Posture de sécurité et de conformité.

Authentification

JWT à chaque requête. Courriel et mot de passe avec vérification. OAuth Google. SAML et OIDC pour le SSO entreprise. JWT par visiteur pour les surfaces intégrées.

Autorisation

RBAC au niveau du projet (Propriétaire, Administrateur, Éditeur, Lecteur). Réécriture de portée SQL au niveau AST (fondée sur sqlglot) injectant des clauses WHERE par locataire dans chaque requête. Défense à trois couches : intergiciel client, liste d'autorisation au niveau de la source, réécriture AST. Un bogue LLM, une tentative d'injection SQL ou une mauvaise configuration de règle est chacun intercepté par une autre couche.

Chiffrement

Chiffrement symétrique Fernet pour les identifiants au repos. TLS 1.2+ en transit. Secrets JWT chiffrés au repos. Clé maître en variable d'environnement, gérée via KMS en nuage.

Résidence des données

• Canada : AWS Canada Central, Montréal
• Union européenne : Hetzner Helsinki
• VPC client pour ceux qui l'exigent
• Sur site en mode isolé pour les environnements classifiés et de défense

Journalisation et audit

Chaque SQL exécuté est enregistré avec l'utilisateur, le locataire, le hachage SQL, la latence, le statut et l'utilisation des jetons. Chaque écriture inversée vers l'ERP est journalisée avec les corps complets de la requête et de la réponse. Journal d'audit du projet pour chaque changement d'adhésion, ajout de source et création de conversation. Liens de partage en lecture seule pour les auditeurs, disponibles pour les révisions de conformité.

Conservation

Les données des clients actifs sont conservées pendant la durée du contrat. Données des clients partis : 90 jours puis suppression définitive. Journaux d'audit : 7 ans. Sauvegardes : 30 jours.