Sécurité

• Authentification par email/mot de passe et via Google OAuth.
• Les mots de passe ne sont jamais stockés en clair : ils sont hachés par notre fournisseur d'authentification.
• Les sessions reposent sur des jetons à durée limitée, renouvelés automatiquement.
• Réinitialisation de mot de passe par email signé.
• Rôles applicatifs (membre, administrateur) gérés côté serveur pour éviter toute élévation de privilèges depuis le client.

• En transit : tous les échanges avec avicenne.cloud sont chiffrés via TLS 1.2 ou supérieur.
• Au repos : la base de données et le stockage d'artefacts (vidéos, captures, rapports) sont chiffrés par l'hébergeur.

• Chaque équipe dispose d'un workspace isolé.
• L'accès aux projets, runs, rapports et tests est restreint au workspace propriétaire au niveau base de données (Row-Level Security).
• Les liens de partage publics (rapports) sont protégés par un jeton opaque et peuvent être révoqués à tout moment.

• Les tests s'exécutent dans des environnements navigateur éphémères et cloisonnés.
• Aucun identifiant fourni dans un scénario n'est partagé entre workspaces.
• Les secrets utilisés par les tests sont chiffrés et seulement injectés au moment de l'exécution.
• Vous restez responsable de l'utilisation de comptes et données de test dédiés.

• Sauvegardes automatiques de la base de données par l'hébergeur.
• Architecture multi-zone pour limiter l'impact des incidents matériels.
• Statut du service et incidents communiqués sur demande ou via email.

• L'accès aux données clients est limité aux membres de l'équipe ayant un besoin opérationnel strict.
• Authentification renforcée pour les outils internes critiques.
• Journalisation des actions sensibles.

Si vous découvrez une vulnérabilité, merci de nous la signaler en privé à security@avicenne.cloud. Nous nous engageons à accuser réception sous 72 heures et à vous tenir informé de l'avancement de la correction. Merci de ne pas divulguer publiquement la faille tant qu'elle n'est pas corrigée.

La sécurité d'Avicenne repose sur trois acteurs :

• Notre hébergeur cloud : sécurité physique des centres de données, chiffrement plateforme, isolation infrastructure.
• KAMALOKA AI TECHNOLOGIES LLC : sécurité applicative, gestion des accès, contrôles d'isolation par workspace.
• Vous : protection de vos identifiants, choix d'utiliser des comptes de test pour vos scénarios, gestion des membres de votre équipe.