Vue d'ensemble
OMB Cloud est en activité depuis 2012 et traite des données B2B client au Mexique, en Espagne, aux États-Unis et au Canada. Sécurité et fiabilité ne sont pas des fonctionnalités ajoutées par-dessus — ce sont des contraintes qui façonnent chaque décision d'architecture. Cette page décrit, en termes concrets, comment nous protégeons les données client.
Chiffrement des données
Tout le trafic vers omb.cloud passe par TLS 1.3. HSTS activé avec max-age d'un an et directive preload. Au repos, les identifiants sensibles (clés d'API, refresh tokens OAuth, secrets de processeurs de paiement) sont chiffrés en AES-256 avant écriture en base. Les sauvegardes sont chiffrées.
Authentification et contrôle d'accès
L'authentification utilise bcrypt pour le hashage des mots de passe avec des tokens "remember-me" rotatifs (split selector/validator, comparaison en temps constant). Les sessions ont leur scope sur le domaine omb.cloud, marquées Secure, HttpOnly et SameSite=Lax. Nous appliquons un contrôle d'accès basé sur les rôles (RBAC) couplé à une matrice granulaire de permissions.
Isolation multi-tenant
OMB Cloud est multi-tenant par conception. Chaque table de domaine porte un tenant_id et chaque lecture/écriture a son scope sur le tenant actif. L'usurpation de super-admin est auditable : real_tenant_id est préservé aux côtés de active_tenant_id pour chaque action effectuée pendant l'usurpation.
Résidence et rétention des données
Les données client sont stockées dans nos data centers primaires. Nous retenons les données opérationnelles pendant la vie du compte plus 30 jours après résiliation (TTL de soft-delete), après quoi elles sont définitivement purgées. Le client peut demander une suppression anticipée par écrit.
Sauvegarde et reprise après sinistre
Snapshots quotidiens de la base avec récupération point-in-time. La configuration critique est versionnée. Notre runbook de réponse aux incidents s'engage à notifier sous 24 heures toute brèche affectant des données client.
Conformité
OMB Cloud est conçu pour supporter le RGPD (UE), la LGPD (Brésil), le CFDI 4.0 (Mexique) et Facturae (Espagne). SOC 2 Type II est en cours. Nous ne vendons jamais les données client.
Signaler une vulnérabilité
Les chercheurs en sécurité peuvent signaler leurs trouvailles à security@omb.cloud. Nous accusons réception sous 48 heures et créditons le chercheur lors de la résolution, sauf préférence d'anonymat.