Sécurité

1. Chaque cabinet dans son propre espace

Les données de chaque cabinet sont cloisonnées directement dans la base de données : chaque requête est filtrée selon le cabinet de l'utilisateur connecté. Un utilisateur membre de plusieurs cabinets passe de l'un à l'autre, avec des droits propres à chacun.

Au sein du cabinet, l'accès dépend du rôle. Le dirigeant voit l'ensemble ; le coordinateur gère les sessions et les formateurs ; le commercial suit les opportunités et les devis ; le comptable consulte les honoraires et les encaissements. Les marges et la rentabilité restent réservées au dirigeant et au comptable.

2. Connexion et accès

• HTTPS imposé sur l'ensemble du service, avec les protections usuelles du navigateur (affichage dans un cadre tiers bloqué, politique de référent stricte).
• Mots de passe chiffrés de manière irréversible : ils restent illisibles, y compris pour l'éditeur.
• Le dirigeant invite et retire lui-même les membres de son équipe, et choisit leur rôle.

3. Liens partagés avec l'extérieur

Certaines pages s'ouvrent sans compte, pour simplifier le travail sur le terrain : fiche de présence par QR code, fiche de présence interne sur le téléphone du formateur, questionnaire d'évaluation, espace formateur.

• Chaque lien repose sur une clé aléatoire de 40 caractères, impossible à deviner, et donne accès à une seule session ou à un seul formateur.
• Le cabinet peut à tout moment remplacer un lien : l'ancien cesse aussitôt de fonctionner.
• L'espace formateur est en plus protégé par un code d'accès à 6 chiffres. Après 5 codes erronés, l'accès se bloque 15 minutes. Le formateur y voit son planning et ses honoraires ; le prix facturé au client et la marge du cabinet restent invisibles.

4. Assistant IA

• Réservé au dirigeant d'un cabinet Premium, il consulte les données en lecture seule : il calcule et résume, sans rien modifier.
• Il passe par les mêmes règles d'accès que l'application et ne voit que les données du cabinet. Le fournisseur du modèle, Anthropic, reçoit les éléments utiles à la réponse, sans le nom des participants.
• Les questions et les réponses restent dans la page ouverte ; seul le nombre de questions du mois est enregistré.

5. Documents

Les documents déposés (feuilles de présence signées, bons de commande, CV et pièces des formateurs, notes d'honoraires) sont stockés dans un espace privé. Ils s'ouvrent par des liens temporaires, valables une heure, générés pour un utilisateur habilité.

6. Montants protégés et traçabilité

• Une session qui porte des montants confirmés ou des paiements reste protégée contre la suppression.
• Les montants calculés automatiquement restent « à confirmer » jusqu'à leur validation par une personne habilitée.
• Le journal d'activité enregistre, directement dans la base de données, les créations, modifications et suppressions : sessions, participants, devis, montants dus, encaissements, honoraires, charges, équipe. Chaque entrée indique l'auteur, la date et le détail du changement. Les entrées restent inaltérables et sont consultables par le dirigeant.

7. Sauvegarde et réversibilité

• Le dirigeant télécharge à tout moment l'intégralité des données de son cabinet dans un fichier Excel lisible : entreprises, contacts, devis, sessions, participants, évaluations, formateurs, honoraires, encaissements, charges et journal d'activité.
• Cet export reste disponible après la fin de l'abonnement : vos données vous appartiennent.

8. Hébergement

L'application est hébergée par Vercel et la base de données par Supabase, deux prestataires reconnus, situés hors de Tunisie. Ce transfert s'inscrit dans le cadre de la loi organique n° 2004-63 sur la protection des données à caractère personnel, avec une autorisation sollicitée auprès de l'INPDP. Le détail des traitements figure dans la politique de confidentialité.

9. En cas d'incident

Si un incident touche les données d'un cabinet, l'éditeur l'en informe sans délai, et au plus tard sous 72 heures, avec la nature de l'incident, les données concernées et les mesures prises. L'INPDP est informée dans les conditions prévues par la loi.

10. Les bons réflexes côté cabinet

• Un compte par personne, avec un mot de passe propre à Sessio.
• Retirer l'accès d'un membre de l'équipe dès son départ, depuis Paramètres, Équipe.
• Couper l'espace formateur d'un intervenant qui cesse de travailler avec le cabinet.
• Remplacer le lien de présence ou d'évaluation d'une session dès qu'il circule au-delà des participants.
• Consulter régulièrement le journal d'activité, et télécharger une sauvegarde de temps en temps.

11. Signaler une faille

Une question de sécurité, ou une faille possible à signaler ? Écrivez-nous aux coordonnées indiquées dans les mentions légales. Chaque signalement est examiné en priorité.