Sécurité et confidentialité dans Keursnel

Vous vous connectez avec votre adresse e-mail et un mot de passe d'au moins huit caractères. Lors de votre inscription, vous confirmez d'abord votre adresse e-mail. Vos collègues reçoivent une invitation de votre organisation.

Si votre adresse e-mail ou votre mot de passe est incorrect, vous recevez toujours le même message. On ne peut donc pas savoir quelle adresse e-mail a un compte. Le formulaire d'inscription ne le révèle pas non plus. Après trop de tentatives, vous devez patienter un moment.

Votre session est stockée dans des cookies que seul le serveur lit. Les scripts du navigateur n'y ont pas accès.

La déconnexion ne déconnecte que cet appareil. L'application efface alors aussi les données chiffrées sur l'appareil.

• Inscription avec une adresse e-mail confirmée
• Lien d'invitation : valable sept jours, utilisable une seule fois
• Mot de passe d'au moins huit caractères
• Session dans des cookies que seul le serveur lit

Keursnel fonctionne aussi sans internet. À la première ouverture, l'application enregistre ses propres fichiers sur l'appareil. Il s'agit uniquement de code, pas de données.

Ce que vous saisissez et photographiez va d'abord dans une file d'attente sur l'appareil. Pour les inspections ouvertes, l'application conserve une copie de travail.

La file d'attente et la copie de travail sont chiffrées en AES-GCM. La clé vient du serveur, par utilisateur. Sur l'appareil, elle ne peut pas être exportée.

Les données quittent l'appareil dès qu'elles sont envoyées, quand vous vous déconnectez, et au plus tard après 14 jours. Ce que le serveur refuse reste en place jusqu'à ce que vous choisissiez : réessayer ou supprimer.

Attention : l'application n'a pas encore été testée sur de vraies tablettes et de vrais téléphones.

Chaque table de la base de données a une sécurité au niveau des lignes (RLS). Un utilisateur ne voit ainsi que les lignes auxquelles il a droit.

Les applications lisent selon ces règles. L'écriture passe uniquement par des fonctions sur le serveur. Celles-ci vérifient elles-mêmes qui fait la demande et ce qu'il a le droit de faire.

Ce qu'un rôle peut faire est enregistré sous forme de données sur le serveur. Il y a trois rôles : administrateur principal, gestionnaire et membre de l'équipe. Un membre de l'équipe n'a pas de droits de gestion.

Pour chaque membre de l'équipe, vous définissez ce qu'il voit : toutes les inspections, ou seulement les siennes et celles qui lui sont attribuées.

Les photos et autres fichiers sont stockés dans un espace privé, avec au maximum 50 Mo par fichier.

• Sécurité au niveau des lignes sur chaque table
• Écriture uniquement via des fonctions qui vérifient qui fait la demande
• Trois rôles et 21 droits
• Fichiers dans un espace privé

La livraison fige l'inspection en une version du rapport, avec tous les montants et toutes les notes. Cette version ne change plus jamais.

Chaque version du rapport a une somme de contrôle SHA-256. L'application vérifie cette somme avant d'afficher la version. Si elle ne correspond pas, le rapport ne s'affiche pas.

Chaque photo reçoit aussi une somme de contrôle. La photo originale ne change jamais ; une retouche s'y superpose comme un calque. Une zone masquée ne figure vraiment plus dans l'image du rapport.

Quelques parties du rapport sont lues dans vos paramètres au moment de l'affichage. Il s'agit de la page de garde, des textes fixes pour l'en-tête et la signature, et du logo pour fond sombre.

Vous partagez un rapport avec un lien secret, par version du rapport. Une nouvelle version reçoit un nouveau lien. Votre client ne lit ainsi jamais autre chose à son insu.

Vous pouvez toujours révoquer un lien. Il ne fonctionne alors plus, et le fichier est supprimé. La page partagée ne contient pas de script et les moteurs de recherche ne peuvent pas l'indexer.

L'application n'a pas de traceurs et ne charge pas de scripts de tiers. Les données ne vont à un tiers que dans trois cas. Ils figurent ci-dessous, et n'ont lieu qu'après une action de votre part ou d'un collègue.

Une règle de sécurité du navigateur (Content-Security-Policy) l'impose. Le rapport lui-même est un document unique sans script, qui contient les polices et les photos. Il ne charge rien de l'extérieur.

Vos données, fichiers et mises à jour en direct sont hébergés chez Supabase. La connexion passe par une passerelle propre sur Vercel.

• L'adresse vers PDOK (BAG du Kadaster, le cadastre néerlandais), pour l'année de construction, le type de logement et la surface
• Le numéro de bâtiment vers 3D BAG (TU Delft), pour le volume en m³, pour un bâtiment avec un seul logement
• Une police de Google Fonts, si votre bureau la choisit. Elle est ensuite stockée avec les données de votre bureau.

Vous supprimez votre compte vous-même dans l'application, dans Instellingen, Account en apparaat (« Paramètres, Compte et appareil »). Votre compte et vos adhésions disparaissent alors. Les inspections restent à votre organisation.

Vous êtes administrateur principal ? Transférez alors d'abord votre rôle à un autre membre.

Vous pouvez faire une copie de sauvegarde d'une inspection. L'administrateur principal peut aussi exporter toutes les données de l'organisation. Une telle sauvegarde n'est pas chiffrée. Conservez donc le fichier en lieu sûr.

Vous voyez un problème de sécurité ? Signalez une faille via la page de contact.

• Suppression du compte dans l'application
• Révocation du lien de partage quand vous voulez
• Suspension ou suppression de membres de l'équipe
• Inspections supprimées 30 jours dans la corbeille
• Copie de sauvegarde : non chiffrée