Notre approche
FIDΣLIS héberge des données financières et fiscales sensibles. La sécurité n'est pas une option : c'est intégré à chaque couche de l'architecture. Voici une vue honnête et transparente de ce que nous protégeons et comment.
Ce que FIDΣLIS implémente
| Mesure | État | Détails |
|---|---|---|
| Authentification à deux facteurs (2FA) | ✅ Activée | TOTP (Google Authenticator, Authy, 1Password) + OTP courriel en option |
| Hashage des mots de passe | ✅ | Bcrypt (10 rondes), jamais en clair en BD ni dans les logs |
| Sessions sécurisées | ✅ | Cookies httpOnly, secure, sameSite=lax, expiration glissante |
| Multi-tenant strict | ✅ | Chaque requête est filtrée par organizationId — impossible d'accéder aux données d'une autre entreprise |
| HTTPS partout | ✅ | TLS 1.2+ forcé, HSTS activé |
| Audit des actions sensibles | ✅ | Journal détaillé (admin, accès facturation, changements de plan) |
| Restauration en cas de suppression | ✅ | Sauvegardes quotidiennes Supabase + rétention 7 à 30 jours |
Certifications héritées de nos fournisseurs
FIDΣLIS s'appuie sur des infrastructures certifiées par des auditeurs indépendants. Toutes les données et tout le code circulent uniquement par ces fournisseurs :
| Service | Rôle | Certifications |
|---|---|---|
| Vercel | Hébergement de l'application | SOC 2 Type II, ISO 27001, GDPR, HIPAA, PCI DSS |
| Supabase | Base de données Postgres + stockage | SOC 2 Type II, HIPAA |
| Stripe | Traitement des paiements | PCI DSS Level 1 |
| Resend | Envoi de courriels | SOC 2 Type II |
| Anthropic (Claude) | Conseiller IA | SOC 2 Type II |
Conséquence concrète : aucun numéro de carte de crédit n'est stocké sur les serveurs FIDΣLIS — ils sont traités directement par Stripe, qui est certifié PCI DSS niveau 1 (le plus haut).
Chiffrement
| Couche | Algorithme | Statut |
|---|---|---|
| Au repos (base de données) | AES-256 | ✅ Activé par défaut (Supabase) |
| En transit (réseau) | TLS 1.2+ | ✅ Forcé partout |
| Mots de passe | Bcrypt 10 rondes | ✅ Jamais réversibles |
| Codes 2FA | HMAC-SHA1 (RFC 6238) | ✅ Standard de l'industrie |
Ce que FIDΣLIS n'a pas encore
Soyons transparents :
- ❌ Pas de certification SOC 2 Type II propre à FIDΣLIS (l'audit coûte 25–50k$ et prend 6–12 mois ; planifié à mesure que nous croissons).
- ❌ Pas d'ISO 27001 propre.
- ❌ Pas de pentest externe documenté publiquement.
- ❌ Pas de SLA contractuel publié pour le moment.
Pour la majorité des PME québécoises (< 50 employés), les certifications de nos fournisseurs sont suffisantes. Pour des prospects exigeants (grandes entreprises, cabinets juridiques, hôpitaux), nous pouvons fournir sur demande la documentation détaillée et les certifications de nos partenaires.
Conformité légale québécoise
- Loi 25 (modernisation de la protection des renseignements personnels) — politique de confidentialité publiée, responsable PRP désigné, registre de traitements maintenu.
- TPS/TVQ, ARC, Revenu Québec — toute la logique fiscale reflète les règles en vigueur.
- Hébergement — données stockées dans des centres canadiens (Supabase région
ca-central-1).
Signaler un problème de sécurité
Si tu découvres une vulnérabilité, écris à security@fidelis-comptable.com plutôt que d'ouvrir un ticket public. Nous traitons toutes les soumissions sous 48h.