Isolation des données

Architecture multi-tenant avec des frontières imposées par la base de données.

Sécurité au niveau des lignes PostgreSQL

Chaque table à portée tenant dispose d'une politique de sécurité au niveau des lignes qui filtre les lignes par organisation. Imposé par Postgres lui-même, pas par le code applicatif, de sorte que même un bug dans nos contrôleurs ne peut pas divulguer des données entre tenants.

Contexte tenant par requête

Chaque requête définit une variable de session Postgres (SET LOCAL) avec l'identifiant de l'organisation authentifiée. Les politiques RLS référencent cette variable, garantissant que les requêtes ne retournent jamais les lignes d'un autre tenant.

Clés primaires UUID

Tous les enregistrements utilisent des identifiants UUIDv4 au lieu d'entiers séquentiels. Les identifiants de ressources ne peuvent être ni devinés ni énumérés.

Chiffrement

Données protégées en transit et au repos.

TLS partout

Tout le trafic est chiffré avec TLS. HTTPS est imposé en production avec des en-têtes HSTS, et les requêtes HTTP en clair sont automatiquement redirigées.

Attributs sensibles chiffrés

Les attributs démographiques (genre, ethnicité, département) utilisés pour l'analyse d'équité sont chiffrés au niveau applicatif avec AES-256-GCM avant d'être écrits dans la base de données.

Clés API hachées

Les clés API sont hachées en SHA-256 avant stockage. Nous ne stockons jamais le jeton brut. Il est affiché une seule fois à la création et ne peut plus être récupéré.

Hachage des mots de passe avec bcrypt

Les mots de passe des utilisateurs sont hachés avec bcrypt. Les mots de passe bruts ne sont jamais stockés ni journalisés.

Anonymat et confidentialité

La confiance des employés est le fondement de données culturelles honnêtes.

Seuil minimum de 5+ réponses

Les groupes en dessous du seuil d'anonymat, au moins 5 réponses et configurable plus haut par organisation, sont automatiquement masqués de tous les tableaux de bord, exports et rapports. Cela empêche les responsables d'identifier des répondants individuels dans les petites équipes.

Reporting agrégé uniquement

Tous les scores culturels, les indicateurs d'équité et les rapports de conformité sont calculés à partir de données agrégées. Les réponses individuelles aux sondages ne sont jamais affichées aux administrateurs ou aux responsables.

Aucune identification individuelle

Les réponses aux sondages sont pseudonymes et ne sont jamais montrées aux responsables ou administrateurs sous forme de fiches individuelles, uniquement dans un agrégat de 5 réponses ou plus. Le contrôle d'accès basé sur les rôles et la sécurité au niveau des lignes l'appliquent au niveau de la base de données et de l'application.

Visibilité du Canal par dossier

Seuls les enquêteurs assignés à un dossier et le responsable du système désigné par l'organisation peuvent l'ouvrir. Un administrateur de l'organisation qui n'est ni l'un ni l'autre est refusé, et l'usurpation d'identité par un administrateur ne le contourne pas. Chaque accès et chaque tentative refusée sont inscrits dans le journal d'audit.

Conservation du Canal

Les signalements sans enquête ouverte après 3 mois sont supprimés, contenu et données personnelles, ne laissant qu'une ligne de comptage anonyme. Les dossiers clos sont purgés 10 ans après leur clôture, ou plus tôt au choix de l'organisation. Chaque exécution est auditée avec des totaux.

Sécurité applicative

En-têtes, politiques et protections du navigateur.

Content Security Policy

Une CSP stricte restreint les sources de scripts, styles, images et frames. frame-ancestors est défini sur 'none' pour prévenir le clickjacking.

Liste blanche stricte des paramètres

Toutes les actions des contrôleurs utilisent des listes de permission explicites des paramètres. L'autorisation globale est interdite par la politique du projet et vérifiée lors de la revue de code.

Filtrage des paramètres sensibles

Les mots de passe, jetons, clés API et autres valeurs sensibles sont automatiquement expurgés des journaux applicatifs.

Tests de sécurité continus

Vérifications automatisées à chaque commit.

Brakeman

Analyseur statique qui vérifie les injections SQL, XSS, l'assignation de masse et d'autres vulnérabilités spécifiques à Rails à chaque exécution CI.

bundler-audit

Vérifie toutes les dépendances de gems Ruby dans la base de données d'avis de sécurité Ruby pour les CVE connues avant chaque déploiement.

importmap:audit

Analyse les dépendances JavaScript vendorisées à la recherche de vulnérabilités connues.

Des questions sur nos pratiques de sécurité ?

Nous sommes à votre disposition pour discuter de notre architecture, répondre aux questionnaires de sécurité ou vous présenter notre approche de la protection des données des employés.

Nous contacter

Où vivent vos données

Les données clients sont stockées sur des serveurs. Le trafic transite par le réseau de Cloudflare. Si vous connectez une intégration facultative dont le siège est hors de l'EEE (Slack, Microsoft, Google, Okta, BambooHR, Gusto), les données que vous choisissez de synchroniser sont transférées selon les conditions de ce fournisseur, le cadre de protection des données UE-États-Unis ou les clauses contractuelles types.

Dossier de sécurité et d'achat

Ce que demande un questionnaire de sécurité. Chaque élément renvoie au document dès qu'il est publié ; pour le reste, demandez-le et nous vous l'envoyons.

Accord de traitement des données (art. 28 RGPD) Disponible sur demande: Demander par e-mail
Liste des sous-traitants ultérieurs Consulter
Mesures techniques et organisationnelles Consulter
Modèle d'AIPD pour les enquêtes psychosociales et le suivi du temps Disponible sur demande: Demander par e-mail
Engagement de notification des violations (sous 48 heures) Consulter
Politique de sauvegarde et de restauration Disponible sur demande: Demander par e-mail
Calendrier de conservation Consulter
Résumé du test d'intrusion Disponible sur demande: Demander par e-mail
Déclaration d'accessibilité (EN 301 549) Disponible sur demande: Demander par e-mail

Certifications

ISO 27001 (prévu)
ENS Básica (prévu)
SOC 2 (prévu) États-Unis, plus tard.

Sous-traitants ultérieurs

Parties qui traitent des données clients pour notre compte.

Nom	Finalité	Localisation	Base du transfert
À confirmer	Hébergement de serveurs	À confirmer	À confirmer
Cloudflare, Inc.	CDN, proxy et protection DDoS	Réseau mondial, entité américaine	Cadre de protection des données UE-États-Unis et clauses contractuelles types
À confirmer	E-mail transactionnel	À confirmer	À confirmer

Intégrations que vous activez

Facultatives et à l'initiative du client : vous choisissez de les connecter et vous contractez avec le fournisseur. Ce ne sont pas des sous-traitants ultérieurs de ClimaHQ.

Fournisseur	Siège	Accord de traitement des données
Slack	États-Unis	DPA du fournisseur Vérifié le 2026-10-14
Microsoft	États-Unis	DPA du fournisseur Vérifié le 2026-10-14
Google	États-Unis	DPA du fournisseur Vérifié le 2026-10-14
Okta	États-Unis	DPA du fournisseur Vérifié le 2026-10-14
BambooHR	États-Unis	DPA du fournisseur Vérifié le 2026-10-14
Gusto	États-Unis	DPA du fournisseur Vérifié le 2026-10-14
Personio	Allemagne	DPA du fournisseur Vérifié le 2026-10-14
HiBob	À confirmer	DPA du fournisseur Vérifié le 2026-10-14
Factorial	Espagne	DPA du fournisseur (accès sur demande) Vérifié le 2026-10-14

Demander le dossier de sécurité