passe doit comporter au moins 8 caractères, dont une majuscule, une minuscule, un chiffre et un caractère spécial.
• L'adresse email est vérifiée par un code à usage unique avant l'activation du compte.
• La connexion peut aussi se faire par un compte Google ou Microsoft (OAuth), sans mot de passe transmis à Quostra.

Contrôle d'accès

• Chaque compte dispose d'un rôle (client, économiste, administrateur) qui détermine les espaces et les fonctions accessibles.
• Les tables de la base de données sont protégées par des règles de sécurité au niveau des lignes (Row Level Security) : un client n'accède qu'à ses propres données.
• Les opérations sensibles côté serveur vérifient l'identité et le rôle de l'utilisateur avant exécution.

Secrets et paiements

• Les clés d'accès aux services tiers sont conservées dans la configuration du serveur, hors du code source, et ne sont jamais exposées au navigateur.
• Les paiements sont traités par Stripe. Quostra ne reçoit ni ne stocke aucun numéro de carte bancaire.

Sauvegardes

Les sauvegardes de la base de données sont assurées par Supabase, notre hébergeur de données, selon les modalités de son offre.

Journaux

Les journaux techniques sont conservés 12 mois, puis supprimés.

2. Disponibilité

Quostra se fixe un objectif de disponibilité de la plateforme, sans garantie. Des interruptions peuvent survenir, notamment pour maintenance, mise à jour ou incident.

3. Incidents et violations de données

En cas de violation de données personnelles, Quostra la notifie à la CNIL et en informe les personnes concernées dans les conditions prévues par le RGPD. Lorsque Quostra agit en sous-traitant du Client, elle l'en informe dans les meilleurs délais, conformément à l'accord de traitement des données.

4. Vos bonnes pratiques

• Choisissez un mot de passe unique, que vous n'utilisez sur aucun autre service.
• Ne partagez pas vos identifiants.
• Vérifiez que l'adresse du site est bien https://quostra.com avant de vous connecter.
• Signalez toute activité suspecte à contact@quostra.com.

5. Signaler une vulnérabilité

Si vous pensez avoir découvert une faille de sécurité, écrivez à contact@quostra.com avec l'objet « Signalement de vulnérabilité », en décrivant le problème et les étapes pour le reproduire. Nous vous demandons de ne pas exploiter la faille au-delà de ce qui est nécessaire pour la démontrer, de ne pas accéder aux données d'autres utilisateurs et de ne pas la divulguer avant sa correction.