Politique de sécurité

Activée pour les comptes administrateurs de Godia.ai. Chaque client peut l'exiger pour tous les comptes de son organisation ; elle reste activable individuellement (Profil, Sécurité). Code à 6 chiffres à chaque connexion, compatible avec les applications d'authentification courantes, 10 codes de secours générés à l'activation. Pour les connexions Google ou Microsoft, la double authentification est celle du fournisseur d'identité de l'organisation.

OAuth 2.0 / OpenID Connect avec Google et Microsoft, flux Authorization Code avec PKCE.

Trois rôles : Owner (accès complet), Admin (administration et configuration), Member (usage opérationnel), complétés par 8 permissions granulaires (canViewAnalytics, canManageAgents, canViewConversations, canViewProspects, canManageTeam, canManageBilling, canExportData, canViewCopilot). La permission canExportData est vérifiée côté serveur pour tout export (refus HTTP 403).

Tâche quotidienne : avertissement après 60 jours d'inactivité (événement INACTIVITY_WARNING), révocation de toutes les sessions après 90 jours. Chaque événement est horodaté dans le journal d'audit.

Toutes les connexions sont chiffrées en HTTPS (TLS). HSTS activé (max-age=31536000; includeSubDomains; preload) ; toute requête HTTP est redirigée vers HTTPS. La connexion entre l'application et la base de données est elle aussi chiffrée.

Jetons OAuth, identifiants des intégrations, secrets et clés de double authentification : chiffrement applicatif AES-256-GCM avant enregistrement. Mots de passe : hachage bcrypt (12 tours). Base de données : chiffrement au repos par l'hébergeur. Sauvegardes chiffrées.

Signés en RS256, avec rotation automatique des clés de signature et révocation immédiate des jetons invalidés. Jamais transmis en clair.

Clé maître AES-256-GCM (32 octets, dérivée par scrypt) conservée comme secret d'environnement chez l'hébergeur, jamais dans le code. Rotation annuelle planifiée et rotation immédiate en cas d'événement de sécurité.

Format godia_live_<32 octets en base64url> (ou godia_test_). Seule l'empreinte SHA-256 est conservée ; la clé n'est affichée qu'une fois, à sa création.

Global : 3 000 requêtes par 15 minutes et par adresse IP. Connexion : 5 tentatives par 15 minutes, puis blocage de 30 minutes. API v1 : 1 000 requêtes par heure et par clé. Exports du journal d'audit : 10 par heure et par organisation. Module Godia Pilot : 60 modifications par minute et par adresse IP. Messages des agents : plafond par visiteur et par heure.

HSTS, X-Content-Type-Options: nosniff, Referrer-Policy: strict-origin-when-cross-origin, Content-Security-Policy avec default-src 'self', object-src 'none', base-uri 'self' et frame-ancestors ('self' sur le portail, ouvert sur les routes du widget pour son intégration aux sites des clients). unsafe-inline reste toléré pour le portail ; le passage à une politique par nonce est prévu. X-Frame-Options: DENY sur le portail et l'API. Permissions-Policy restrictive (caméra, géolocalisation, paiement et USB désactivés ; microphone réservé à l'agent vocal optionnel).

Jeton synchronisé vérifié côté serveur sur toutes les routes qui modifient des données ; régénération de la session à la connexion.

Liste blanche stricte des origines autorisées ; seules les API du widget sont ouvertes, pour permettre son intégration sur les sites des clients.

Modèles de Mistral AI appelés par son point d'accès européen ; entraînement sur nos données désactivé ; modèles expérimentaux désactivés ; conservation zéro du contenu des conversations chez Mistral AI.

Réponses fondées sur la base validée par chaque client ; contrôle automatique des faits sensibles (horaires, délais, coordonnées) avant affichage ; barrière qui bloque toute tentative de faire révéler les instructions internes d'un agent.

En cas d'erreur sur un modèle, bascule automatique entre modèles Mistral (small, medium, large). Aucune bascule silencieuse vers un autre fournisseur.

Quatre tables non modifiables depuis l'interface : auth_events (connexions, double authentification, révocations), 90 jours ; access_logs (accès aux données sensibles, actions des administrateurs), 90 jours ; client_activity_logs (actions dans le portail), 30 jours ; alert_history (alertes de sécurité), 90 jours.

Export JSON ou CSV depuis le portail, filtré par période et par type d'événement, limité à l'organisation et soumis à la permission canExportData, compatible avec les outils SIEM du marché.

Cinq règles actives : tentatives de connexion en force, violations CSRF, violations du cloisonnement, jetons invalides, activité suspecte ; plus la détection quotidienne des comptes inactifs. Notification immédiate par e-mail.

npm audit à chaque modification du code et chaque semaine (workflow security-audit.yml) ; la chaîne échoue en cas de vulnérabilité haute ou critique.

Critique : 48 heures. Haute : 7 jours. Moyenne : 30 jours. Faible : version suivante.

Audit interne selon l'OWASP Top 10:2025 et l'OWASP Top 10 pour les applications de modèles de langage (février 2026, mis à jour en avril 2026). Rapport disponible sur demande, sous engagement de confidentialité.

Tests de sécurité internes à chaque version majeure. Un test d'intrusion par un prestataire externe indépendant fait partie de nos améliorations planifiées.

Programme décrit sur notre page dédiée. Signalement à legal@godia.ai, réponse sous 48 heures.

Schémas Zod sur les routes de l'API ; rejet des données non conformes.

Requêtes paramétrées via l'ORM Drizzle.

Chaque changement sensible (authentification, cloisonnement, cryptographie, comportement des agents) est vérifié de manière indépendante et testé avant sa mise en production, avec possibilité de retour arrière immédiat.

Variables d'environnement de l'hébergeur, jamais dans le code ni dans le dépôt.

Production et développement séparés (bases et variables distinctes). Un environnement de préproduction dédié est prévu.

Délai de reprise contractuel : 4 heures au plus. Perte de données maximale : 24 heures, avec restauration à un instant donné. Redémarrage automatique de l'application en cas d'incident courant.

99,5 % par mois, garanti ; 99,9 % sur contrat. Voir notre SLA. État en temps réel : status.godia.ai.

Sauvegardes quotidiennes chiffrées, gérées par l'hébergeur de la base de données, répliquées dans l'Union européenne.

Détection par les alertes, qualification, information des clients concernés (sous 4 heures pour un incident critique), correction, rapport post-incident.

Disponibles dans le portail client, avec chronologie, impact et mesures correctives.

Pour les données traitées pour le compte d'un client, Godia.ai l'informe sans retard injustifié et lui fournit les éléments nécessaires à sa notification à l'autorité de contrôle dans les 72 heures (article 33 du RGPD). Pour les traitements dont Godia.ai est responsable, la notification est adressée à la CNPD.

Niveau 1 : ticket depuis le portail. Niveau 2 : support@godia.ai. Niveau 3 : direction technique. Urgence de sécurité : legal@godia.ai (4 heures pour un incident critique).

DPIA-GODIA-2026-001, version 1.2 (octobre 2026) : six traitements décrits (conversations, recueil de demandes, fichiers des visiteurs, comptes et journaux, clés d'API, messagerie connectée), risques évalués avant et après mesures, volet établissements de santé et secteur public. Disponible sur demande. Prochaine révision : octobre 2027.

Disponible avant toute relation contractuelle : DPA, version signée sur demande à legal@godia.ai.

Registre des prestataires TIC, rapports post-incident et export du journal d'audit à disposition des clients soumis au règlement DORA.

Export complet des données sur demande dans les 30 jours suivant la résiliation, suppression définitive dans les 60 jours, sauf obligation légale. Données exportables en JSON ou CSV, format PostgreSQL standard.