Chez Beweird SAS, la sécurité de vos données patrimoniales est une priorité absolue. Cette page détaille les mesures techniques et organisationnelles mises en place pour protéger vos informations.

1. Chiffrement en transit

Protocole actif

TLS 1.3 (Transport Layer Security)

Toutes les communications entre votre navigateur et nos serveurs sont chiffrées via le protocole TLS 1.3, la version la plus récente et la plus sécurisée du standard HTTPS. Cela garantit que vos données (identifiants, photos de biens, documents) ne peuvent pas être interceptées lors de leur transmission.

Certificat SSL délivré par Vercel (Let's Encrypt / DigiCert)
HSTS (HTTP Strict Transport Security) activé — connexion HTTP impossible
Score A+ sur SSL Labs

2. Chiffrement au repos

Standard de chiffrement

AES-256 (Advanced Encryption Standard)

L'intégralité des données stockées sur nos serveurs — photos, documents, valeurs patrimoniales, informations de compte — est chiffrée au repos avec AES-256, le standard utilisé par les banques et les gouvernements du monde entier.

Base de données PostgreSQL chiffrée (Supabase)
Fichiers et documents chiffrés dans le stockage objet (S3-compatible)
Clés de chiffrement gérées par Supabase Vault (KMS)

3. Chiffrement applicatif des données sensibles

Pour les données particulièrement sensibles (documents légaux, numéros de série, estimations patrimoniales), Inventory Object applique un chiffrement applicatif supplémentaire côté serveur, indépendant du chiffrement de la base de données.

Algorithme : AES-256-GCM (avec vecteur d'initialisation unique par enregistrement)
Clé de chiffrement stockée dans Supabase Vault, jamais dans le code
Double couche : chiffrement applicatif + chiffrement base de données

4. Authentification & contrôle d'accès

L'authentification est gérée par Supabase Auth, qui implémente les meilleures pratiques de sécurité modernes.

Mots de passe hachés avec bcrypt (facteur de coût 10) — jamais stockés en clair
Tokens JWT signés (expiration 1 heure) + refresh token sécurisé (7 jours, rotation automatique)
Protection anti brute-force : blocage après 10 tentatives échouées sur 15 minutes
Politiques d'accès par lignes (Row Level Security) sur chaque table — isolation totale entre utilisateurs
Sessions révocables à tout moment depuis les paramètres du compte

5. Isolation des données (multi-tenant)

Inventory Object est une application multi-tenant : les données de chaque utilisateur sont strictement isolées de celles des autres.

Row Level Security (RLS) PostgreSQL — chaque requête SQL est automatiquement filtrée par l'identifiant de l'utilisateur authentifié
Un assureur ne peut accéder qu'aux inventaires de ses propres clients (relation explicite en base)
Un notaire ne peut accéder qu'aux dossiers pour lesquels il a été expressément autorisé, via un token d'accès horodaté
Les fichiers dans le stockage objet sont protégés par des URLs signées à durée limitée (7 jours), non devinables et non partageables

6. Certifications de nos hébergeurs

Prestataire	Rôle	Certifications
Supabase	Base de données & stockage	SOC 2 Type II, ISO 27001
Vercel	Hébergement application	SOC 2 Type II, ISO 27001
Stripe	Paiement	PCI DSS Level 1, SOC 1 & 2
Anthropic	Analyse IA (photos)	SOC 2 Type II — données non conservées

Les transferts de données hors UE (Supabase/Vercel/Anthropic — États-Unis) sont encadrés par les Clauses Contractuelles Types (CCT) approuvées par la Commission européenne.

7. Surveillance & gestion des incidents

Monitoring en temps réel des erreurs applicatives via Sentry
Journaux d'accès (audit logs) conservés 12 mois
Alertes automatiques en cas d'activité anormale
En cas de violation de données, Beweird SAS s'engage à notifier la CNIL dans les 72 heures (art. 33 RGPD) et les utilisateurs affectés sans délai injustifié (art. 34 RGPD)

8. Signaler une vulnérabilité

Si vous découvrez une faille de sécurité sur Inventory Object, nous vous encourageons à nous la signaler de manière responsable (responsible disclosure) avant toute divulgation publique.

Contactez notre équipe sécurité : security@inventoryobject.com

Nous nous engageons à accuser réception sous 48 heures et à traiter le rapport dans un délai raisonnable, en vous tenant informé de l'avancement.

9. Conformité RGPD

Le chiffrement et les mesures de sécurité décrites ci-dessus s'inscrivent dans le cadre de l'article 32 du RGPD, qui impose aux responsables de traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données personnelles.

Pour en savoir plus sur vos droits et nos engagements RGPD, consultez notre Politique de confidentialité.

DPO (Délégué à la Protection des Données) : dpo@inventoryobject.com — Beweird SAS, 128 rue La Boétie, 75008 Paris

Données chiffrées & Sécurité