01 / 07
RLS multi-tenant
100 % des tables tenant-aware sont protégées par Row Level Security. Les policies utilisent uniquement les claims JWT, jamais de SELECT DB (zéro récursion, zéro problème de perf).
Postgres / JWT
FidUp est conçu selon les standards de la finance suisse. Chiffrement, isolation, audit trail, restriction d'accès — à tous les niveaux.
RLS
Multi-tenant
AES-256
GCM
Audit
10 ans
Cabinet cockpit
Mardi, 07:12
Inbox
synchronisé
LBA
synchronisé
Mandats
synchronisé
Priorité IA
Valider ADE Tessuto Holding avant vendredi.
Ouvrir le mandat
Architecture sécurité
Chaque pilier est implémenté dans le produit, testé, et fait partie de nos engagements contractuels DPA.
01 / 07
100 % des tables tenant-aware sont protégées par Row Level Security. Les policies utilisent uniquement les claims JWT, jamais de SELECT DB (zéro récursion, zéro problème de perf).
02 / 07
Tous les tokens OAuth, clés API, configurations sensibles sont chiffrés applicativement en AES-256-GCM avant stockage en DB. Rotation des clés v1 → v2 supportée.
03 / 07
Trigger anti-modification sur la table audit_logs : pas de UPDATE, pas de DELETE possibles. Toute opération sur données sensibles est tracée. Conservation 10 ans.
04 / 07
2FA via TOTP recommandé pour chaque utilisateur. Obligatoire pour les admins et AMLCO. Sessions qui expirent à l'inactivité, refresh JWT automatique.
05 / 07
La service_role key ne quitte jamais le serveur. Jamais dans un composant React. Les opérations privilégiées passent par des RPCs Supabase SECURITY DEFINER.
06 / 07
La table des communications MROS est invisible à 95 % du cabinet. Seuls l'AMLCO et les admins y ont accès via une policy RLS dédiée, chaque lecture est tracée.
07 / 07
Pentest annuel par une société suisse indépendante prévu dès 2027. Programme bug bounty privé ouvert aux chercheurs (contact : security@fidup.io).
Réponse aux incidents
SLA documentés, publiés, contractuels. On ne joue pas avec vos données.
Status incident
status.fidup.io — public, temps réel, sans login.
01
Détection
Sentry monitoring + alertes Supabase + logs Vercel sur toutes anomalies.
02
Containment
Blocage immédiat des sessions compromises, rotation des clés JWT en moins d'1 heure.
03
Notification
PFPDT notifié dans les 72h selon nLPD, clients impactés informés directement.
04
Post-mortem
Publié publiquement sur status.fidup.io sous 14 jours.
En 14 jours, vous pouvez tester notre architecture RLS, les audit logs, et les mécanismes anti tipping-off LBA sur vos vraies données.