Architecture de sécurité de Patrimyn, mesures techniques en place, et procédure de signalement responsable de vulnérabilités.
Patrimyn manipule des données financières sensibles : soldes bancaires, transactions, positions boursières, crypto-actifs. Notre engagement : traiter ces données avec la même rigueur qu'une banque, sans en avoir la complexité.
Trois principes guident nos choix techniques :
• Minimalisme : nous collectons uniquement ce qui est nécessaire au service. Aucune donnée vendue, aucune publicité.
• Lecture seule : Patrimyn ne peut jamais initier de paiement ou virement. La connexion bancaire est read-only via les agrégateurs PSD2 agréés.
• Souveraineté utilisateur : tu peux à tout moment exporter (Art. 20 RGPD) ou supprimer (Art. 17 RGPD) toutes tes données.
TLS 1.3 forcé pour tous les échanges. HSTS activé. Mots de passe hashés (bcrypt côté Supabase) — l'administrateur ne peut pas les lire.
Supabase Auth (JWT signé HS256). Connexion email/password ou OAuth Google. Tokens à durée limitée, renouvelés automatiquement.
Row Level Security (RLS) Postgres : chaque utilisateur ne peut lire et écrire que ses propres données, vérifié au niveau base de données.
Agrégation bancaire via Powens (ACPR n° 16958) et Enable Banking (Finanssivalvonta). Lecture seule, consentement explicite renouvelable.
HSTS, X-Frame-Options DENY (anti-clickjacking), X-Content-Type-Options nosniff, Referrer-Policy strict, CSP active.
Limitation par IP et par utilisateur sur tous les endpoints sensibles (auth, agrégation bancaire, génération PDF, export).
Données stockées dans l'Union européenne (Supabase EU, Railway EU). Aucun transfert hors UE pour les données personnelles.
Suppression de compte = purge complète sous 30 jours sur toutes les tables (RGPD Art. 17), avec confirmation explicite.
Patrimyn s'appuie sur des prestataires reconnus pour minimiser sa propre surface d'attaque :
Aucun de ces prestataires n'utilise tes données à des fins commerciales ou publicitaires.
Patrimyn applique une politique de divulgation responsable. Si tu identifies une vulnérabilité (XSS, contournement RLS, fuite de données, IDOR, etc.), nous te demandons de :
En contrepartie, nous nous engageons à :
Hors scope : ingénierie sociale, attaques physiques, vulnérabilités tierces (Powens, Supabase, Railway — à signaler directement à ces prestataires), automatisation massive (scanners de vuln auto), problèmes de sécurité dans des navigateurs obsolètes.
Pour tout signalement de vulnérabilité ou question sécurité :
contact@patrimyn.comVoir aussi notre fichier /.well-known/security.txt (RFC 9116)
En cas d'incident de sécurité affectant tes données personnelles, et conformément à l'article 33 RGPD, nous notifierons l'Autorité de protection des données dans les 72 heures suivant la découverte. Si l'incident présente un risque élevé pour tes droits et libertés, tu en seras personnellement informé par email dans les meilleurs délais (Art. 34 RGPD).
Patrimyn fait l'objet d'audits internes réguliers. La roadmap sécurité prévoit notamment :
Dernière mise à jour : avril 2026