Sécurité & Conformité

Toutes les données transitant entre votre navigateur et nos serveurs sont chiffrées via TLS 1.3. Les données au repos dans notre base de données sont chiffrées avec AES-256, le standard militaire de référence.

Nova Paie et RH repose sur une architecture multi-tenant isolée. Chaque entreprise cliente dispose de son propre espace logique entièrement cloisonné : aucune donnée d'un client ne peut être accessible à un autre.

• Isolation par tenantId sur chaque requête — vérifiée côté serveur
• Middleware d'authentification JWT injecte l'identité sur chaque appel API
• Aucune requête cross-tenant n'est possible architecturalement
• Cloisonnement par directionId pour les structures multi-sites
• Superadmin sur circuit JWT dédié (secret distinct, audit renforcé)

Nous appliquons le principe du moindre privilège à travers 8 rôles RBAC distincts.

L'authentification à deux facteurs (2FA TOTP) est disponible pour tous les comptes administrateurs. Les sessions sont gérées via des tokens JWT à courte durée de vie associés à un refresh token sécurisé.

Chaque action critique effectuée sur la plateforme est enregistrée dans un journal d'audit immuable. Les anomalies et erreurs sont surveillées en temps réel via Sentry.

• Journalisation de toutes les connexions, déconnexions et tentatives échouées
• Traçabilité complète des modifications de paie, contrats et documents sensibles
• Alertes automatiques en cas de comportement anormal (taux d'erreurs, accès inhabituels)
• Logs d'accès conservés 12 mois glissants conformément au RGPD
• Rate limiting sur les routes sensibles (50 requêtes / 15 min en production)

• Données hébergées en zone UE et Afrique francophone selon votre pays
• Sauvegardes automatiques quotidiennes avec rétention 30 jours
• Plan de reprise d'activité (PRA) avec RPO < 24h et RTO < 4h
• Infrastructure containerisée (Docker) pour isolation des services
• Mises à jour de sécurité appliquées sous 72h pour les vulnérabilités critiques

Nova Paie et RH fait l'objet d'évaluations de sécurité régulières :

En cas de violation de données ou d'incident de sécurité, nous nous engageons à respecter les obligations légales de notification :

• 72 heures pour notifier l'autorité de contrôle compétente (Art. 33 RGPD)
• Notification aux personnes concernées sans délai indu si risque élevé (Art. 34 RGPD)
• Rapport d'incident détaillé fourni aux clients affectés
• Registre des violations de données tenu à jour (Art. 33.5 RGPD)

Pour signaler une vulnérabilité ou un incident : security@novapaieerh.com