Kraven CRM
Retour à l'accueil

Sécurité

Les mesures techniques et organisationnelles que nous mettons en œuvre pour protéger vos données.

Dernière mise à jour : 1 mai 2026

Notre philosophie sécurité

La sécurité n'est pas une fonctionnalité ajoutée a posteriori chez Kraven CRM, c'est un principe d'ingénierie qui guide chaque décision technique. Nous concevons le Service pour minimiser la surface d'attaque, isoler strictement les données entre organisations, et tracer toutes les actions sensibles. Cette page détaille les contrôles concrets en place.

1. Chiffrement

1.1 En transit

Toutes les communications entre votre navigateur et nos serveurs sont chiffrées via TLS 1.3. Les certificats sont gérés automatiquement par Vercel et renouvelés sans interruption. Le HSTS est activé avec préchargement, forçant HTTPS sur tous les domaines.

1.2 Au repos

Les bases de données Supabase sont chiffrées au repos avec AES-256. Les sauvegardes incrémentales et les répliques bénéficient du même niveau de chiffrement. Les enregistrements d'appels stockés chez Twilio sont chiffrés côté Twilio.

1.3 Secrets et tokens

Les jetons OAuth (Gmail, Google Calendar), les clés API (Twilio, OpenAI, VAPI), et les tokens de webhooks sont chiffrés via pgcrypto au niveau de la base de données. Aucun secret en clair n'est stocké côté serveur.

2. Isolation entre organisations (Row-Level Security)

Kraven CRM est multi-locataire : plusieurs organisations partagent la même infrastructure. Pour garantir l'isolation totale entre elles, chaque table de la base de données applique des politiques de Row-Level Security (RLS) au niveau PostgreSQL.

Concrètement, lorsqu'un utilisateur fait une requête, le moteur de base de données filtre automatiquement les lignes en fonction de son organisation d'appartenance. Même en cas de bug applicatif, il est techniquement impossible pour un utilisateur de l'organisation A d'accéder aux données de l'organisation B.

Les politiques RLS sont versionnées dans nos migrations SQL et revues à chaque modification du schéma.

3. Authentification et contrôle d'accès

3.1 Authentification utilisateurs

  • Mots de passe stockés sous forme de hachages bcrypt (jamais en clair)
  • Connexion via Google OAuth 2.0 disponible (recommandé)
  • Sessions à durée limitée avec rotation automatique des jetons
  • Déconnexion automatique après inactivité
  • Cookies de session marqués HttpOnly, Secure, SameSite=Lax

3.2 Rôles et permissions

Trois niveaux d'accès au sein d'une organisation :

  • Owner : contrôle total, gestion de la facturation
  • Admin : configuration, gestion des utilisateurs, accès aux données de tous les représentants
  • Member : accès uniquement aux prospects qui lui sont assignés

Les actions sensibles (suppression de données, modification des rôles, intégrations) sont restreintes aux owners et admins.

4. Architecture et hébergement

  • Application web : Vercel (réseau Edge mondial, certifications SOC 2 Type II, ISO 27001)
  • Base de données : Supabase / PostgreSQL hébergé en Union européenne par défaut (région migrable sur demande)
  • Téléphonie : Twilio (SOC 2 Type II, ISO 27001, HIPAA, PCI DSS)
  • IA : OpenAI API (engagement contractuel de ne pas utiliser les données API pour entraîner les modèles)

5. Sauvegardes et continuité

  • Sauvegardes automatiques quotidiennes de la base de données
  • Sauvegardes incrémentales toutes les 2 minutes (Point-In-Time Recovery sur les 7 derniers jours)
  • Réplication synchrone sur plusieurs zones de disponibilité
  • Tests de restauration trimestriels

En cas de défaillance majeure, l'objectif de temps de récupération (RTO) visé est de 4 heures et l'objectif de point de récupération (RPO) est de 5 minutes maximum.

6. Journaux d'audit

Toutes les actions sensibles sont tracées dans des journaux d'audit immutables, accessibles aux owners de l'organisation depuis Paramètres → Journal d'activité.

Les événements journalisés incluent notamment :

  • Connexions et déconnexions utilisateurs
  • Création, modification, suppression de prospects et données
  • Modifications de rôles et permissions
  • Connexions et déconnexions d'intégrations (Gmail, Twilio)
  • Appels passés et reçus, avec leurs métadonnées
  • Exports de données

Les journaux sont conservés 24 mois et ne peuvent être ni modifiés ni supprimés par l'application.

7. Sécurité du développement

  • Revue de code obligatoire avant déploiement en production
  • Tests automatisés (unitaires, intégration, types TypeScript stricts)
  • Analyse statique de sécurité (CodeQL, ESLint security rules)
  • Mises à jour de dépendances surveillées (Dependabot)
  • Environnements de développement, de test et de production séparés

8. Plan de réponse aux incidents

Notre plan de réponse aux incidents repose sur trois principes :

  • Détection rapide : monitoring 24/7, alertes automatiques sur les anomalies (taux d'erreur, latence, tentatives d'accès suspectes)
  • Confinement immédiat : capacité à isoler une organisation, révoquer un token, ou désactiver une intégration en quelques minutes
  • Notification transparente : en cas de violation de données affectant vos renseignements personnels, nous nous engageons à vous notifier dans les 72 heures suivant la prise de connaissance, conformément à la Loi 25 et au RGPD

9. Tests et certifications

Nous nous appuyons sur l'infrastructure et les certifications de nos sous-traitants (Vercel, Supabase, Twilio sont certifiés SOC 2 Type II et ISO 27001). Au niveau Kraven CRM directement, nous ne disposons pas encore de certification ISO/SOC propre — un audit formel est planifié à mesure que la base de clients croît.

Nous menons des tests d'intrusion ciblés au moins une fois par an et après chaque évolution majeure de l'architecture.

10. Bonnes pratiques côté Client

La sécurité est une responsabilité partagée. Pour maximiser la protection de vos données, nous recommandons à chaque Client :

  • Activer la connexion via Google OAuth quand c'est possible
  • Utiliser des mots de passe uniques et un gestionnaire de mots de passe
  • Limiter le rôle Admin aux personnes qui en ont réellement besoin
  • Désactiver les comptes des employés dès leur départ
  • Configurer la durée de rétention des enregistrements d'appels en fonction de votre politique de conservation
  • Réviser périodiquement le journal d'audit pour détecter toute activité inhabituelle

11. Signaler une vulnérabilité

Si vous découvrez une vulnérabilité de sécurité dans Kraven CRM, merci de la signaler de manière responsable à security@kravencrm.com. Nous nous engageons à accuser réception dans les 48 heures et à travailler avec vous pour résoudre le problème de bonne foi.

Nous remercions publiquement (avec votre consentement) les chercheurs en sécurité qui contribuent à la robustesse du Service.

12. Contact sécurité