Sécurité

Pratiques de sécurité de Quotery: chiffrement TLS 1.3, AES-256-GCM au repos, CDN Cloudflare, infrastructure Docker auto-hébergée, conservation des données et programme de divulgation des vulnérabilités pour les acheteurs enterprise.

Normes de chiffrement

Toutes les données transmises entre votre navigateur et Quotery sont chiffrées avec TLS 1.3 à l'aide de suites de chiffrement modernes. Au repos, les données client sont chiffrées avec AES-256-GCM. Les volumes de base de données utilisent un chiffrement géré par le fournisseur cloud. Les sauvegardes sont chiffrées selon la même norme avant de quitter le data center. Les clés d'API et les secrets sont hachés ou chiffrés avant stockage et ne sont jamais journalisés en texte clair.

Infrastructure

Quotery s'exécute sur une infrastructure Docker auto-hébergée, avec PostgreSQL 17 comme base de données principale et Redis 7 pour le cache et les fonctionnalités en temps réel. Les ressources statiques et le trafic API sont protégés par le réseau de Cloudflare (Tunnel + CDN), qui offre une atténuation DDoS, des règles WAF et une mise en cache en périphérie. L'application est déployée dans des conteneurs isolés avec des limites de ressources et une récupération automatique pilotée par des health checks. Les variables d'environnement et les secrets sont injectés depuis la configuration de déploiement et ne sont jamais enregistrés dans le contrôle de version.

Sous-traitants ultérieurs

Quotery fait appel aux sous-traitants ultérieurs suivants pour fournir la plateforme: OpenAI (importation de documents par IA — les PDF de clients, les fichiers Excel et CSV sont envoyés à OpenAI pour l'extraction de structure, la mise en correspondance des produits et la génération de résumés; aucune donnée client n'est utilisée pour l'entraînement de modèles); Stripe (traitement des paiements — les données de carte de paiement sont intégralement traitées par l'infrastructure PCI de Stripe; Quotery ne stocke ni ne traite jamais les informations de paiement); PostHog (analyse produit — données d'utilisation du produit anonymisées pour l'amélioration de la plateforme; aucune information personnelle identifiable n'est collectée); Grafana Cloud (surveillance de l'infrastructure — métriques de performance et journaux d'erreurs; aucune donnée client n'est incluse). Chaque sous-traitant ultérieur est lié par un accord de traitement des données conforme aux obligations de sécurité de Quotery.

Contrôle d'accès

Quotery applique une isolation multi-tenant stricte au niveau de la base de données. Les données de chaque tenant sont cloisonnées par un identifiant de tenant appliqué à chaque requête — aucun tenant ne peut accéder aux données d'un autre tenant via un quelconque endpoint de l'API. Le contrôle d'accès basé sur les rôles (RBAC) est intégré à la plateforme, avec des rôles prédéfinis (Admin, Manager, Utilisateur, Lecteur) qui limitent ce que chaque membre de l'équipe peut voir et faire. Les clients Enterprise peuvent configurer SAML SSO pour la fédération d'identité avec leur fournisseur d'identité existant. Tout accès à l'environnement de production est protégé par VPN, authentification par clé SSH et comptes utilisateur individuels avec gestionnaire de mots de passe obligatoire. Les accès sont journalisés et audités chaque trimestre.

Conservation des données

Les données client sont conservées pendant toute la durée de l'abonnement actif. Après la résiliation, les données du compte restent accessibles en mode lecture seule pendant 30 jours afin de permettre leur exportation. À l'issue de la période d'exportation de 30 jours, le compte et toutes les données associées sont définitivement supprimés. Les sauvegardes quotidiennes automatisées sont conservées pendant 90 jours. Les sauvegardes sont chiffrées au repos et en transit. Après 90 jours, les sauvegardes font l'objet d'une rotation automatique et sont définitivement détruites. Aucune donnée client n'est conservée au-delà de ces périodes, sauf si la loi applicable l'exige.

Conformité et certifications

La plateforme Quotery s'exécute sur une infrastructure Docker auto-hébergée protégée par Cloudflare. Quotery vise sa propre certification SOC 2 Type II; l'évaluation de préparation est terminée et la fenêtre d'audit est prévue pour fin 2026. Dans l'intervalle, nos pratiques de sécurité sont alignées sur les critères SOC 2: contrôles d'accès documentés, audits d'accès trimestriels, données chiffrées au repos et en transit, vérification automatisée des sauvegardes et un plan formel de réponse aux incidents. Les acheteurs enterprise peuvent demander notre questionnaire de sécurité et notre feuille de route de conformité à l'adresse [email protected].

Accord de Traitement des Données (DPA)

Un Accord de Traitement des Données est disponible pour tous les forfaits payants sur demande. Le DPA couvre les obligations de Quotery en tant que sous-traitant de données au titre du RGPD et de la LGPD, notamment: la limitation de la finalité (données traitées uniquement pour fournir la plateforme Quotery), la divulgation des sous-traitants ultérieurs (OpenAI, Stripe, PostHog, Grafana Cloud — listés ci-dessus avec leurs activités de traitement), l'assistance aux demandes des personnes concernées, la notification de violation sous 72 heures et la suppression ou la restitution des données client à la fin du contrat. Contactez [email protected] pour demander le DPA en vigueur. Le DPA intègre des Clauses Contractuelles Types (SCCs) pour les transferts transfrontaliers de données le cas échéant.

Signaler une vulnérabilité

Nous prenons la sécurité de notre plateforme au sérieux. Si vous découvrez une vulnérabilité de sécurité potentielle dans Quotery, veuillez la signaler à [email protected]. Nous accuserons réception sous 48 heures et travaillerons à prioriser et à résoudre le problème rapidement. Nous vous demandons de suivre des pratiques de divulgation responsable et de nous accorder un délai raisonnable pour corriger le problème avant toute divulgation publique. Nous ne proposons pas actuellement de programme formel de bug bounty, mais nous reconnaîtrons et créditerons les auteurs de signalements responsables dans nos notes de version.