Sécurité et conformité

Isolation des organisations (multi-tenant)

• Chaque organisation cliente est un « tenant » distinct ; toutes les tables métier portent son identifiant.
• L’identifiant du tenant provient exclusivement du jeton d’authentification, jamais d’un paramètre envoyé par le navigateur.
• Le filtrage est appliqué automatiquement par la couche d’accès aux données, et doublé par la sécurité au niveau des lignes (RLS) de PostgreSQL.

Authentification

• Mots de passe hachés avec Argon2.
• Jeton d’accès de courte durée (15 minutes) et jeton de renouvellement (14 jours).
• Double authentification par code TOTP exigée pour la Direction Générale, le Responsable RH, le Responsable paie, la Finance et l’administration.

Habilitations

• 12 profils, 12 modules et 5 actions (voir, saisir, valider, administrer, exporter) : chaque écran et chaque requête vérifient l’habilitation.
• Périmètre : un Partenaire Manager ne voit que sa région, un collaborateur ne voit que ses propres données.
• Un module non souscrit est inaccessible, même par l’API.

Séparation des tâches

• Paie : le chargé de paie saisit et calcule, le contrôleur vise, le responsable paie valide et clôture ; la Finance exporte le virement et ne valide jamais.
• Facturation : une facture émise est verrouillée ; toute correction passe par un avoir validé par la Direction.
• Recrutement : la Direction Générale valide toute création de poste.
• Carrière : auto-évaluation, évaluation par le manager et validation RH sont faites par trois personnes différentes.

Chiffrement

• RIB, CIN et numéros CNSS chiffrés champ par champ en AES-256-GCM.
• Échanges chiffrés en HTTPS, avec HSTS.
• Documents de la GED stockés de façon chiffrée.

Journal d’audit infalsifiable

Chaque action métier est inscrite dans un journal dont chaque entrée contient l’empreinte SHA-256 de la précédente. Une vérification recalcule la chaîne : toute modification a posteriori est détectée. Le journal est consultable par l’Auditeur, la Direction Générale et l’administration.

Exploitation

• En-têtes de sécurité stricts (CSP, HSTS, X-Frame-Options, Referrer-Policy).
• Limitation du nombre de requêtes et journaux structurés sans données sensibles.
• Supervision, métriques et sauvegardes planifiées.

Conformité loi 09-08 et CNDP

Hébergement au Maroc, traitements déclarés à la CNDP, droits d’accès, de rectification et d’opposition garantis. Voir la politique de confidentialité.

Signaler une vulnérabilité

Vous pensez avoir identifié une faille ? Contactez-nous au +212 6 64 92 64 10 : nous traitons chaque signalement en priorité.