Sécurité

Minimisation des données

• Accès Gmail en lecture seule. Pour la plupart des messages, seuls les en-têtes « De » et « Objet » sont lus.
• Seuls les messages des quatre expéditeurs de leads Centris et Realtor.ca sont ouverts et analysés, en mémoire.
• Seuls les champs du lead sont conservés, puis supprimés après 90 jours. Aucun contenu de courriel dans les journaux.

Chiffrement

• TLS 1.2+ partout, HSTS.
• Jetons d'actualisation Google et jetons GHL chiffrés AES-256-GCM, IV aléatoire, clés versionnées pour la rotation.
• Jetons d'accès gardés en mémoire seulement, le temps d'une requête.

Contrôle d'accès

• Authentification à deux facteurs TOTP obligatoire pour chaque page et action de l'application.
• Sessions limitées à 12 heures, déconnexion de toutes les sessions disponible.
• Sécurité au niveau des lignes : chaque utilisateur ne lit que ses propres données. Les opérations privilégiées se font uniquement côté serveur.

Sécurité applicative

• OAuth 2.0 avec PKCE et paramètre state signé à usage unique.
• Vérification du jeton signé par Google pour chaque notification Pub/Sub.
• Politique de sécurité du contenu stricte, anti-iframe, protection CSRF, validation des entrées, limitation du débit.
• Journal d'audit des actions sensibles, conservé 1 an.

Incidents

Les incidents de confidentialité présentant un risque de préjudice sérieux sont déclarés à la Commission d'accès à l'information et aux utilisateurs concernés, comme l'exige la Loi 25.

Signaler une vulnérabilité

Écris à security@soarsystems.co. Accusé de réception en 2 jours ouvrables.