Confiance
La sécurité, en termes simples
Les registres santé et sécurité citent des personnes réelles, le jour où tout a mal tourné. Voici comment Forma360 traite ces données, avec les mots simples du reste du site. Y compris ce que la plupart des pages sécurité passent sous silence : ce que nous n'avons pas encore.
Une organisation, une frontière
Chaque enregistrement appartient à votre organisation et lui est rattaché au niveau de la couche de données. Un espace de travail ne peut jamais lire un autre espace de travail. L'isolation fait partie de la construction même de la plateforme, ce n'est pas un filtre ajouté par-dessus.
Des permissions appliquées côté serveur
Des jeux de permissions nommés déterminent qui peut voir et faire quoi, et chaque contrôle s'exécute sur le serveur. Masquer un bouton n'est jamais le modèle de sécurité. Affectez une personne à des sites : elle voit les enregistrements de ces sites, de tous les sites rattachés et son propre travail. C'est vrai dans les registres, la recherche, les exports, les tableaux de bord comme dans l'assistant. La désactivation d'une personne prend effet immédiatement, y compris pour les sessions déjà ouvertes, et la plateforme refuse toute modification qui laisserait un espace de travail sans administrateur.
Une connexion qui résiste aux mots de passe divulgués
Connectez-vous avec un mot de passe ou avec un code à usage unique envoyé par e-mail. Chaque compte peut toujours utiliser le code. Les mots de passe font au moins 12 caractères, sont vérifiés contre les fuites de données connues au moment où ils sont définis, et sont stockés hachés. Chaque changement ou réinitialisation de mot de passe déclenche un e-mail au titulaire du compte et ferme les autres sessions.
Des liens de partage sous votre contrôle
Les liens de partage publics (rapports d'inspection, briefings) utilisent des jetons longs et impossibles à deviner, sont exclus de l'indexation par les moteurs de recherche et peuvent être révoqués à tout moment. La révocation est immédiate.
L'assistant voit ce que vous voyez
L'assistant IA répond uniquement à partir des enregistrements de votre propre espace de travail, filtrés selon vos propres permissions. Sur WhatsApp, la signature de chaque message entrant est vérifiée et l'expéditeur est rattaché à son compte avant toute recherche.
Une télémétrie sans vos données
Les rapports d'erreurs sont nettoyés avant de quitter l'application : corps de requête, cookies, paramètres d'URL et jetons d'accès sont supprimés. Diagnostiquer une panne ne revient jamais à exporter vos enregistrements.
Chiffrement, sauvegardes et audit
Tout le trafic est chiffré en transit, et l'application tourne sur une infrastructure cloud gérée. L'activité d'administration est consignée dans un journal d'audit que vos administrateurs peuvent consulter depuis les paramètres, et chaque registre s'exporte à la demande. Vos enregistrements ne sont jamais pris en otage.
Ce que nous n'avons pas encore
Nous préférons vous le dire plutôt que vous le laisser découvrir : l'authentification unique (SSO/SAML) et les certifications formelles comme ISO 27001 ne sont pas encore en place. Si votre organisation doit faire remplir un questionnaire de sécurité avant de nous adopter, envoyez-le-nous. Nous y répondons honnêtement.
Questions, questionnaires, signalements
Tout passe par support@forma360.io. Si vous pensez avoir trouvé une vulnérabilité, signalez-la à cette adresse avant de la divulguer ailleurs. Nous prenons chaque signalement au sérieux et nous répondons comme des humains.