Sécurité
Vos documents méritent
une sécurité sérieuse.
JeScan stocke vos documents les plus sensibles — pièces d'identité, contrats, dossiers médicaux, relevés financiers. Nous traitons la sécurité comme une fonctionnalité produit essentielle, pas comme un ajout.
Stockage chiffré
Chaque document que vous téléversez est stocké chiffré au repos sur Cloudflare R2 — un service de stockage objet distribué mondialement, compatible S3, construit par Cloudflare. Vos fichiers ne sont jamais stockés non chiffrés, pas même temporairement pendant le traitement.
URL signées avec expiration
Les documents ne sont jamais accessibles publiquement. Quand vous consultez un document, JeScan génère une URL signée qui expire après 15 minutes. Même si quelqu'un intercepte une URL, elle devient inutile après expiration. Aucun lien permanent vers vos fichiers n'existe sur nos serveurs.
Isolation des données
Chaque requête en base de données inclut votre identifiant utilisateur comme filtre — il est impossible pour un utilisateur d'accéder aux documents d'un autre. Pour les espaces Équipe, les documents sont isolés par organisation, et l'accès est contrôlé par rôle (Propriétaire, Admin, Membre, Lecteur).
Traitement IA respectueux de la vie privée
Quand l'IA traite vos documents, nous envoyons le contenu textuel à l'API Claude d'Anthropic pour la classification et l'extraction de métadonnées. Anthropic n'utilise pas les entrées API pour entraîner ses modèles (selon leur accord de traitement des données). L'OCR peut s'exécuter côté client dans votre navigateur via Tesseract.js — ce qui signifie que les octets bruts du fichier ne quittent jamais votre appareil avant l'extraction du texte.
HTTPS partout
Toutes les communications entre votre navigateur et JeScan sont chiffrées via HTTPS avec TLS 1.2+. Nous appliquons HSTS (HTTP Strict Transport Security) avec un max-age de 2 ans, empêchant les attaques de rétrogradation. Les en-têtes de sécurité (X-Content-Type-Options, X-Frame-Options, Referrer-Policy) sont définis sur chaque réponse.
Authentification
JeScan utilise Google OAuth via Auth.js (NextAuth v5) pour l'authentification. Nous ne stockons jamais votre mot de passe — l'authentification est entièrement déléguée à Google. Les sessions sont gérées avec des cookies sécurisés, httpOnly, qui expirent après 30 jours d'inactivité.
Sécurité des paiements
Le traitement des paiements est entièrement géré par Stripe. JeScan ne voit, ne stocke et ne traite jamais votre numéro de carte bancaire. Stripe est certifié PCI DSS Niveau 1 — le plus haut niveau de certification de sécurité des paiements.
Suppression des données
Les documents supprimés vont dans la Corbeille pendant 30 jours, puis sont définitivement retirés de la base de données et du stockage R2. Quand vous supprimez votre compte, toutes les données sont définitivement effacées sous 30 jours. Vous pouvez exporter toutes vos données à tout moment depuis les Paramètres.
Pratiques de sécurité supplémentaires
- ✓Validation côté serveur des entrées sur toutes les routes API
- ✓Vérification du type MIME (pas seulement l'extension de fichier)
- ✓Limites de taille de fichier appliquées côté serveur (20 Mo max)
- ✓Limitation de débit sur les endpoints d'authentification et de téléversement
- ✓En-têtes Content Security Policy (CSP)
- ✓Aucun pixel de suivi tiers ni cookie publicitaire
- ✓Mises à jour régulières des dépendances et scan de vulnérabilités
- ✓Déploiement standalone sur notre propre infrastructure (pas d'hébergement mutualisé)
Divulgation responsable
Vous avez trouvé une vulnérabilité de sécurité ? Nous prenons chaque signalement au sérieux. Envoyez-nous un email à security@jescan.me avec les détails. Nous accuserons réception sous 48 heures et vous tiendrons informé de la correction.
Merci de ne pas divulguer publiquement les vulnérabilités avant que nous ayons eu l'opportunité de les corriger.
Sécurisé par défaut
Chaque compte JeScan bénéficie de la même sécurité — gratuit ou payant.
Commencer gratuitement