Sécurité technique
Ce qui protège un patrimoine dans ORION, mesure par mesure.
Pour une direction informatique, un responsable de la conformité ou un client exigeant : les protections telles que le code et l'infrastructure les appliquent aujourd'hui, et ce que nous ne revendiquons pas.
Isolation
Le cloisonnement est tenu par la base de données.
Chaque ligne appartient à une structure (un cabinet, un particulier) et à des personnes. Les accès des utilisateurs passent par les règles de sécurité au niveau des lignes de PostgreSQL (Row Level Security), appliquées par la base à chaque requête. Les traitements du serveur qui s'exécutent avec le compte de service, hors de ces règles, bornent eux-mêmes leur périmètre dans le code.
Entre cabinets
Un conseiller ne voit jamais les clients ni les actifs d'un autre cabinet.
Entre personnes d'un même cabinet
Dans son espace, un client ne voit que son propre patrimoine, jamais celui des autres clients du cabinet.
Le notaire désigné
Il lit le dossier que son client lui ouvre, et rien d'autre. Depuis le 28 octobre 2026, il ne voit jamais les pièces de connaissance client, de vigilance contre le blanchiment, d'entrée en relation ou de santé, ni les directives anticipées : la base de données refuse de les lui servir.
Chiffrement
Chiffré en transit, chiffré au repos.
En transit
Toutes les connexions passent en TLS (versions 1.2 et 1.3). L'en-tête HSTS impose HTTPS au navigateur, sous-domaines compris.
Au repos
La base de données et les fichiers sont chiffrés au repos par l'hébergeur, Supabase, en AES-256 d'après sa page de sécurité.
Aucune visionneuse tierce
Une pièce s'affiche dans votre navigateur, sans visionneuse tierce : elle n'est pas envoyée chez un éditeur de bureautique pour être lue.
Hébergement
Hébergé dans l'Union européenne, sorties nommées.
Où vivent les données
- Base de données, authentification et fichiers : Supabase, région eu-west-1 (Irlande).
- Application : Vercel, fonctions exécutées dans la région de Francfort (Allemagne).
Ce qui sort de l'Union, et comment
Hébergé dans l'Union ne veut pas dire que rien n'en sort. Certains prestataires sont établis aux États-Unis, notamment Anthropic, qui fournit l'intelligence artificielle du copilote et de la lecture des documents.
Ces transferts sont encadrés par les garanties du chapitre V du RGPD : décision d'adéquation, ou à défaut clauses contractuelles types de la Commission européenne. La politique de confidentialité des particuliers nomme les principaux prestataires établis aux États-Unis et la garantie de leurs transferts ; pour les cabinets, le détail est communiqué sur demande (politique de confidentialité, § 6).
Le détail, prestataire par prestataire : politique de confidentialité des cabinets et politique de confidentialité des particuliers.
Accès
Qui se connecte, et comment.
Authentification forte
La double authentification par application (un code à usage unique tiré d'une application d'authentification) est disponible pour tous les comptes, avec des codes de secours.
Sessions d'inspection tracées
Pour un diagnostic, l'administrateur de la plateforme peut ouvrir une session d'inspection en lecture seule d'un dossier. Elle expire au bout de quinze minutes, ne permet aucune écriture, et son ouverture est inscrite au journal d'audit.
Intégrité
Une altération se voit.
Empreinte des pièces
Les pièces déposées reçoivent une empreinte SHA-256, qui permet de vérifier qu'une copie est identique à l'original.
Dossier de transmission scellé
Au scellement, une empreinte SHA-256 chaînée est calculée : la moindre modification ultérieure produirait une empreinte différente.
Journal d'audit en ajout seul
Les opérations sensibles sont journalisées. La base refuse de modifier un événement, y compris au compte de service, et ne le supprime qu'avec toute sa chaîne, par la purge de conservation. Chaque événement est chaîné au précédent par son empreinte.
Continuité
Les sauvegardes.
Chaque jour, conservées sept jours
La base de données est sauvegardée automatiquement chaque jour par Supabase ; les sept dernières sauvegardes quotidiennes sont conservées.
Ce qu'elles couvrent
Ces sauvegardes portent sur la base de données. Elles ne contiennent pas les fichiers déposés, que l'hébergeur stocke à part.
Limites écrites
Ce que nous ne revendiquons pas.
- Aucune certification ISO 27001 ni SOC 2.
- Aucun objectif de reprise après incident (RPO, RTO) n'est publié à ce jour, ni aucun rapport de test de restauration.
- La double authentification est disponible ; nous ne la disons pas obligatoire tant que l'obligation n'est pas appliquée à tous les comptes.
Le statut juridique d'ORION, les rôles au sens du RGPD et la conformité des cabinets sont décrits sur la page Sécurité & conformité.
Sécurité : vos questions
Un cabinet peut-il voir les clients d'un autre cabinet ?
Non. Le cloisonnement est appliqué par la base de données à chaque requête (Row Level Security). Un cabinet n'accède jamais aux clients ni aux actifs d'un autre cabinet, et un client ne voit que son propre patrimoine.
Où sont hébergées les données ?
La base de données, l'authentification et les fichiers sont chez Supabase, dans la région eu-west-1 (Irlande) ; l'application tourne chez Vercel, à Francfort. Certains prestataires sont établis aux États-Unis, dont Anthropic pour l'intelligence artificielle : ces transferts sont encadrés par les garanties du chapitre V du RGPD (décision d'adéquation, ou à défaut clauses contractuelles types de la Commission européenne). La politique de confidentialité des particuliers nomme les principaux prestataires établis aux États-Unis et la garantie de leurs transferts ; pour les cabinets, le détail est communiqué sur demande (politique de confidentialité, § 6).
Les données sont-elles chiffrées ?
Oui. En transit par TLS (versions 1.2 et 1.3), avec HTTPS imposé par l'en-tête HSTS ; au repos par l'hébergeur, en AES-256 d'après sa page de sécurité.
Puis-je activer la double authentification ?
Oui, sur tous les comptes : un code à usage unique tiré d'une application d'authentification, avec des codes de secours en cas de perte du téléphone.
ORION est-il certifié ISO 27001 ou SOC 2 ?
Non. ORION ne revendique aucune certification. Cette page décrit les mesures en place, telles que le code et l'infrastructure les appliquent.
Comment signaler une faille de sécurité ?
Écrivez à security@orion-finance.eu, en décrivant la faille et la façon de la reproduire. La marche à suivre est publiée sur la page « Signaler une faille ».
Signalement
Vous pensez avoir trouvé une faille ?
Écrivez à security@orion-finance.eu. La marche à suivre tient en quelques lignes.