La page sécurité qui vous dit ce que nous n’avons pas encore fait.
Toutes les pages sécurité énumèrent le chiffrement et le contrôle d’accès. La partie utile, c’est la frontière — ce qui est protégé, ce qui ne l’est pas, et les affirmations auxquelles nous n’avons pas droit. Cette page couvre les trois.
Comment la plateforme est bâtie.
Isolation des locataires, côté serveur
L’espace d’entreprise est la frontière du locataire. Chaque requête et chaque commande y sont limitées sur le serveur, et l’identifiant d’entreprise n’est jamais lu depuis le corps d’une requête. Une suite de tests d’isolation dédiée tourne pour toujours, pas seulement au lancement.
Autorisation sur chaque opération
Chaque opération protégée vérifie l’utilisateur authentifié, l’appartenance à l’entreprise, la permission et le droit d’abonnement. Cacher un bouton dans le navigateur est un agrément d’interface, jamais le contrôle.
Chiffrement en transit et au repos
TLS partout avec HSTS, et chiffrement de plateforme sur la base de données, le stockage de fichiers et les files de messages.
Identités à moindre privilège
Des identités gérées distinctes pour l’API, le travailleur d’arrière-plan et la tâche de migration, chacune ne détenant que les permissions nécessaires. L’identité applicative ne peut pas modifier le schéma de la base.
Les téléversements traités comme hostiles
Logos et pièces jointes sont validés sur le type détecté plutôt que déclaré, limités en taille, renommés côté serveur, stockés dans des conteneurs privés, analysés contre les maliciels, et servis uniquement par URL signées à durée limitée. Le SVG n’est pas accepté comme logo, parce qu’il peut porter du script.
Aucun secret dans le dépôt
Les secrets vivent dans Azure Key Vault, atteints par identité gérée. Aucun secret n’apparaît dans le code source, les gabarits d’infrastructure ou la configuration des pipelines.
Où vos données vivent réellement.
Toutes les données applicatives sont fixées à la région Canada Central de Microsoft Azure : la base PostgreSQL, vos logos et pièces jointes, les files de messages, le service de courriel et la télémétrie applicative. C’est configuré dans l’infrastructure, pas dans une politique, donc cela ne peut pas dériver.
La partie que la plupart des fournisseurs omettraient
La connexion est déléguée à Microsoft Entra External ID. Les répertoires Entra de notre abonnement peuvent être provisionnés hors du Canada, ce qui signifie que l’enregistrement de votre identité de connexion — pas vos factures, clients ou documents — peut être détenu hors du pays. Nous le disons plutôt que d’annoncer « toutes vos données restent au Canada », parce que cette phrase serait plus facile à écrire et moins vraie. Si la résidence précise des données d’identité importe à votre organisation, demandez-le-nous avant de vous inscrire et nous vous dirons exactement ce que contient le répertoire.
Nous ne stockons pas votre mot de passe.
Il n’y a aucun système d’authentification maison dans NextiaInvoices. L’authentification est entièrement déléguée à Microsoft Entra External ID — ce qui veut dire qu’il n’y a ici aucune base de mots de passe à compromettre.
Connectez-vous comme vous le faites déjà
Google, Microsoft, Apple, ou courriel et mot de passe. Plusieurs fournisseurs peuvent être liés à un compte, et en retirer un n’est permis que tant qu’une autre méthode valide demeure.
Authentification multifacteur
Offerte et encouragée pour chaque client. Obligatoire — pas optionnelle — pour les administrateurs de plateforme et le personnel de soutien de Nextia.
Réauthentification pour ce qui compte
Changer votre courriel, lier ou délier un fournisseur, changer votre mot de passe, supprimer votre compte, modifier votre abonnement, ajouter un administrateur ou modifier la MFA exigent tous une connexion fraîche.
Une récupération qui ne révèle rien
Les messages de récupération de compte ne révèlent jamais si une adresse a un compte. Les points d’accès d’authentification sont limités en débit et protégés contre les abus.
Le lien que votre client ouvre est la plus grande surface externe. Nous le traitons comme tel.
Chaque facture et soumission a une vue publique accessible sans connexion, ce qui fait de ce jeton l’élément le plus exposé que nous exploitons. Sa conception en tient compte.
Au moins 256 bits d’entropie
Généré avec un générateur aléatoire cryptographiquement sûr. En deviner un n’est pas une attaque praticable.
Stocké haché
Le jeton brut vous est montré une fois et n’est jamais conservé, donc une copie de la base ne livre les documents de personne.
Non énumérable
Un jeton invalide et un jeton révoqué renvoient la même réponse, par une recherche à temps constant, limitée en débit par jeton et par adresse.
Révocable et cloisonné
Faites tourner ou révoquez un lien en tout temps depuis la facture. La vue renvoie ce document et votre image de marque — jamais un enregistrement voisin, jamais un autre client.
Une piste qui ne peut pas être modifiée en douce.
Les entrées d’audit sont écrites dans la même transaction que le changement qu’elles décrivent — une écriture d’audit qui échoue annule l’action, parce qu’un changement sensible non audité est pire qu’un changement échoué. L’application n’a aucun chemin de mise à jour ou de suppression vers la table d’audit, et son rôle de base de données ne détient pas ces privilèges.
- Connexion, déconnexion et échec de connexion
- MFA activée, désactivée, réinitialisée ou exigée
- Fournisseur lié ou délié
- Entreprise créée ou modifiée
- Invitation d’équipe et changement de rôle
- Modifications de clients, services et taxes
- Facture créée, finalisée, envoyée ou annulée
- Changement de statut de paiement
- Acceptation d’une soumission
- Changement d’URL de paiement
- Changement d’abonnement
- Accès du soutien et emprunt d’identité
- Export de données et demande de suppression
Ce que nous avons le droit de dire — et ce que nous n’avons pas.
Notre propre spécification interdit de revendiquer une posture de conformité non atteinte. Voici donc la répartition, clairement. Nous préférons perdre un contrat au profit d’un concurrent certifié plutôt que d’en gagner un par sous-entendu.
- Conçu selon les attentes canadiennes en matière de vie privée
- Conçu pour les droits des personnes concernées de type RGPD : export, suppression, conservation
- Données applicatives résidentes dans Azure Canada Central
- Journalisation d’audit, isolation des locataires et moindre privilège dès le départ
- Analyse des dépendances et analyse statique bloquantes à chaque compilation
- SOC 2 — non audité
- ISO 27001 — non certifié
- Certification LPRPDE — aucune certification de ce type n’est revendiquée
- Rapport de test d’intrusion — pas encore disponible à partager
Qui d’autre touche aux données.
Une liste courte, volontairement gardée courte. Chaque entrée existe parce que l’autre option était de le bâtir nous-mêmes, moins bien.
| Sous-traitant | Finalité | Région |
|---|---|---|
| Microsoft Azure | Hébergement, base de données, stockage de fichiers, files, télémétrie | Canada Central |
| Microsoft Entra External ID | Authentification et répertoire d’identité | Voir la note de résidence ci-dessus |
| Azure Communication Services | Livraison des courriels transactionnels à vous et à vos clients | Canada Central |
| Stripe | Notre propre facturation d’abonnement — jamais les paiements de vos clients | Mondial (contrôlé par Stripe) |
| Cloudflare | Ce site web marketing et sa diffusion de contenu | Réseau périphérique mondial |
Où mes données sont-elles stockées ?
Toutes les données applicatives — la base de données, vos fichiers téléversés, les files de messages et les journaux — sont fixées à la région Canada Central de Microsoft Azure. La connexion est gérée par Microsoft Entra External ID, et le répertoire qui contient votre identité de connexion peut être provisionné hors du Canada ; nous le disons clairement sur la page Sécurité plutôt que d’arrondir vers une affirmation que nous ne pouvons pas soutenir.
Conservez-vous mon mot de passe ?
Nous ne le voyons jamais. L’authentification est entièrement déléguée à Microsoft Entra External ID — connexion par Google, Microsoft, Apple, ou courriel et mot de passe. Il n’y a aucun système d’authentification maison dans NextiaInvoices, et aucun mot de passe que nous puissions perdre.
Êtes-vous certifiés SOC 2 ou ISO 27001 ?
Non, et nous ne laisserons pas entendre le contraire. La plateforme est conçue selon les attentes canadiennes en matière de vie privée et les droits des personnes concernées de type RGPD, avec journalisation d’audit, isolation des locataires et moindre privilège dès le départ — mais une certification, c’est un audit complété, et nous n’en revendiquerons une que lorsque nous l’aurons.
Puis-je exporter ou supprimer mes données ?
Oui aux deux. Vous pouvez exporter vos données personnelles et d’entreprise, et demander la suppression de votre compte. Certains enregistrements survivent à la suppression parce que la loi l’exige — historique des transactions d’abonnement, événements de sécurité liés à des enquêtes d’abus, et entrées d’audit pour les actions administratives. C’est écrit dans la politique de confidentialité plutôt que découvert plus tard.
Qui, chez Nextia, peut voir mes factures ?
L’accès du soutien est restreint, exige une authentification multifacteur et est audité. Emprunter l’identité d’un compte client est une action journalisée avec un motif consigné, pas une capacité discrète.
Vous avez trouvé quelque chose ? Dites-le-nous avant de le dire à Internet.
Si vous croyez avoir trouvé une vulnérabilité, écrivez-nous avec assez de détails pour la reproduire. Nous accuserons réception, vous tiendrons informé pendant la correction, et vous créditerons si vous le souhaitez. Nous n’engagerons pas de poursuites contre une recherche de bonne foi qui évite les atteintes à la vie privée, la destruction de données et l’interruption de service.
Signaler une vulnérabilité — [email protected]Envoyez votre première facture en moins de cinq minutes.
Configurez votre entreprise, ajoutez un service et facturez un client — avant que votre café refroidisse.
Essai gratuit de 14 jours · Aucune carte à l’inscription · Vos données sont conservées à la fin de l’essai