Sécurité et signalement de vulnérabilités
Comment CaliMoney protège votre compte et comment signaler une vulnérabilité de sécurité
Comment vos données sont protégées
- En transit : chaque connexion à CaliMoney et à Firebase utilise HTTPS (TLS).
- Au repos : les données sont stockées dans Google Cloud Firestore dans l'UE (
europe-west8), chiffrées au repos par Google. Avec le chiffrement de bout en bout activé, le détail de vos mouvements est aussi chiffré sur votre appareil avec une clé que vous seul détenez. - Contrôle d'accès : les règles de sécurité Firestore permettent à chaque compte de lire et d'écrire uniquement ses propres documents. Les enregistrements réservés au serveur (limites de débit, jetons de récupération, journaux de notifications, retours) ne sont lisibles par aucun client.
- Protection du compte : authentification à deux facteurs facultative (TOTP), limites de débit sur les points sensibles et verrouillage automatique après 15 minutes d'inactivité quand le chiffrement est actif. Le déverrouillage biométrique facultatif garde la clé scellée sur l'appareil sous une clé d'accès qui exige votre visage, votre empreinte ou votre code.
- Fonctions d'IA : les requêtes aux fournisseurs d'IA se font sans conservation des données — les prompts et les réponses ne sont ni stockés ni utilisés pour l'entraînement.
- Mises à jour : CaliMoney est une app web. Les correctifs de sécurité atteignent chaque utilisateur au chargement suivant de la page, sans rien installer ; les dépendances sont auditées automatiquement à chaque modification.
Signaler une vulnérabilité
Si vous pensez avoir trouvé une vulnérabilité de sécurité, écrivez à support@calimoney.it avec l'objet "Security" et indiquez :
- une description du problème et de son impact,
- les étapes pour le reproduire (URL, requêtes, captures d'écran),
- si vous pensez qu'il est activement exploité.
À quoi vous attendre :
- un accusé de réception sous 5 jours ouvrés ;
- des nouvelles pendant l'enquête et la correction ;
- une mention dans l'annonce du correctif si vous le souhaitez.
Ne testez qu'avec votre propre compte, n'accédez pas aux données d'autres utilisateurs ni ne les modifiez, évitez de dégrader le service et laissez-nous un délai raisonnable pour corriger avant toute divulgation publique. Nous n'engagerons pas de poursuites contre une recherche de bonne foi respectant ces règles.
Le fichier de contact lisible par machine est publié à /.well-known/security.txt.
En cas de problème
Si une violation de données personnelles est susceptible de présenter un risque pour vos droits, nous la notifierons à l'autorité italienne de protection des données (Garante) dans les 72 heures et informerons les utilisateurs concernés dans les meilleurs délais, comme l'exige le RGPD (articles 33–34).