Sécurité et données
Les quatre espaces sont étanches
Agence, candidat du portail, ImmoPass, prestataire : chacun a sa session, son cookie et sa clé propre. Une session d’un espace ne peut pas en ouvrir un autre, même par erreur de routage.
Une seule à la fois : se connecter quelque part ferme l’autre. Sans cela, un même navigateur pourrait détenir deux sessions, et se déconnecter n’en fermerait qu’une.
Les mots de passe
Hachés avec Argon2id. Ils ne sont jamais stockés en clair et ne peuvent pas être retrouvés. Huit tentatives échouées verrouillent le compte pendant quinze minutes.
Les sessions
| Espace | Durée |
|---|---|
| Agence | Quinze minutes, renouvelées automatiquement pendant trente jours d’usage. |
| ImmoPass | Douze heures. |
| Prestataire | Deux heures. |
Les jetons vivent dans des cookies inaccessibles au JavaScript. Un jeton de renouvellement rejoué révoque toute la session : il n’existe aucun cas légitime où deux personnes présentent le même.
Les données d’une agence ne se croisent jamais
Chaque lecture porte l’identifiant de l’agence, vérifié côté serveur. Une agence ne peut pas voir un bien, une visite ou un candidat d’une autre, même en modifiant une adresse.
Les pièces d’un ImmoPass sont chiffrées
Chiffrement AES-256-GCM avant écriture. Le fichier n’existe nulle part en clair. Il est déchiffré à la volée au moment d’être lu, et passe par l’application plutôt que par un lien direct, ce qui permet aussi de journaliser chaque consultation.
Ce que le score ne peut pas prendre en compte
Nationalité, origine, religion, santé, handicap, grossesse, situation familiale, nombre d’enfants, âge, genre, opinions politiques, appartenance syndicale, orientation sexuelle.
Ces informations valent zéro point quelle que soit la configuration, et l’écran signale une question fautive plutôt que de l’ignorer en silence. Un dossier locatif refuse même de les enregistrer.
Aucune décision automatique
Rien dans l’application ne prononce d’acceptation ni de refus. Le score classe une file, un humain tranche, et sa décision est datée et attribuée.
Les durées de conservation
| Donnée | Durée |
|---|---|
| Pièce d’un ImmoPass | Un an, puis effacement automatique du fichier et de sa ligne. |
| Compte dont l’adresse n’a jamais été confirmée | Trente jours, puis suppression avec ses pièces. |
| Lien de connexion prestataire | Trente minutes, et une seule utilisation. |
| Code de vérification | Court, et un nouveau code invalide le précédent. |
Le droit à l’effacement
- Titulaire d’un ImmoPass : il supprime son dossier lui-même, depuis son profil. Les fichiers sont retirés du stockage.
- Candidat sans ImmoPass : c’est l’agence qui exerce le droit pour lui, depuis la fiche d’une visite. Son identité est écrasée, les visites restent et ne désignent plus personne.
Le journal d’audit
Les actions sensibles sont tracées : connexions, décisions sur une offre ou un dossier, effacements, changements de rôle. Le journal ne contient jamais de mot de passe ni de jeton.
Les quotas
Les appels ouverts à Internet sont limités : dix connexions par minute, cinq codes de vérification par dix minutes, cinq candidatures de prestataire par heure. Ils protègent des balayages automatiques.