Sécurité des données

Dernière mise à jour : 4 novembre 2026

EnergiOS traite, pour le compte des installateurs, des données sensibles : coordonnées et documents de leurs clients, avis d’imposition, devis et factures. Cette page décrit les mesures en place dans la plateforme à la date indiquée ci-dessus. Le traitement des données personnelles est détaillé dans notre politique de confidentialité.

1. Isolation des données de chaque entreprise

Chaque donnée (projet, client, document, devis, facture) est rattachée à l’entreprise qui l’a créée.
La base de données applique elle-même des règles d’accès ligne par ligne (Row Level Security de PostgreSQL), activées sur toutes ses tables : chaque lecture et chaque écriture d’un utilisateur est filtrée selon l’entreprise à laquelle il appartient, en plus des contrôles faits par l’application.
Les opérations techniques qui doivent passer outre ces règles (génération des PDF, dépôt de fichiers, tâches planifiées) s’exécutent uniquement sur nos serveurs, avec une clé qui n’est jamais transmise au navigateur.

2. Comptes, sessions et rôles

La connexion se fait par adresse email et mot de passe, gérés par le service d’authentification Supabase : les mots de passe ne sont jamais stockés en clair.
Les pages de l’application ne s’ouvrent qu’après connexion ; sans session valide, l’utilisateur est renvoyé vers l’écran de connexion.
L’appartenance à l’entreprise est revérifiée à chaque page et à chaque action : un membre désactivé par son entreprise est déconnecté de l’application dès sa page ou son action suivante.
Chaque utilisateur a un rôle dans son entreprise (propriétaire, administrateur, commercial ou technicien), et certaines actions sont réservées à certains rôles.

3. Documents et espace client

Les fichiers (avis d’imposition, pièces du dossier, devis et factures en PDF) sont conservés dans des espaces de stockage privés : aucun fichier n’a d’adresse publique.
Un fichier n’est remis que par un lien signé, qui expire. Le type et la taille des fichiers acceptés sont limités.
Votre client ouvre son espace par un lien personnel envoyé par email, sans mot de passe. Ce lien repose sur un jeton aléatoire, propre à son projet, qui expire. À chaque ouverture, la base vérifie qu’il n’a été ni révoqué ni dépassé ; en le régénérant, vous désactivez l’ancien lien.
L’espace client n’affiche que ce dont votre client a besoin : devis, aides estimées, documents et avancement. Son revenu fiscal de référence n’y est jamais affiché.
Le nombre de requêtes vers l’espace client est limité, pour freiner les tentatives d’abus.

4. Hébergement et infrastructure

Base de données, comptes et fichiers : Supabase, projet situé dans la région Paris (Union européenne).
Application : Vercel. Les traitements côté serveur s’exécutent aux États-Unis ; les garanties qui encadrent ce transfert sont décrites dans notre politique de confidentialité.
Toutes les connexions sont chiffrées en HTTPS, et le navigateur est tenu de toujours utiliser HTTPS sur energios.ai (en-tête HSTS).
Les clés d’accès aux services externes sont fournies à l’application par les variables d’environnement de l’hébergeur : aucune ne figure dans le code source.
Les notifications reçues de nos prestataires de paiement, de signature électronique et d’emails sont vérifiées par signature cryptographique : une notification non authentifiée est rejetée.
Les tâches planifiées ne s’exécutent que sur un appel authentifié par une clé secrète.

5. Historique et intégrité

L’historique des événements métier (devis envoyé ou signé, facture émise, étapes du chantier…) fonctionne en ajout seul : la base de données refuse toute modification ou suppression d’une entrée enregistrée.
Les devis signés et les factures émises ne sont plus modifiables.
L’empreinte numérique (SHA-256) du PDF de chaque facture émise et de chaque devis envoyé en signature est conservée, pour pouvoir en vérifier l’intégrité.
Les erreurs techniques de l’application sont enregistrées dans les journaux d’exécution de notre hébergeur.

6. Nos engagements

Nous ne publions sur cette page que des mesures vérifiées dans la plateforme, et nous n’affichons aucune certification que nous ne détenons pas.
Si un incident de sécurité touchait des données personnelles, nous appliquerions les obligations du RGPD : information de l’installateur concerné dans les meilleurs délais lorsque nous traitons ces données pour son compte, et notification à la CNIL dans les conditions de l’article 33 lorsque nous sommes responsables du traitement.

7. Nous contacter

Pour toute question sur la sécurité, ou pour nous signaler une vulnérabilité, écrivez-nous par courrier : Groupe Kapitale, 29 avenue du Maréchal Juin, 93260 Les Lilas. Merci de ne pas exploiter une vulnérabilité au-delà de ce qui est nécessaire pour la démontrer, et de ne pas accéder aux données d’autrui.

Voir aussi : politique de confidentialité, politique cookies, conditions générales d’utilisation et mentions légales.