Fiche technique — Sécurité & confidentialité

1. Positionnement

Plateforme GMAO / ERP / IoT offline-first. Architecture Zero Knowledge : l’éditeur n’a pas accès au contenu métier déchiffré des abonnés.

2. Contrôle d’accès

• RBAC (rôles : admin, directeur, technicien, etc.)
• MFA TOTP pour comptes sensibles
• Sessions JWT avec expiration / révocation

3. Chiffrement

• Mode Local : IndexedDB appareil · AES-256-GCM · PBKDF2-SHA-512
• Mode Pro : TLS in-transit · sync chiffrée · PostgreSQL hébergé UE (Hetzner)
• Mots de passe : jamais stockés en clair

4. Architecture (résumé)

Local : Navigateur → chiffrement client → IndexedDB (pas de sync cloud obligatoire).

Pro : Client (TLS) → API JWT/RBAC → PostgreSQL chiffré at-rest.

5. Traçabilité & réversibilité

• Journaux d’audit des actions sensibles · export pour contrôles
• Export des données métier pendant le contrat
• Fin de contrat : restitution / export puis effacement cloud selon délais légaux (RGPD / Code du Numérique RDC)

6. Référentiels

Conçu selon ISO 27001 et bonnes pratiques OWASP ASVS. Revues de code / contrôles internes réguliers. Certification ISO / SOC 2 formelle : feuille de route Enterprise (non revendiquée à ce jour).

7. Cadre légal

• Ord-loi n°23/010 — Code du Numérique RDC
• RGPD (traitements concernés)
• OHADA · Tribunal de Commerce Kinshasa / Matete