Retour à l'accueil

Sécurité et conformité

Architecture, localisation des données et contrôles de sécurité que nous mettons en œuvre pour protéger vos contenus, les voix clonées et les données de paiement.

HTTPS/TLS en transit
Chiffrement des données au repos selon les mesures des fournisseurs d'infrastructure
Infrastructure cloud gérée
Journaux d'audit de sécurité

Localisation des données et infrastructure

  • Database Supabase Postgres, selon la configuration du projet et les mesures techniques et organisationnelles du fournisseur.
  • CDN Cloudflare. Le trafic est servi via HTTPS ; les éventuelles protections réseau dépendent de la configuration du service.
  • Backend API Railway, selon la configuration du service.
  • Object storage (R2) Cloudflare R2, selon la configuration du service et les mesures de sécurité du fournisseur.
  • Paiements Stripe — PCI-DSS Level 1. Aucun numéro de carte ne transite par nos systèmes ni n'y est stocké.

Identité et authentification

  • Mots de passe hachés avec bcrypt (facteur de coût 12).
  • Code OTP à 6 chiffres par e-mail pour l'inscription et la réinitialisation du mot de passe.
  • Jeton de session httpOnly + Secure + SameSite=None (requis pour l'utilisation inter-origines entre l'application et l'API).
  • Connexion avec Google ; une configuration SSO SAML 2.0 est disponible pour l'offre Enterprise.

Protection des données biométriques (voix)

  • L'échantillon vocal brut est une donnée à caractère personnel. Les caractéristiques vocales traitées et le modèle vocal dérivé sont également des données à caractère personnel et peuvent constituer des données biométriques au sens de l'art. 9 GDPR lorsqu'ils résultent d'un traitement technique spécifique visant à identifier une personne de manière unique (identification/authentification vocale). Le clonage/la synthèse vocale que nous proposons n'a pas pour but de vous identifier de manière unique, mais nous appliquons néanmoins, à titre de précaution, les mêmes garanties que celles prévues pour les données biométriques — voir Biometric Data Policy.
  • Consentement électronique enregistré (texte, version, IP, date et heure).
  • Cross-language gate — la synthèse est bloquée dans toute langue non explicitement autorisée par l'utilisateur au moment de l'enrôlement vocal. Les tentatives non autorisées génèrent un safety_event de type consent_violation.
  • Destruction anticipée lorsque la finalité disparaît, en cas de retrait du consentement ou de suppression du profil ; limite maximale interne actuelle de 1095 jours à compter du consentement (voir Biometric Data Policy). Retrait et suppression sur demande.

Journaux d'audit de sécurité

  • Des événements de sécurité sélectionnés (par ex. accès, gestion du compte, accès SSO et actions administratives) sont enregistrés dans la table audit_events avec l'IP, le user-agent et l'horodatage UTC.
  • Export CSV disponible depuis le tableau de bord administrateur (rôle admin).
  • L'exportation elle-même est auditée (action admin.audit_exported).

Surveillance et réponse aux incidents

  • Les journaux applicatifs et d'infrastructure sont gérés via les services des fournisseurs d'hébergement.
  • Webhooks Stripe signés (HMAC SHA-256) — les charges utiles non signées sont rejetées.
  • En cas de violation de données à caractère personnel présentant un risque pour les droits et libertés des personnes, l'autorité de contrôle est notifiée sans retard injustifié et, si possible, dans les 72 heures suivant la prise de connaissance de la violation ; les personnes concernées sont informées dans les cas prévus (GDPR art. 33-34).

État de conformité

GDPR (UE 2016/679)
En cours d'alignement
CCPA / CPRA (California)
En cours d'alignement
BIPA (Illinois — biometric)
En cours d'alignement
DMCA (US Title 17)
Procédure par e-mail — en cours de consolidation

Contacts de sécurité

Incidents de sécurité : security@fynqcast.com

Confidentialité : privacy@fynqcast.com

DMCA : dmca@fynqcast.com