Sécurité

Tout circule par TLS. Rien dans CubeBooks n'est servi en HTTP simple, et les applications mobiles refusent un certificat non fiable plutôt que de se rabattre sur autre chose.

Au repos, la base de données et le stockage de fichiers qui contient tes reçus et tes documents sont tous deux chiffrés en AES-256 par notre hébergeur.

L'accès est contrôlé dans la base de données elle-même, pas seulement dans l'application. Chaque table a la sécurité au niveau des lignes activée, et ses politiques sont écrites en fonction de ton appartenance à l'entreprise : une requête pour une ligne appartenant à une entreprise dont tu n'es pas membre ne retourne rien, peu importe ce que le client demande.

C'est important, car un bogue dans un écran ne peut pas devenir une fuite de données : ce n'est pas l'écran qui décide de ce que tu peux voir.

Nous ne voyons jamais ta carte. Les données de paiement vont de ton navigateur à Stripe, un fournisseur PCI-DSS de niveau 1, et ce qui nous parvient est un jeton qui sert à facturer l'abonnement et à rien d'autre.

Les connexions bancaires passent par Plaid. Tes identifiants bancaires sont saisis sur l'écran de Plaid et ne nous sont jamais transmis ni stockés chez nous; ce que nous recevons, ce sont des données de transactions en lecture seule.

L'accès administratif à la production est limité aux ingénieurs qui en ont besoin pour exploiter le service, protégé par une authentification multifacteur, et utilisé pour exploiter la plateforme, pas pour lire les livres des clients.

Si tu ouvres une demande de soutien qui nous oblige à consulter tes données, nous te demanderons d'abord ton accord.

Les mots de passe sont hachés, jamais stockés sous une forme que nous pourrions lire, et jamais demandés dans un courriel de soutien : si quelqu'un te demande ton mot de passe CubeBooks, ce n'est pas nous.

Les membres de l'équipe sont invités avec un rôle, et les rôles sont appliqués côté serveur : un comptable ne peut pas modifier ta facturation, et un lecteur ne peut pas comptabiliser une écriture.

La base de données est sauvegardée chaque jour et permet une récupération à un moment précis sur une fenêtre de 7 jours. Les sauvegardes sont chiffrées et conservées 35 jours.

Tu peux aussi faire ta propre copie en tout temps : Paramètres offre une exportation complète des données de ton entreprise dans un format ouvert.

Écris à security@cubebooks.ai. Nous accuserons réception dans les deux jours ouvrables et te tiendrons au courant jusqu'à la résolution. Nous n'intenterons aucune poursuite contre une personne qui signale de bonne foi un vrai problème et nous laisse une chance raisonnable de le corriger avant de le divulguer.

Ne fais pas de tests sur les données d'un autre client, et ne lance pas d'analyses automatisées qui dégraderaient le service pour les personnes qui l'utilisent.

CubeBooks n'est pas certifié SOC 2 et n'a pas fait l'objet d'un audit ISO 27001. Nous préférons le dire plutôt que d'afficher sur cette page un badge sans rien derrière.

Si ton organisation a besoin d'une attestation formelle avant de pouvoir nous utiliser, écris à security@cubebooks.ai et dis-nous ce qu'il te faut.