Sécurité et architecture technique

Conformitiel est hébergée exclusivement sur des infrastructures françaises certifiées, sans aucune donnée ni traitement hors de l'Union européenne.

Toutes les données sensibles sont chiffrées au repos et en transit. Aucun accès en clair par l'équipe Conformitiel n'est possible sur les données métier des cabinets.

Chaque cabinet est une organization logique. Toutes les requêtes SQL sont filtrées côté service par organizationId — impossible d'accéder aux données d'un autre cabinet, même en cas de bug de contrôleur.

• 31 tables sur 42 portent la colonne organization_id avec FK ON DELETE CASCADE.
• Les services async Drizzle valident systématiquement le filtre dans le WHERE — audit codé.
• Routes API : appel obligatoire à getRequiredAuth() puis requirePermission(role, module, action, organizationId).
• Les tokens Bearer API sont scopés à une organization unique.

4 rôles couvrent 22 modules fonctionnels, chacun avec des actions précises (read, write, delete, export, validate_hierarchique).

Les 22 modules sont paramétrables par override par organization via l'écran /admin/permissions. Résolution en 3 niveaux : override org → override global → matrice statique.

Chaque action opposable (criblage, fiche vigilance créée, validation, gel, DS Tracfin, signature électronique...) est loggée dans la table control_logs avec :

• Horodatage UTC (précision millseconde)
• Utilisateur ayant déclenché l'action (ou null pour les actions externes tracées comme le portail collecte)
• Type d'action + catégorie fonctionnelle
• Metadata JSON (contexte : ids, hashes, résultats)
• Hash SHA-256 chaîné avec le log précédent — la modification d'un log casse la chaîne, détectable par le job cron /api/admin/verify-chain

Base juridique : Art. L.561-12 CMF (conservation 5 ans opposable en cas de contrôle ACPR / autorité de tutelle).

Les documents opposables (dossiers LCB-FT PDF, rapports criblage, fiches vigilance PDF, PDFs signés électroniquement) sont stockés en mode WORM (Write Once Read Many) avec S3 Object Lock en mode COMPLIANCE.

• Rétention 5 ans obligatoire (Art. L.561-12 CMF) — impossible de supprimer avant expiration, même pour un admin OVH.
• Empreinte SHA-256 calculée avant upload et stockée en DB — vérifiable par recalcul après téléchargement.
• Horodatage RFC 3161 optionnel via TSA FreeTSA (pour les audits individuels).
• Dédup 24h par contenu : un même contenu re-généré ne consomme pas d'espace en double.
• Soft-delete au niveau DB uniquement — le fichier S3 reste immuable pour audit historique.

En cas d'incident de sécurité (fuite de données, indisponibilité majeure, compromission suspectée), notre procédure interne s'engage sur les délais suivants :

• Détection → confinement : < 1h (bascule DNS, révocation de tokens, isolation d'instance).
• Communication aux clients impactés : < 24h, email direct + bandeau dans l'app.
• Notification CNIL : < 72h en cas de fuite de données personnelles (RGPD art. 33).
• Post-mortem public : < 7 jours ouvrés, sur /status (à venir).

Signalement responsable de vulnérabilité : security@conformitiel.fr — nous nous engageons à répondre sous 48h ouvrées. Programme bug bounty non public à ce stade, hall of fame en préparation.

Conformitiel agit en tant que sous-traitant du cabinet client (Art. 28 RGPD). Le cabinet reste responsable de traitement pour les données KYC/LCB-FT qu'il collecte auprès de ses propres clients.

• DPA modèle signable en ligne (Data Processing Agreement).
• Liste des sous-traitants ultérieurs (OVH, Resend, Sentry, Stripe pour billing).
• Politique de confidentialité détaillée.
• Droits d'accès / rectification / effacement : demande viaprivacy@conformitiel.fr — traité sous 30 jours.
• Registre des traitements disponible sur demande auprès du DPO (contact ci-dessus).

Note : les données LCB-FT (fiches vigilance, criblages, gels) relèvent d'une obligation légale de conservation 5 ans (Art. L.561-12 CMF) qui prime sur le droit à l'effacement RGPD pour la durée de conservation légale.