Centre de sécurité

Vos données financières sont parmi les plus précieuses que vous nous confiez. Cette page vous explique, sans jargon inutile, comment Comptoo les protège, où elles sont stockées, qui y a accès et comment vous pouvez nous signaler une faille en toute confiance.

1. Notre engagement

Chez Comptoo, la sécurité n'est pas une fonctionnalité : c'est le fondement de la confiance. Lorsqu'il s'agit de finances personnelles, la sécurité passe avant les nouvelles fonctionnalités. Nous protégeons vos données en nous appuyant sur les recommandations publiées par l'ANSSI, la CNIL et l'ENISA, et cette page décrit précisément les mesures en place.

Nous nous engageons à :

• Mettre en œuvre des protections techniques et organisationnelles adaptées à la sensibilité de vos données, et les maintenir à jour ;
• Être transparents sur ce que nous protégeons et comment ;
• Notifier à la CNIL toute violation de données présentant un risque pour vos droits, et vous en informer sans tarder lorsque ce risque est élevé (articles 33 et 34 du RGPD).

2. Hébergement et infrastructure

L'ensemble de l'infrastructure Comptoo est hébergé au sein de l'Union européenne. L'identité de notre hébergeur figure dans nos mentions légales.

• Localisation des données : 100 % au sein de l'Union européenne (sauf transferts encadrés mentionnés dans la politique de confidentialité).

3. Chiffrement des données

3.1 Chiffrement en transit

Toutes les communications entre votre terminal et nos serveurs sont chiffrées (TLS dans ses versions récentes, HSTS activé).

3.2 Données stockées

• La base de données n'est accessible que depuis le serveur lui-même, jamais depuis Internet.
• Nos sauvegardes sont chiffrées avant d'être écrites sur le disque, et la clé n'est pas stockée avec elles.
• Vos mots de passe ne sont jamais stockés en clair : ils sont protégés par un algorithme de hachage (bcrypt).

4. Authentification et accès au compte

L'accès à votre compte est sécurisé par :

• Mot de passe robuste : exigences de longueur et de complexité, contrôlées à la création comme à chaque changement.
• Double authentification (2FA) par application authenticator (TOTP : Google Authenticator, Authy, 1Password, etc.), fortement recommandée et activable depuis vos paramètres de sécurité.
• Détection des connexions inhabituelles : notification par courrier électronique lorsqu'une connexion provient d'un appareil inconnu.
• Réinitialisation sécurisée du mot de passe : jetons à usage unique, à durée de vie limitée, transmis exclusivement à l'adresse électronique enregistrée.

5. Isolation et contrôle d'accès

• Isolation par utilisateur : chaque requête à l'API est authentifiée et autorisée. Les données d'un utilisateur ne sont jamais accessibles à un autre utilisateur (sauf partage explicite dans un Foyer ou une Ardoise).
• Contrôle d'accès : dans un Foyer ou une Ardoise, l'accès est réservé aux membres que vous avez explicitement invités, et vous choisissez ce que vous y partagez.
• Journal de sécurité : les événements liés à la sécurité de votre compte (connexions, échecs de connexion, verrouillages, changements d'adresse électronique ou de mot de passe) sont consignés et horodatés.

6. Sauvegardes et continuité

• Des sauvegardes chiffrées de la base de données sont réalisées régulièrement.
• Restauration : en cas d'incident, la base peut être ramenée à un état antérieur à l'incident.

7. Surveillance et détection d'incidents

• Surveillance continue de la disponibilité et des performances du service.
• Suivi des erreurs applicatives : les exceptions sont consignées, revues et corrigées.
• Alertes : une indisponibilité du service déclenche une alerte automatique.
• Protection des parcours d'authentification : les tentatives de connexion répétées sont limitées, et un compte se verrouille pendant 15 minutes après 5 échecs consécutifs.

8. Paiements et données bancaires

Comptoo n'est pas un service de paiement et ne collecte, ne traite ni ne stocke aucune donnée de carte bancaire de ses utilisateurs.

Le traitement des paiements est confié à Stripe Payments Europe Ltd, certifié PCI-DSS niveau 1. Vos données de carte bancaire transitent directement de votre navigateur vers Stripe, sans jamais passer par nos serveurs : Comptoo ne reçoit qu'un identifiant client et le statut de vos paiements, pour gérer votre abonnement.

Pour plus de détails, vous pouvez consulter la politique de Stripe.

9. Programme de divulgation responsable

Si vous identifiez une faille de sécurité ou un comportement anormal sur Comptoo, nous vous remercions de nous le signaler directement, avant toute divulgation publique. Nous nous engageons à :

• Accuser réception de votre signalement sous 72 heures ouvrées, à titre indicatif ;
• Travailler avec vous pour évaluer et corriger la faille ;
• Ne pas engager de poursuites à l'encontre de chercheurs respectant les règles ci-dessous.

9.1 Règles à respecter

• Ne pas exploiter la faille au-delà du minimum nécessaire à sa démonstration ;
• Ne pas accéder, modifier ou détruire des données d'autres utilisateurs ;
• Ne pas effectuer d'attaque par déni de service (DoS / DDoS) ni d'ingénierie sociale sur nos équipes ou nos prestataires ;
• Ne pas divulguer publiquement la faille avant qu'elle ne soit corrigée ;
• Respecter la vie privée des utilisateurs (pas de collecte de données personnelles).

10. Conformité réglementaire

• RGPD : voir notre Politique de confidentialité.
• Loi Informatique et Libertés n° 78-17 du 6 janvier 1978 modifiée.
• LCEN : loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique.
• Code de la consommation : notamment la résiliation en ligne (article L. 215-1-1, issu de la loi du 16 août 2022) et le droit de rétractation (articles L. 221-18 et suivants).

Comptoo n'étant pas un service de paiement, un teneur de compte, un PSAN ni un conseiller en investissement, aucun agrément AMF, ACPR ou Banque de France n'est requis et nos obligations relèvent du droit commun.

11. Votre rôle dans la sécurité

La sécurité est un effort partagé. Voici ce que vous pouvez faire pour protéger votre compte :

• Choisissez un mot de passe fort et unique (utilisez un gestionnaire de mots de passe : 1Password, Bitwarden, Dashlane, Proton Pass).
• Activez la double authentification (2FA) dès aujourd'hui.
• Maintenez votre navigateur et votre système d'exploitation à jour.
• Méfiez-vous des courriels suspects : nous ne vous demanderons jamais votre mot de passe par mail.
• Vérifiez systématiquement l'adresse comptoo.com dans la barre du navigateur avant de saisir vos identifiants.
• Si vous perdez l'accès à votre méthode de double authentification, une procédure de récupération encadrée est prévue : écrivez-nous depuis l'adresse électronique de votre compte, nous vous guiderons.

12. Contact sécurité

Pour tout signalement de faille, comportement anormal ou question liée à la sécurité :

• Courriel sécurité : security@comptoo.com, ou notre formulaire de contact
• Pour les questions liées à vos données personnelles : dpo@comptoo.com, ou notre formulaire de contact, motif « Mes données »