Sécurité et données
Sécurité et données
NamaCor est conçu par un cabinet comptable, pour des écritures qu'un vérificateur lira peut-être un jour. Voici comment les données sont hébergées, protégées et retracées.
Hébergement au Canada
La base de données (Postgres) et les fichiers (reçus, photos, documents) sont hébergés sur une infrastructure gérée dans la région Canada Central. L'application elle-même est servie par Vercel. Les fichiers vivent dans des seaux privés, organisés par entreprise et par projet, et ne sont servis qu'après vérification des règles d'accès.
Accès par rôle
Chaque table est protégée par une sécurité au niveau des lignes dans la base de données. Les propriétaires font tout; le bureau gère l'entreprise; le terrain voit seulement ses projets assignés, ses propres heures, le journal et l'échéancier. Les taux internes des travailleurs vivent dans une table que seul le propriétaire peut lire, et les coûts de main-d'œuvre figés dans une table que seul le bureau peut lire. Aucune politique terrain ne peut exposer un montant.
Authentification
Connexion par lien courriel ou par mot de passe. Les invitations et les liens de connexion sont à usage unique et valides vingt-quatre heures. La page de confirmation ne consomme le lien que lorsque la personne y arrive vraiment, de sorte que les analyseurs de liens des entreprises ne peuvent pas le brûler.
La connexion Xero
OAuth 2 avec les portées dont NamaCor a besoin et rien de plus. Les jetons sont chiffrés dans un coffre, la rotation est gérée automatiquement, et Déconnecter révoque le jeton chez Xero. Avant toute synchronisation, le propriétaire confirme l'organisation, et une liste blanche peut restreindre les organisations dans lesquelles NamaCor peut écrire.
Piste d'audit
Chaque appel à Xero est journalisé avec sa requête, sa réponse, son statut et sa durée. Les approbations de soumissions et d'ordres de changement par les clients conservent le nom tapé, la date et l'adresse IP. Les courriels envoyés depuis l'application sont journalisés sous leur document.
Espace client et liens publics
Les utilisateurs de l'espace client n'ont aucune appartenance à votre entreprise et lisent par des politiques dédiées qui n'exposent jamais coûts, heures ni marges. Les liens publics des documents utilisent des jetons aléatoires de 32 octets, expirent après 180 jours, sont prolongés à chaque envoi et peuvent être révoqués.
Lecture des factures par l'IA
Les factures fournisseurs et les reçus déposés dans la boîte de réception sont lus par un modèle d'IA pour en extraire le fournisseur, les montants, les taxes et les lignes. L'extraction est une suggestion; une personne confirme avant que quoi que ce soit devienne un coût. Les documents sont conservés dans le seau privé de votre entreprise.
Loi 25 du Québec
Données au Canada, accès limité par rôle, piste d'audit et un responsable de la protection des renseignements personnels désigné. Si vous avez besoin d'une entente de traitement des données ou d'une description des sous-traitants, demandez-nous.
Des questions sur la sécurité ou une exigence précise de votre comptable ou de votre vérificateur? Écrivez-nous; nous répondons en détail.