Sécurité

1. Mots de passe et connexion

• Votre mot de passe n’est jamais conservé en clair : seule une empreinte (bcrypt) l’est. Personne chez Sahilley ne peut le lire ; nous pouvons seulement le réinitialiser.
• Les mots de passe trop courts ou trop courants sont refusés.
• Les tentatives de connexion répétées sont limitées, et un compte visé est verrouillé temporairement.

2. Sessions

• Le jeton qui vous identifie ne vaut que 15 minutes ; il est renouvelé tant que vous utilisez l’application.
• Après ⁦14⁩ jours sans utilisation, il faut se reconnecter.
• Les cookies de session ne sont pas lisibles par les scripts de la page, et chaque modification exige en plus un jeton anti-falsification (protection CSRF).

3. Transport et hébergement

• Tous les échanges entre votre appareil et nos serveurs sont chiffrés (HTTPS), et le navigateur est invité à ne jamais utiliser de connexion non chiffrée.
• L’application est hébergée chez Vercel, à Francfort (Allemagne), et la base de données chez Neon, dans l’Union européenne. La liste complète des prestataires figure dans la Politique de confidentialité.

4. Chaque compte ne voit que ses données

Le serveur détermine votre organisation à partir de votre session, jamais à partir de ce qu’envoie l’appareil. Une demande qui vise les données d’un autre compte reçoit la même réponse qu’une donnée qui n’existe pas.

5. Votre équipe

• Il y a trois niveaux : le propriétaire du compte, qui l’a créé et porte l’abonnement ; les membres avec accès étendu ; les membres avec accès simple.
• Vous choisissez le niveau de chaque membre. Dès qu’un membre est retiré de l’équipe, le serveur cesse de lui fournir les données du compte. Ce qui se trouvait déjà sur son appareil n’est pas effacé à distance.

6. L’équipe Sahilley

Chaque action menée depuis l’espace d’administration de Sahilley — confirmer un paiement d’abonnement, réinitialiser un mot de passe… — est inscrite dans un journal, avec son auteur et sa date.

7. Liens de reçu

Un lien de reçu contient un code aléatoire impossible à deviner. Il ne montre que ce reçu, rien d’autre du compte. Vous pouvez le désactiver à tout moment ; il est désactivé automatiquement si le paiement est annulé. Ces pages ne sont pas proposées aux moteurs de recherche.

8. Téléphone perdu ou volé

• Changez votre mot de passe au plus vite : par « Mot de passe oublié » pour un compte ouvert avec une adresse e-mail, ou en nous contactant pour un compte ouvert avec un numéro de téléphone.
• Un mot de passe réinitialisé ferme toutes les sessions ouvertes, sur tous les appareils.
• Les données gardées sur le téléphone pour le fonctionnement hors ligne ne sont pas effacées à distance. Un code de verrouillage sur le téléphone reste votre meilleure protection.

9. Ce que nous ne faisons pas encore

• Pas de double vérification à la connexion (code par SMS ou par application).
• Pas de bouton « déconnecter tous mes appareils » dans l’application : passez par la réinitialisation du mot de passe, ou contactez-nous.
• Les données gardées sur l’appareil ne sont pas chiffrées par Beyti, et restent après la déconnexion jusqu’à ce qu’un autre compte se connecte sur cet appareil.
• Pas d’export de vos données en libre-service : une copie se demande à nos contacts.
• Les images envoyées, comme le logo, sont stockées à une adresse publique : qui a l’adresse voit l’image. C’est pourquoi Beyti n’enregistre pas de photo de pièce d’identité.

10. Signaler une faille

Si vous découvrez une faille de sécurité, écrivez-nous. Un signalement fait de bonne foi, sans exploiter la faille au-delà de sa démonstration, est traité en priorité et ne donnera lieu à aucune poursuite de notre part.

• E-mail : ⁦info.sahilley@gmail.com⁩
• Téléphone et WhatsApp : ⁦+235 99 62 69 64⁩ · ⁦+90 552 786 36 55⁩