CoproPilot

Sécurité & conformité

Vos données de copropriété, en France et auditables.

Hébergement en France, chiffrement de bout en bout, journal d’audit infalsifiable, code source publiquement auditable. Voici concrètement comment nous protégeons les informations que vous nous confiez.

Hébergement et résidence des données

  • Données hébergées exclusivement en France, chez un hébergeur certifié, conformément au RGPD.
  • Aucun transfert hors UE pour les données personnelles des copropriétaires.
  • Sauvegardes chiffrées quotidiennes avec rotation et conservation configurable.

Chiffrement

  • TLS 1.2+ obligatoire pour toutes les communications client → serveur.
  • Chiffrement AES-256-GCM en base pour les informations bancaires sensibles (IBAN).
  • Mots de passe stockés en hash via les standards de Better Auth (bcrypt / scrypt).

Journal d’audit infalsifiable

  • Chaîne de hachage SHA-256 sur chaque écriture sensible : impossible d’altérer un événement sans casser la chaîne.
  • Endpoint /api/audit/verify-chain pour qu’un administrateur vérifie l’intégrité à tout moment.
  • Identifiant de corrélation (X-Request-Id) propagé sur chaque requête pour tracer un incident bout en bout.

Authentification & contrôle d’accès

  • Authentification gérée par Better Auth (email + mot de passe), verrouillage automatique après 5 échecs (fenêtre 15 minutes).
  • Protection CSRF par double-submit cookie sur toutes les routes mutantes.
  • Contrôle d’accès par rôle (syndic, user, copropriétaire) côté serveur — jamais uniquement côté client.

RGPD & droits des personnes

  • Export complet de vos données en JSON (Article 20 du RGPD) accessible depuis votre compte.
  • Effacement sur demande (Article 17) avec piste d’audit conservée pour les obligations légales.
  • Sous-traitants documentés (DPA) ; aucun outil de tracking publicitaire embarqué dans le produit.

Transparence open core

  • Le code source du backend et du frontend est publiquement consultable sur GitHub.
  • Vous (ou votre RSSI) pouvez auditer les flux de données, les middlewares et la stack avant de signer.
  • Les CVE remontées par npm audit sont traitées dans la CI, pas dans des releases opaques.

Questions de sécurité fréquentes

Pouvez-vous signer un DPA / Avenant RGPD ?+

Oui, pour les plans Entreprise. Pour les plans grand public, le contrat d’abonnement couvre déjà les engagements de l’article 28 du RGPD : finalités, durée, sécurité, sous-traitants ultérieurs.

Que se passe-t-il en cas d’incident de sécurité ?+

Nous notifions les utilisateurs concernés dans les 72 heures conformément à l’article 33 du RGPD, et la CNIL si la gravité le justifie. Le journal d’audit permet de circonscrire précisément le périmètre touché.

Puis-je exporter mes données si je quitte CoproPilot ?+

À tout moment. L’export RGPD couvre les copropriétés, lots, copropriétaires, charges, paiements, AG, documents, et historique d’audit. Le format JSON est suffisamment standard pour être réimporté dans la plupart des outils.

Est-ce qu’un administrateur CoproPilot peut lire mes données ?+

Seul un nombre restreint d’ingénieurs y a un accès technique pour les besoins d’exploitation, et cet accès est tracé dans le journal d’audit. Aucun accès commercial ou marketing n’est autorisé sur les données métier.

Une question sécurité spécifique ?

Écrivez-nous, nous répondons sous 48 h ouvrées. Pour les audits formels (RSSI, DPO), nous fournissons sur demande un mémo technique détaillant la stack et les flux de données.

Contacter l’équipe sécuritéVoir le code sur GitHub