Une plateforme conçue pour le monde médical européen
Hébergement en Union européenne, chiffrement en transit et au repos, traitement conforme au RGPD et headers de sécurité OWASP. Voici comment nous protégeons vos données et la confiance des professionnels QARA.
Hébergement européen
Vos données sont stockées dans l'Union européenne : la base de données à Paris, l'application à Francfort, l'envoi des emails en Irlande. Seules les fonctions d'IA transmettent du texte hors UE, et seulement quand vous les utilisez.
- Base de données : Supabase, Paris (eu-west-3)
- Application : Render, Francfort (Allemagne)
- Emails : Resend, Irlande (eu-west-1)
- Paiement : Stripe, Irlande
- CDN et protection : Cloudflare, réseau mondial
Cloisonnement strict des données
Chaque table applique un cloisonnement au niveau de la base elle-même, pas seulement dans le code. Une organisation ne peut pas lire les données d'une autre, même en cas de faille applicative.
- Row Level Security active sur 39 tables sur 39
- 59 politiques d'accès appliquées par PostgreSQL
- Isolation par organisation vérifiée table par table
- Fonctions privilégiées inaccessibles depuis le navigateur
- Clé de service jamais exposée côté client
Chiffrement en transit et au repos
HTTPS obligatoire pour tous les échanges, AES-256 pour les données au repos. Vos données ne transitent jamais en clair.
- HTTPS forcé via HSTS (préchargé)
- Certificats TLS automatiques renouvelés
- Chiffrement AES-256 des données au repos (Supabase)
- TLS 1.3 par défaut, 1.2 au minimum
Authentification renforcée
Double authentification par application, mots de passe stockés en hash irréversible, CAPTCHA Cloudflare Turnstile contre les attaques automatisées.
- Double authentification (code TOTP) dans Paramètres > Sécurité
- Hash bcrypt côté Supabase Auth (standard du secteur)
- CAPTCHA Cloudflare Turnstile sur signup
- Vérification email obligatoire (PKCE flow)
- Sessions sécurisées (httpOnly cookies)
Headers de sécurité HTTP
Configuration complète des headers OWASP pour bloquer XSS, clickjacking, et MIME-sniffing.
- Strict-Transport-Security (HSTS preload)
- Content-Security-Policy stricte
- X-Frame-Options: SAMEORIGIN
- X-Content-Type-Options: nosniff
- Permissions-Policy restrictive
- Referrer-Policy: strict-origin-when-cross-origin
Anti-DDoS & protection edge
Cloudflare en frontal protège contre les attaques volumétriques et applicatives.
- Protection DDoS L3/L4/L7 automatique
- Limitation de débit par IP sur les points d'entrée publics (contact, inscription newsletter, candidature partenaire)
- CAPTCHA Turnstile sur les formulaires exposés
- Analytics anonymes sans cookies
Transparence sur l'IA
L'Assistant QARA et Document IA s'appuient sur des modèles hébergés aux États-Unis. Nous préférons le dire clairement, et dire exactement ce qui leur est transmis.
- Transmis : votre question, le document joint, votre métier, votre périmètre et jusqu'à 15 dispositifs déclarés
- Jamais votre nom, votre e-mail ni vos données de facturation
- Documents joints lus puis oubliés, sans copie conservée
- Conditions API excluant l'entraînement sur vos contenus
- Transferts encadrés par les Clauses Contractuelles Types
- Veille, filtres, alertes et exports fonctionnent sans ces deux fonctions
Conformité RGPD
Plateforme conçue pour le RGPD dès l'origine. Droits utilisateurs facilement accessibles.
- Données hébergées en UE
- Politique de confidentialité transparente
- Droit d'accès, rectification, effacement
- Portabilité des données
- Pas de cookies de tracking
- Notification en cas de violation (Art. 33)
Avertissement important
MedQara est un outil d'aide à la veille. Les analyses IA sont indicatives. Pour toute décision réglementaire, l'utilisateur doit toujours consulter la source officielle référencée et, le cas échéant, l'avis d'un expert QARA qualifié.
Signaler une vulnérabilité
Si vous découvrez une faille de sécurité, contactez-nous directement. Nous nous engageons à répondre sous 48h et à corriger les problèmes critiques rapidement.
contact@veillemedqara.fr