Centre de sécurité

Vos données financières sont parmi les plus précieuses que vous nous confiez. Cette page vous explique, sans jargon inutile, comment Comptoo les protège, où elles sont stockées, qui y a accès et comment vous pouvez nous signaler une faille en toute confiance.

1. Notre engagement

La sécurité n'est pas une fonctionnalité chez Comptoo : c'est une condition de confiance. Sans sécurité, il n'y a pas de service possible quand on parle de finance personnelle. Nous investissons en permanence dans la protection de vos données, en suivant les meilleures pratiques de l'industrie et les recommandations de l'ANSSI, de la CNIL et de l'ENISA.

Aucun système n'est invulnérable à 100 %, et nous préférons être honnêtes à ce sujet. En revanche, nous nous engageons à :

• Mettre en œuvre les protections techniques et organisationnelles à l'état de l'art ;
• Être transparents sur ce que nous protégeons et comment ;
• Notifier rapidement tout incident de sécurité susceptible d'affecter vos données (article 33 et 34 du RGPD).

2. Hébergement et infrastructure

L'ensemble de l'infrastructure Comptoo (serveurs applicatifs, base de données, sauvegardes, courrier électronique) est hébergé par Hetzner Online GmbH, un hébergeur allemand reconnu, dans son centre de données de Helsinki, Finlande, situé en Union européenne.

• Localisation des données : 100 % au sein de l'Union européenne (sauf transferts encadrés mentionnés dans la politique de confidentialité).
• Certifications de l'hébergeur : ISO 27001 (sécurité de l'information), ISO 9001 (qualité), ISO 14001 (environnement), ISO 50001 (énergie).
• Centre de données : contrôle d'accès biométrique, vidéosurveillance 24/7, redondance électrique et climatisation, alimentation provenant à 100 % d'énergies renouvelables.

3. Chiffrement des données

3.1 Chiffrement en transit

Toutes les communications entre votre terminal et nos serveurs sont chiffrées en TLS 1.3, le protocole le plus récent et le plus robuste de la famille TLS. Nous appliquons une politique stricte :

• HSTS (HTTP Strict Transport Security) activé sur tous les domaines ;
• Redirection automatique HTTP → HTTPS ;
• Désactivation des protocoles obsolètes (TLS 1.0, 1.1, SSL) ;
• Note A+ visée sur SSL Labs (Qualys SSL Test).

3.2 Chiffrement au repos

• La base de données PostgreSQL est stockée sur des volumes chiffrés AES-256 (chiffrement disque de bout en bout).
• Les sauvegardes sont chiffrées indépendamment avec une clé distincte, stockée séparément.
• Vos mots de passe ne sont jamais stockés en clair : ils sont protégés par bcrypt (facteur de coût 12), un algorithme conçu pour résister aux attaques par force brute.

4. Authentification et accès au compte

L'accès à votre compte est sécurisé par :

• Mot de passe robuste : minimum de 8 caractères avec exigences de complexité, vérifications anti-dictionnaire.
• Jetons signés JWT : vos sessions reposent sur des jetons signés cryptographiquement, à durée de vie courte.
• Rotation automatique des jetons de rafraîchissement : chaque renouvellement génère un nouveau jeton et invalide le précédent.
• Double authentification (2FA) par application authenticator (TOTP : Google Authenticator, Authy, 1Password, etc.), fortement recommandée et activable depuis vos paramètres de sécurité.
• Détection des connexions suspectes : notification par courrier électronique en cas de connexion depuis un nouveau terminal ou un nouveau pays.
• Réinitialisation sécurisée du mot de passe : jetons à usage unique, à durée de vie limitée, transmis exclusivement à l'adresse électronique enregistrée.

5. Isolation et contrôle d'accès

• Isolation par utilisateur : chaque requête à l'API est authentifiée et autorisée. Les données d'un utilisateur ne sont jamais accessibles à un autre utilisateur (sauf partage explicite dans un Espace Famille).
• Contrôle d'accès basé sur les rôles (RBAC) : dans un Espace Famille, chaque membre dispose d'un rôle précis (Propriétaire / Administrateur / Membre / Lecture seule) délimitant strictement ses droits.
• Journal d'audit : les actions sensibles (création de compte, modification du mot de passe, suppression d'entités, accès admin) sont systématiquement journalisées avec horodatage et adresse IP.

6. Sauvegardes et continuité

• Sauvegardes quotidiennes de la base de données, chiffrées au repos.
• Rétention 30 jours sur les sauvegardes quotidiennes, avec rotation automatique.
• Restauration à un instant donné (PITR) : capacité de revenir à n'importe quel instant des 7 derniers jours en cas d'incident logique.
• Plan de reprise d'activité : documenté, testé périodiquement, objectif RPO < 24 h / RTO < 4 h.

7. Surveillance et détection d'incidents

• Monitoring temps réel des indicateurs techniques (CPU, mémoire, latence, taux d'erreur).
• Suivi des erreurs applicatives via Sentry : chaque exception est tracée, anonymisée, agrégée et corrigée.
• Alertes 24/7 : les indicateurs critiques (chute du service, pic d'erreurs, échec des sauvegardes) déclenchent des alertes immédiates à l'équipe technique.
• Fail2ban : protection contre les attaques par force brute sur les endpoints d'authentification.
• Limitation de débit (rate limiting) : blocage automatique des requêtes anormalement nombreuses depuis une même adresse IP.

8. Mesures organisationnelles

• Accès production restreint : seules les personnes strictement habilitées disposent d'un accès à l'environnement de production, sous authentification forte.
• Authentification multi-facteurs obligatoire pour tout accès administratif.
• Principe du moindre privilège : chaque accès est accordé uniquement pour ce qui est strictement nécessaire à la mission.
• Journalisation systématique des accès administratifs.
• Séparation des environnements : les environnements de développement et de production sont strictement isolés, avec des bases de données distinctes et des credentials différents.
• Politique de sécurité interne : revue annuelle, intégration dans le processus de développement.

9. Paiements et données bancaires

Comptoo n'est pas un service de paiement et ne stocke aucune donnée bancaire.

• L'ensemble du traitement des paiements est délégué à notre prestataire Stripe Payments Europe Limited, certifié PCI-DSS niveau 1 (le plus exigeant).
• Vos données de carte bancaire transitent directement de votre navigateur vers Stripe, en chiffrement TLS 1.3, sans jamais transiter par nos serveurs.
• Comptoo ne reçoit de Stripe qu'un identifiant pseudonymisé (token) permettant de gérer votre abonnement.

Pour plus de détails, vous pouvez consulter la politique de Stripe.

10. Programme de divulgation responsable

Si vous identifiez une faille de sécurité ou un comportement anormal sur Comptoo, nous vous remercions de nous le signaler directement, avant toute divulgation publique. Nous nous engageons à :

• Accuser réception de votre signalement sous 72 heures ouvrées ;
• Travailler avec vous, en bonne foi, pour évaluer et corriger la faille ;
• Vous remercier publiquement (avec votre accord) une fois la faille corrigée ;
• Ne pas engager de poursuites à l'encontre de chercheurs respectant les règles ci-dessous.

10.1 Règles à respecter

• Ne pas exploiter la faille au-delà du minimum nécessaire à sa démonstration ;
• Ne pas accéder, modifier ou détruire des données d'autres utilisateurs ;
• Ne pas effectuer d'attaque par déni de service (DoS / DDoS) ni d'ingénierie sociale sur nos équipes ou nos prestataires ;
• Ne pas divulguer publiquement la faille avant qu'elle ne soit corrigée ;
• Respecter la vie privée des utilisateurs (pas de collecte de données personnelles).

10.2 Programme bug bounty

Comptoo ne dispose pas encore d'un programme de prime de bug formalisé, mais nous étudions la mise en place d'un partenariat avec une plateforme reconnue (YesWeHack, Bug Bounty Hunter) à mesure de notre croissance. En attendant, nous reconnaissons publiquement (avec votre accord) toute contribution significative à la sécurité de Comptoo.

11. Conformité réglementaire

• RGPD : voir notre Politique de confidentialité.
• Loi Informatique et Libertés n° 78-17 du 6 janvier 1978 modifiée.
• LCEN : loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique.
• Code de la consommation : notamment articles relatifs à la résiliation en ligne (Loi Hamon) et au droit de rétractation.

Comptoo n'étant pas un service de paiement, un teneur de compte, un PSAN ni un conseiller en investissement, aucun agrément AMF, ACPR ou Banque de France n'est requis et nos obligations relèvent du droit commun.

12. Votre rôle dans la sécurité

La sécurité est un effort partagé. Voici ce que vous pouvez faire pour protéger votre compte :

• Choisissez un mot de passe fort et unique (utilisez un gestionnaire de mots de passe : 1Password, Bitwarden, Dashlane, Proton Pass).
• Activez la double authentification (2FA) dès aujourd'hui.
• Maintenez votre navigateur et votre système d'exploitation à jour.
• Méfiez-vous des courriels suspects : nous ne vous demanderons jamais votre mot de passe par mail.
• Vérifiez systématiquement l'adresse comptoo.com dans la barre du navigateur avant de saisir vos identifiants.
• Si vous perdez l'accès à votre méthode 2FA, contactez immédiatement security@comptoo.com avec une preuve d'identité.

13. Contact sécurité

Pour tout signalement de faille, comportement anormal ou question liée à la sécurité :

• Courriel sécurité : security@comptoo.com
• Pour les questions liées à vos données personnelles : dpo@comptoo.com