Hébergé au Québec · 2FA · sauvegardes chiffrées
Sécurité et protection des données Vos données.
Sécurité et protection des données Vos données.
Hébergées au Québec.
Hébergé au Québec, Canada. Sauvegardes quotidiennes chiffrées avec une clé que je ne garde pas sur le serveur. Une base de données séparée pour chaque client. Double authentification obligatoire sur tous les comptes. Ce que je fais, décrit simplement.
Hébergement au Québec
Le serveur est dans un centre de données au Québec, Canada, derrière un CDN et un pare-feu applicatif. Le paiement, l'envoi des courriels et la protection du site reposent sur des fournisseurs qui peuvent traiter des données hors du Canada ; ils sont nommés dans la Politique de confidentialité.
- Centre de données : Québec, Canada
- HTTPS sur toutes les connexions (TLS 1.2 / 1.3)
- Geo-blocking des pages publiques : Amérique du Nord + UE uniquement
- Surveillance externe de la disponibilité toutes les 5 minutes
Protéger les renseignements de vos clients
Des outils intégrés au CRM pour gérer les renseignements personnels que vous détenez sur vos clients.
- Consentements par canal sur chaque contact (courriel, SMS, téléphone), datés
- Consentement distinct pour les campagnes
- Journal des modifications : qui a changé quoi, et quand
- Export Excel ou CSV de vos contacts et entreprises
Signature électronique
Conçue selon les principes de la LCJTI : qui a signé, son consentement explicite, et une preuve horodatée envoyée au signataire. Ce que dit la LCJTI, article par article
- Lien unique de 256 bits par signataire, sans compte à créer
- PDF de preuve : horodatage, adresse IP, navigateur, empreintes SHA-256
- Limite : 30 consultations / 5 envois par minute par IP
- Usage unique : une fois signé, le lien ne permet plus de signer
Double authentification — obligatoire
Codes à usage unique depuis n'importe quelle application d'authentification. Obligatoire sur tous les comptes — comme à la banque, mais pour votre CRM.
- Google Authenticator, Microsoft, Bitwarden, Authy, 1Password
- 8 codes de récupération à usage unique
- Délai fixe de 14 jours pour l'activer
- Appareil perdu : codes de récupération
Sauvegardes chiffrées
Sauvegardes quotidiennes sur trois niveaux, chiffrées avant de quitter le serveur. La phrase secrète est conservée hors de l'infrastructure d'hébergement.
- Sauvegardes quotidiennes chiffrées de la base (AES-256)
- 7 jours sur le serveur + 30 jours dans un centre de données en Ontario
- Phrase secrète de 40 caractères conservée hors de l'infrastructure d'hébergement
- Procédure de restauration documentée et testée
Une base de données par client
Chaque client a sa propre base de données, avec ses propres identifiants limités à cette base. Vérifié lors d'un audit interne.
- Base de données dédiée + identifiants dédiés par client
- Mots de passe aléatoires de 32 caractères
- Tests automatisés d'accès entre clients
- Une instance applicative distincte par client
Ce que je fais sans en parler.
- Analyse automatique des vulnérabilités des dépendances (Composer audit + Dependabot)
- Correctifs du noyau et redémarrage mensuels automatiques
- Rapport de sécurité hebdomadaire envoyé à l'administrateur
- Mises à jour de sécurité du système appliquées automatiquement chaque jour
- Pare-feu applicatif + geo-blocking sur les pages publiques
- Surveillance externe de la disponibilité toutes les 5 minutes
- Protection d'accès additionnelle sur les surfaces d'administration (code à usage unique)
/ faq
Sécurité — questions fréquentes
Où exactement mes données sont-elles stockées ?
La base de données et les fichiers déposés sont hébergés au Québec, Canada. Les sauvegardes quotidiennes chiffrées sont conservées dans un centre de données en Ontario. Certains services sur lesquels je m'appuie — paiement, envoi de courriels, protection du site — peuvent traiter des données hors du Canada ; ils sont nommés dans la Politique de confidentialité.
Les données sont-elles chiffrées ?
En transit, oui : toutes les connexions passent en HTTPS (TLS 1.2 ou 1.3). Les sauvegardes sont chiffrées en AES-256 avec une phrase secrète de 40 caractères conservée hors de l'infrastructure d'hébergement : une sauvegarde volée reste illisible. La base de données en service est protégée par les contrôles d'accès du serveur plutôt que par un chiffrement du disque.
Les autres clients peuvent-ils voir mes données ?
Non. Chaque client a sa propre base de données, avec ses propres identifiants limités à cette base. Même si les identifiants d'un client fuyaient, ils n'ouvriraient que les données de ce client. Cette isolation a été vérifiée lors d'un audit interne et est couverte par des tests automatisés.
Quelles options de double authentification ?
Codes TOTP de n'importe quelle application standard : Google Authenticator, Microsoft Authenticator, Bitwarden, 1Password, Authy. 8 codes de récupération à usage unique sont générés à l'activation. La double authentification est obligatoire pour tous les comptes, avec un délai fixe de 14 jours pour l'activer.
Quels outils pour protéger les renseignements de mes clients ?
Des consentements par canal sur chaque contact (courriel, SMS, téléphone) avec leur date, un consentement aux campagnes, un journal des modifications de vos fiches, l'export Excel ou CSV de vos contacts et entreprises, et la double authentification obligatoire pour votre équipe.
Et les sauvegardes — puis-je restaurer ?
Oui. Les sauvegardes sont quotidiennes, sur trois niveaux : 7 jours sur le serveur, 30 jours dans un centre de données en Ontario, et une copie hors réseau optionnelle pendant 14 jours. La procédure de restauration est documentée et a été testée.
Comment les mots de passe sont-ils stockés ?
Hachés avec bcrypt, jamais réversibles : je ne peux pas voir votre mot de passe. La réinitialisation passe par un lien à usage unique envoyé à votre courriel. Si vous perdez votre appareil de double authentification, les codes de récupération vous permettent de rentrer.
Que se passe-t-il en cas d'incident de sécurité ?
J'avise les clients touchés dans les meilleurs délais. Le journal des modifications aide à établir ce qui a changé, quand et par qui, et les sauvegardes conservées dans une autre région permettent de restaurer même si le serveur de production est compromis.
Êtes-vous certifiés SOC 2 / ISO 27001 ?
Non — ces certifications sont coûteuses et destinées à de plus grandes organisations. J'applique les contrôles décrits sur cette page (sauvegardes chiffrées, accès minimum, journaux des modifications, double authentification obligatoire, analyse des dépendances, rapports de sécurité hebdomadaires), sans attestation tierce.
Avez-vous un rapport de sécurité public ?
Pas encore sur une page publique. Je transmets des notes de transparence sur demande (disponibilité, correctifs de sécurité appliqués, incidents le cas échéant) : écrivez à info@crmpme.ca.