Assistance & confiance

Sécurité et confiance

Les mesures de sécurité réellement mises en place pour protéger votre compte, vos achats et vos données — sans promesse que nous ne pouvons pas démontrer.

Dernière mise à jour :

Cette page décrit uniquement des mesures effectivement en place et vérifiées sur notre système. Elle sera mise à jour à chaque évolution.

Connexion et comptes

  • Connexion sans mot de passe par défaut : l'accès à l'espace client se fait par un lien de connexion à usage unique envoyé par email, via Firebase Authentication (Google). Aucun mot de passe n'est jamais envoyé par email.
  • Mot de passe facultatif : si vous en définissez un, il est conservé par Firebase Authentication sous forme chiffrée irréversible ; nous n'y avons pas accès.
  • Adresse confirmée : l'accès aux contenus Premium exige une adresse email confirmée.
  • Un achat ne modifie jamais un compte existant : il ne réinitialise ni mot de passe ni session. Lorsqu'un compte existe déjà sans adresse confirmée, l'achat n'y est rattaché qu'après une preuve de contrôle de la boîte mail.
  • Suppression en libre-service : vous pouvez supprimer votre compte depuis « Mon compte » ; une connexion récente est exigée.

Accès aux contenus

  • Vérification côté serveur à chaque consultation : pour afficher un prompt Premium, nos serveurs vérifient votre identité, la confirmation de votre adresse et l'existence d'un droit d'accès actif. Le contrôle ne dépend pas de l'affichage de la page.
  • Contenus Premium hors des pages publiques : ils sont stockés uniquement dans une base de données protégée. Des tests automatiques vérifient, avant chaque mise en ligne, qu'aucun contenu Premium ne figure dans les fichiers publics du site.
  • Base de données fermée au navigateur : les règles de sécurité de la base Firestore refusent tout accès direct depuis un navigateur ; seule notre API, avec un compte de service dédié, y accède.
  • Retrait automatique : un remboursement ou une contestation de paiement retire automatiquement l'accès au produit concerné.

Paiement

  • Page de paiement hébergée par Stripe : vos informations de carte sont saisies chez Stripe et ne transitent jamais par nos serveurs.
  • Notifications de paiement signées : chaque notification de Stripe est vérifiée (signature) avant d'être prise en compte ; une notification rejouée n'a aucun effet supplémentaire.
  • Encaissement après contrôle : le paiement est d'abord autorisé, puis encaissé seulement si le produit, le montant et le pays de la commande sont conformes ; sinon l'autorisation est annulée sans aucun prélèvement.

Infrastructure

  • API et base de données hébergées en Europe : région Google Cloud europe-west1 (Belgique). Les comptes de connexion sont gérés par Firebase Authentication (Google).
  • Connexions chiffrées (HTTPS) pour les pages du site et l'API.
  • Secrets protégés : les clés de paiement et secrets techniques sont stockés dans Google Secret Manager, jamais dans le code ni dans le dépôt de sources.
  • Moindre privilège : des comptes de service dédiés, limités aux seules permissions nécessaires, sans clé d'accès exportée.
  • Limitation des requêtes sur les opérations sensibles (paiement, liens de connexion, association d'achat).
  • Mises en production contrôlées : chaque version de l'API passe des tests automatiques et un contrôle de l'image avant déploiement, puis une approbation manuelle.
  • Journaux techniques conservés 30 jours pour la sécurité et le diagnostic.

Ce que nous ne revendiquons pas

Cloud Tech Innovation ne détient à ce jour aucune certification de sécurité (par exemple ISO 27001 ou SOC 2) et n'a pas fait réaliser de test d'intrusion ni d'audit de sécurité externe. Nos prestataires (Google Cloud, Stripe, Vercel) disposent de leurs propres certifications, qui ne s'étendent pas automatiquement à notre service.

Signaler un problème de sécurité

Si vous pensez avoir découvert une faille, écrivez à support@cloudtechinnovation.com avec une description du problème. Merci de ne pas accéder aux données d'autres utilisateurs et de nous laisser le temps de corriger avant toute divulgation.

Confidentialité

Les données traitées, leurs durées de conservation et vos droits sont détaillés dans la politique de confidentialité.

Last updated:

This page only describes measures actually in place and verified in our system. It will be updated as things change.

Sign-in and accounts

  • Passwordless sign-in by default: access to the customer area uses a single-use sign-in link sent by email, through Firebase Authentication (Google). No password is ever sent by email.
  • Optional password: if you set one, Firebase Authentication stores it in irreversible encrypted form; we have no access to it.
  • Confirmed address: access to Premium content requires a confirmed email address.
  • A purchase never changes an existing account: it resets neither the password nor the session. If an account already exists without a confirmed address, the purchase is only linked to it after proof of control of the mailbox.
  • Self-service deletion: you can delete your account from "My account"; a recent sign-in is required.

Access to content

  • Server-side checks every time: to display a Premium prompt, our servers check your identity, the confirmation of your address and that you have an active right of access. The check does not depend on how the page is displayed.
  • Premium content kept out of public pages: it is stored only in a protected database. Automated tests check, before each release, that no Premium content appears in the website's public files.
  • Database closed to browsers: the Firestore database security rules deny all direct browser access; only our API, with a dedicated service account, can reach it.
  • Automatic removal: a refund or a payment dispute automatically removes access to the product concerned.

Payment

  • Payment page hosted by Stripe: your card details are entered at Stripe and never pass through our servers.
  • Signed payment notifications: every notification from Stripe is verified (signature) before being processed; a replayed notification has no additional effect.
  • Collection after checks: the payment is first authorized, then collected only if the product, amount and country of the order are valid; otherwise the authorization is cancelled with no charge.

Infrastructure

  • API and database hosted in Europe: Google Cloud region europe-west1 (Belgium). Sign-in accounts are managed by Firebase Authentication (Google).
  • Encrypted connections (HTTPS) for the website pages and the API.
  • Protected secrets: payment keys and technical secrets are stored in Google Secret Manager, never in the code or the source repository.
  • Least privilege: dedicated service accounts limited to the permissions they need, with no exported access key.
  • Request limits on sensitive operations (payment, sign-in links, purchase linking).
  • Controlled releases: each API version goes through automated tests and an image check before deployment, followed by manual approval.
  • Technical logs kept for 30 days for security and diagnosis.

What we do not claim

Cloud Tech Innovation does not currently hold any security certification (such as ISO 27001 or SOC 2) and has not commissioned any penetration test or external security audit. Our providers (Google Cloud, Stripe, Vercel) hold their own certifications, which do not automatically extend to our service.

Reporting a security issue

If you believe you have found a vulnerability, write to support@cloudtechinnovation.com with a description of the issue. Please do not access other users' data, and give us time to fix it before any disclosure.

Privacy

The data processed, retention periods and your rights are detailed in the privacy policy.