Sécurité et données

La technologie

La plateforme Urbania (Showroom, Urbania360 et Cam) est développée et exploitée par Urbania Group LLC, société constituée aux États-Unis. Le code est propriétaire : ce n'est ni un modèle ni un produit tiers revendu. L'équipe de développement travaille depuis Rosario, en Argentine.

Où se trouvent les données

La base de données principale tourne sur Supabase, sur Amazon Web Services, dans la région de São Paulo, au Brésil. Les API tournent sur Fly.io, également à São Paulo ; celles de Cam, en Virginie, aux États-Unis. Les sites, images et vidéos sont diffusés depuis le réseau mondial de Cloudflare, présent au Moyen-Orient, en Europe et dans les Amériques.

Tous les prestataires qui reçoivent des données personnelles, avec quelles données et où, figurent dans la liste des sous-traitants ultérieurs. Pour les clients qui ont besoin que leurs données restent dans une région déterminée, nous chiffrons une installation dédiée dans cette région.

Chiffrement

Toutes les communications transitent par HTTPS (TLS). Les données sont stockées chiffrées au repos avec AES-256, tant la base de données que les fichiers.

Les identifiants que les clients saisissent pour leurs intégrations (clés Stripe, jetons de systèmes de disponibilité) sont en outre chiffrés dans l'application avec AES-256-GCM, avec des clés qui n'existent que sur le serveur.

Isolation entre clients

Tous les clients partagent la plateforme, mais chaque requête est filtrée côté serveur par organisation et par projet : un client ne peut lire et écrire que ses propres données. Les identifiants de la base de données n'atteignent jamais le navigateur, et aucune table contenant des données de clients ne peut être lue via l'accès public à la base de données (vérifié table par table).

Contrôle d'accès

Chaque utilisateur a un rôle (client, agence immobilière ou agent) qui définit ce qu'il voit et ce qu'il peut faire. Le personnel d'Urbania n'accède aux données d'un client que pour fournir une assistance.

Protection de la plateforme

Le trafic passe par Cloudflare, qui filtre les attaques et le trafic abusif avant qu'ils n'atteignent les serveurs. Les formulaires et l'assistant virtuel vérifient que la personne qui les utilise est un humain (Cloudflare Turnstile), et les API limitent le nombre de requêtes par origine.

Sauvegardes

La base de données fait l'objet d'une sauvegarde quotidienne automatique, avec une conservation minimale de 7 jours. Les fichiers (images, rendus, plans, vidéos) disposent en outre d'une copie hebdomadaire dans un stockage séparé.

Pour les clients qui ont besoin de restaurer les données à un instant précis (avec une perte maximale de quelques minutes au lieu de quelques heures), la restauration à un instant donné peut être activée comme service supplémentaire.

Supervision

Les erreurs de l'application sont enregistrées dans Sentry afin de les détecter et de les corriger. Lorsqu'une session est enregistrée pour diagnostiquer une erreur, tout le texte et les champs de formulaire sont masqués : l'enregistrement ne montre ni noms, ni e-mails, ni numéros de téléphone. Les actions importantes dans les panneaux sont journalisées.

Intelligence artificielle

L'assistant virtuel utilise des modèles d'OpenAI (ou d'Anthropic, en alternative) via leur API. Selon les conditions de ces prestataires, les données envoyées par API ne sont pas utilisées pour entraîner leurs modèles.

Intégrations

Disponibles aujourd'hui : formulaires publicitaires de Meta et de Google, Google Tag Manager, Meta Pixel et paiements avec Stripe. De plus, le showroom se connecte au CRM, à l'ERP ou au système de gestion que chaque client utilise déjà (par exemple Odoo ou Isprop) : la disponibilité des lots peut provenir de ce système et les demandes peuvent lui être transmises. Si nous ne travaillons pas encore avec le vôtre, nous développons l'intégration.

Les identifiants d'accès à ces systèmes sont stockés chiffrés, ne sont plus jamais affichés une fois enregistrés et ne sont configurés que par l'équipe d'Urbania.

Certifications

Urbania ne détient pas aujourd'hui de certification propre (comme SOC 2 ou ISO 27001). Les principaux prestataires de son infrastructure (Amazon Web Services, Supabase et Cloudflare) disposent de rapports SOC 2 Type II.

Documents et contact

Accord de traitement des données : urbania3d.app/fr/legal/dpa. Liste des sous-traitants ultérieurs : urbania3d.app/fr/legal/subprocessors. Questions sur la confidentialité et la sécurité : [email protected].