Sécurité

Comment Neo protège ton compte, tes connexions et tes données, et comment nous signaler une faille.

Dernière mise à jour : 14 octobre 2026

Tes accès

• Ta clé d'accès Neo n'est conservée que sous forme hachée : nous ne pouvons pas la lire.
• Les jetons qui donnent accès à tes apps (Google, Microsoft, Slack et les autres) sont chiffrés (AES-256-GCM) et ne quittent jamais le serveur.
• Chaque appel fait à une de tes apps est inscrit dans un journal (app, action, résultat), sans le contenu ni les jetons. Tu peux le consulter dans ton espace.
• Les actions qui modifient tes données attendent ta confirmation.

Connexion et sessions

• Sessions protégées. Ta clé d'accès s'échange contre une session de navigateur protégée (témoin HttpOnly et Secure, inaccessible aux scripts). Une session expire après 24 heures d'inactivité et au plus tard après 7 jours. Le bouton « Déconnecter tous mes appareils », dans Profil, ferme toutes tes sessions d'un coup.
• Validation en deux étapes (optionnelle). Active-la dans Profil avec une app d'authentification. Une fois activée, ta clé seule ne suffit plus : un code à 6 chiffres est demandé, et 10 codes de secours te sont remis.
• Journal des connexions. Chaque connexion est inscrite (date, adresse IP, navigateur, résultat), jamais ta clé ni tes codes. Tes 15 dernières connexions sont visibles dans Profil.

Plusieurs comptes par app

• Selon ton palier, tu peux connecter 1, 2 ou 4 comptes par app. Chaque compte ajouté est connecté par la personne qui en est propriétaire, avec son propre consentement chez le fournisseur.
• Un même compte ne peut pas être connecté deux fois. Chaque compte a ses propres jetons chiffrés, son nom et sa propre déconnexion.
• Quand plusieurs comptes existent, Neo lit dans le compte par défaut et te demande lequel utiliser avant d'envoyer, de créer ou de modifier quoi que ce soit.
• Le journal indique le compte utilisé pour chaque action. Pour retirer un compte, clique « Déconnecter » à côté de son nom : l'accès est révoqué chez le fournisseur quand c'est possible et ses jetons sont effacés.

L'intelligence artificielle

Les demandes envoyées au modèle passent par des fournisseurs à rétention zéro : ils ne conservent pas tes données et ne s'en servent pas pour s'entraîner.

Le serveur

• Connexions chiffrées (HTTPS, HSTS), en-têtes de sécurité stricts et limites contre les abus.
• Politique de sécurité du contenu stricte (CSP) : le navigateur refuse tout script ou style qui ne vient pas de Neo.
• Accès d'administration par clé seulement, pare-feu fermé par défaut, correctifs de sécurité appliqués chaque jour.
• Sauvegarde chiffrée de la base chaque jour, conservée 30 jours, en plus d'une copie avant chaque changement important et de tests après chaque mise à jour.
• Analyses de sécurité automatisées de neo.gnetics.ca (OWASP ZAP, avec et sans connexion, et d'autres outils) : aucune faille de gravité élevée ou moyenne relevée lors de la dernière analyse (octobre 2026).

Si quelque chose arrive

Nous avons un plan de réponse aux incidents. Si un incident de confidentialité présente un risque de préjudice sérieux, nous aviserons les personnes concernées et la Commission d'accès à l'information, comme le prévoit la Loi 25. Quand des données d'utilisateurs Google sont touchées, nous avisons aussi Google. La personne responsable de la protection des renseignements personnels est Didier Jean.

Supprimer ton compte

Quand tu supprimes ton compte, nous retirons d'abord les autorisations données à Neo chez les fournisseurs qui le permettent, puis nous effaçons tes connexions, tes clés, tes conversations et tes fichiers. Voir aussi la politique de confidentialité.

Signaler une faille

Tu as trouvé une vulnérabilité? Écris à contact.gnetics@gmail.com avec les étapes pour la reproduire. Nous répondons en moins de 3 jours ouvrables. Nous ne poursuivrons pas une recherche de bonne foi qui n'accède pas aux données d'autres personnes, ne nuit pas au service et n'utilise pas l'ingénierie sociale. Notre fichier security.txt donne les mêmes informations.