Sécurité chez Complair

Complair est un workspace de conformité qui traite des données réglementaires sensibles. La sécurité n'est pas une considération secondaire — c'est une exigence produit essentielle. Nous appliquons la défense en profondeur : plusieurs couches de protection afin qu'aucun point de défaillance unique ne puisse compromettre les données clients.

• Fournisseur : Hetzner Online GmbH — un hébergeur allemand disposant de data centers certifiés ISO 27001.
• Localisation : Francfort, Allemagne (Union européenne). Toutes les données applicatives — base de données, sauvegardes, stockage de fichiers — restent dans l'UE.
• Base de données : PostgreSQL, exécutée sur des instances dédiées avec des volumes de stockage chiffrés.
• Réseau : des règles de pare-feu imposent un accès à privilège minimal. Accès SSH par clé uniquement ; aucune connexion par mot de passe aux serveurs. Tout le trafic d'administration est chiffré.
• Correctifs : les mises à jour du système d'exploitation et des dépendances sont appliquées régulièrement. Les correctifs de sécurité critiques sont appliqués dans les 24 heures suivant la divulgation.

• Authentification : gestion de session via Devise avec cookies sécurisés HTTP-only et SameSite. Les sessions sont limitées au workspace.
• Politique de mot de passe : longueur minimale imposée ; détection des mots de passe compromis via les contrôles intégrés de Devise.
• Accès basé sur les rôles : trois rôles (member, admin, owner) imposés par des politiques Pundit à chaque action de contrôleur.
• Workspaces sur invitation : les nouveaux utilisateurs ne peuvent rejoindre un workspace que sur invitation explicite d'un admin ou d'un owner.
• Gestion des sessions : les sessions expirent après inactivité. Les utilisateurs peuvent se déconnecter de tous les appareils.

• Protections du framework : Rails fournit des protections intégrées contre CSRF, XSS, l'injection SQL, l'affectation massive (mass assignment) et le clickjacking. Toutes sont activées.
• Content Security Policy : un en-tête CSP est appliqué afin de réduire le risque de cross-site scripting et d'injection de données.
• Analyse des dépendances : analyse automatisée des vulnérabilités connues dans les gems Ruby et paquets JavaScript. Les alertes sont triées sous 24 heures.
• Analyse statique : Brakeman (scanner de sécurité Rails) s'exécute dans le pipeline CI. Les nouvelles détections bloquent le déploiement.
• Limitation de débit : Rack::Attack limite les tentatives d'authentification, les appels API et autres vecteurs d'abus.
• Filtrage des paramètres : les champs sensibles (mots de passe, tokens, clés API) sont filtrés des journaux.

• Minimisation des données : nous ne collectons que le nécessaire à la fourniture du Service. Les journaux sont dépouillés des champs sensibles.
• Traitement IA : lorsque les fonctions d'IA sont utilisées, les prompts sont envoyés à Anthropic (API Claude) selon leurs conditions commerciales. Anthropic n'utilise pas les données des prompts pour entraîner ses modèles. Nous n'utilisons pas les Données Clients pour entraîner nos propres modèles.
• Conservation : les Données Clients sont conservées pendant la durée de l'abonnement + 30 jours pour export. Les sauvegardes sont rotées sous 35 jours. Les factures sont conservées 10 ans selon la loi comptable roumaine (Loi n° 82/1991).
• Suppression : à la résiliation du compte, toutes les Données Clients sont supprimées définitivement de la production sous 30 jours. Les clients peuvent demander une suppression anticipée.
• Portabilité : les clients peuvent exporter leurs données à tout moment au format PDF, Excel et en formats structurés.

• Journalisation applicative : journaux structurés pour les événements d'authentification, les décisions d'autorisation, les accès aux données et les actions administratives.
• Piste d'audit : toutes les actions utilisateurs significatives sont enregistrées dans un journal d'audit immuable accessible aux administrateurs du workspace.
• Supervision des erreurs : Sentry (hébergé en UE) capture les erreurs applicatives avec suppression des données personnelles des traces.
• Alerte : détection d'anomalies sur les pics d'échecs de connexion, les usages API inhabituels et la santé de l'infrastructure.
• Rétention des journaux : journaux applicatifs conservés 30 jours. Journaux d'audit conservés 2 ans.

• Tout le personnel ayant accès aux Données Clients signe un accord de confidentialité.
• L'accès aux systèmes de production suit le principe du moindre privilège et est revu chaque trimestre.
• Une formation de sensibilisation à la sécurité est dispensée chaque année.
• Les procédures de sortie garantissent la révocation immédiate de tous les accès au départ.

Nous travaillons activement à l'obtention de la certification SOC 2 Type II. Pour un questionnaire de sécurité à jour ou un dossier de preuves, contactez security@complair.eu.

Nous saluons la recherche en sécurité responsable. Si vous découvrez une vulnérabilité dans Complair, veuillez la signaler à security@complair.eu.

• Fournissez une description claire de la vulnérabilité et les étapes pour la reproduire.
• Accordez-nous un délai raisonnable pour investiguer et corriger avant toute divulgation publique.
• N'accédez pas, ne modifiez pas et ne supprimez pas les données d'autres clients.
• Nous accusons réception sous 2 jours ouvrés et visons la résolution des problèmes confirmés sous 30 jours.

Questions de sécurité, demandes de questionnaires fournisseurs ou signalements d'incidents :