Cette page résume les contrôles techniques déjà appliqués dans le produit, ainsi que les principes que nous suivons pour les intégrations, les documents et les accès.
Acorda applique un modèle multi-tenant. Les accès à la base de données sont contraints par des règles d'authentification et de rôle. Les espaces de travail d'organisations distinctes ne sont pas conçus pour être visibles entre eux.
Les écritures les plus sensibles, notamment certains paramètres d'intégration, sont réservées au serveur. Les règles d'accès côté base de données sont appliquées côté backend et par l'infrastructure Firebase.
L'authentification est gérée par Firebase Auth et supporte l'email/mot de passe et Google. Les rôles (owner, admin, member) encadrent l'accès aux actions sensibles dans chaque organisation.
L'activation d'une authentification multi-facteur (MFA) par SMS ou application d'authentification est en cours de déploiement afin de permettre aux organisations d'imposer un niveau de protection additionnel.
Les secrets d'intégration les plus sensibles, notamment pour Make et Fireflies, sont actuellement chiffrés au repos côté serveur avant enregistrement dans la base de données.
Certaines améliorations restent au backlog, notamment la rotation explicite des secrets, la protection anti-rejeu et un audit log d'intégration centralisé.
Acorda permet déjà l'envoi de propositions et le suivi d'événements transactionnels. Le niveau actuel de signature électronique reste adapté à des contextes commerciaux courants, mais il est en cours de durcissement pour offrir une preuve plus forte.
Pour signaler une vulnérabilité, un doute de sécurité ou une question sur le traitement des données, écrivez à support@acorda.ca.
Cette page est un résumé public et non une certification tierce. Acorda ne prétend pas actuellement à une certification SOC 2, ISO 27001 ou équivalente sur la base du code audité.