Sécurité & conformité

• MFA TOTP (Google Authenticator, Microsoft Authenticator) obligatoire pour HR_ADMIN, PAYROLL_ADMIN, ORG_ADMIN et Platform Owner
• SSO Google natif pour les organisations qui l'ont activé
• Magic links email pour la récupération de mot de passe (jamais de mot de passe en clair)
• Cookies HTTPOnly + Secure + SameSite=Lax avec rotation courte (30s pour le cache de session)
• Détection des connexions échouées avec audit log dédié

• AES-256-GCM côté serveur pour IBAN, BIC, numéro national d'identité, numéro fiscal, numéro CNSS
• Configuration SMTP par organisation chiffrée (mots de passe relais email)
• Tokens API des appareils biométriques chiffrés
• TLS 1.3 obligatoire sur toutes les connexions (HSTS strict-transport-security)
• Clés de chiffrement rotables via variable d'environnement (LEVIA_FIELD_ENCRYPTION_KEY)

• 200+ actions auditées : congés, paie, pointage, recrutement, RGPD
• Acteur, date, organisation, entité concernée, payload structuré
• Données sensibles automatiquement masquées dans les logs (IBAN affiché en ****1234, salaires en delta %)
• Export CSV + Excel filtré par module / action / acteur / date
• Conservation 7 ans (durée légale prescription comptable)
• Page /admin/audit dédiée avec recherche full-text et filtres

• Article 15 (droit d'accès) : export JSON complet des données personnelles + historique d'activité, en 1 clic
• Article 17 (droit à l'oubli) : anonymisation manuelle avec motif obligatoire OU automatique pour les profils inactifs
• Article 5(1)(e) (limitation de la conservation) : cron hebdomadaire qui anonymise les candidats POOL/UNQUALIFIED inactifs > 24 mois (configurable)
• Article 9 (données sensibles) : les empreintes biométriques NE sont JAMAIS stockées par Levia. Les appareils gardent localement des templates non-réversibles, on stocke juste la référence
• Consentement explicite par membre avant enrôlement biométrique, signature électronique du document, possibilité de retrait
• Notification email post-traitement aux administrateurs après chaque opération RGPD automatique

• 🇫🇷 France · Conforme CNIL : exports DPO, archivage légal 5 ans, durées de rétention CNIL pour les candidats (2 ans)
• 🇹🇳 Tunisie · Conforme Loi 2004-63 (INPDP) : déclaration de traitement disponible, hébergement compatible
• 🇲🇺 Maurice · Conforme Data Protection Act 2017 (Data Protection Office) : aligné RGPD, paie CSG/NSF/PAYE conforme MRA
• 🇲🇦 Maroc · Conforme Loi 09-08 (CNDP) : exports candidats, durées de rétention 2 ans alignées
• 🇩🇿 Algérie · Conforme Loi 18-07 sur la protection des données
• Conventions collectives sectorielles intégrées : SYNTEC, BANKING, BTP, TEXTILE, OFFSHORING, HOSPITALITY, INDUSTRY
• Calculs paie certifiés par pays avec sources légales citées dans les tests

• Hébergement Vercel (Paris/Francfort) + base PostgreSQL Neon (région Europe)
• Storage R2 Cloudflare avec chiffrement SSE-S3, CDN inclus, pas de frais de sortie
• Aucun transfert vers les USA pour les données client (à l'exception de l'assistant IA via Anthropic, opt-in par organisation)
• Sauvegardes chiffrées quotidiennes avec rétention 30 jours, restauration testée mensuellement
• Plan de reprise d'activité (PRA) : RPO 24h, RTO 4h
• Status page publique : leviahr.com/status

• Filtrage explicite par organizationId sur 100 % des requêtes BDD applicatives
• Le concept de Platform Owner est isolé via un flag isPlatformShadow filtré dans tous les listings
• Tests automatisés sur l'isolation tenant (Vitest + tests E2E Playwright)
• Aucune requête cross-tenant sans audit explicite
• Les ID exposés dans les URLs sont des CUID non-prédictibles (pas d'énumération possible)

• Rôles hiérarchiques : EMPLOYEE < MANAGER < HR_USER < HR_ADMIN < PAYROLL_ADMIN < ORG_ADMIN
• Séparation des pouvoirs en paie : PAYROLL_ADMIN calcule, ORG_ADMIN valide (impossible à la même personne)
• Step-up authentication MFA exigée avant chaque validation de campagne de paie
• API publique avec clés scopées (READ_MEMBERS, READ_LEAVES, READ_PAYSLIPS, WRITE_LEAVES)
• Révocation immédiate possible, logs d'utilisation par clé API

Art. 15 · Droit d'accès

Bouton ⚖️ sur le profil → export JSON structuré avec profil + historique d'activité + métadonnées légales. Action tracée dans l'audit log.

Art. 17 · Anonymisation

Bouton 👤 sur le profil → prompt motif obligatoire → PII effacées (nom, email, téléphone, CV) tout en gardant les stats agrégées. Action tracée + raison juridique sauvegardée.

Art. 5(1)(e) · Cleanup auto

Cron hebdomadaire qui anonymise automatiquement les candidats inactifs > 24 mois. Configurable par organisation. Email de notification post-run au Platform Owner.