Sécurité et données : à vérifier soi-même.

• Microsoft ne sert qu’à la connexion et à vérifier qu’une personne travaille dans votre entreprise. Comrido n’appelle pas Microsoft Graph et n’a aucun accès aux e-mails, calendriers, fichiers, contacts, à l’annuaire ni aux conversations Teams.
• Votre entreprise ne reçoit aucune information sur des personnes précises. Il n’existe pas de tableau de bord employeur avec des données personnelles.
• Hébergé sur un serveur en Allemagne (dogado GmbH, Leipzig). Comrido n’a aucune certification (ISO 27001, SOC 2, TISAX) et n’en prétend aucune.
• Ce qui manque encore aujourd’hui figure sans fard dans la section « Ce qui manque encore ».

• À la connexion, Comrido demande ces périmètres : openid, profile, email et son propre périmètre access_as_user pour l’API Comrido. Rien de plus.
• Du jeton, Comrido ne lit que l’identifiant de votre organisation, l’identifiant du compte et l’adresse e-mail professionnelle. Comrido ne lit pas le nom ; chacun saisit lui-même son nom affiché.
• Le périmètre access_as_user identifie le navigateur ou Teams auprès de l’API Comrido. Il ne donne accès à aucune donnée chez Microsoft.
• L’API vérifie chaque jeton : signature par rapport aux clés du locataire, émetteur, audience et périmètre. Seules les entreprises que nous avons activées peuvent se connecter ; tout autre locataire est refusé.
• L’application Teams est un seul onglet personnel avec exactement un domaine. Elle n’a aucune autorisation d’appareil (caméra, micro, localisation), pas de bot, pas d’extension de messagerie et aucune autorisation pour les conversations ou canaux.
• Comment le vérifier : l’écran de consentement de Microsoft à la première connexion liste les autorisations. Dans le centre d’administration Teams, Applications Teams → Gérer les applications → Comrido affiche version, autorisations et domaine ; le fichier ZIP contient le manifest.json lisible. Dans Entra ID, Applications d’entreprise → Comrido → Autorisations montre ce que votre locataire a accordé.

• Identité : identifiant de l’organisation et du compte, statut d’emploi, dates de vérification. Pas de mot de passe. L’adresse e-mail professionnelle reste liée à la session uniquement tant que celle-ci dure, pour pouvoir activer les e-mails d’alerte sans la saisir à nouveau ; elle est supprimée à la déconnexion.
• Profil : un nom affiché choisi librement ; nom réel et fonction sont facultatifs et visibles des autres seulement si la personne l’autorise.
• Trajet : lieu de travail, zone de départ (code postal, rue sans numéro ou point approximatif sur la carte), routine hebdomadaire, véhicule et places proposées. Une adresse exacte n’est jamais obligatoire ; les autres ne voient qu’une zone approximative.
• Collaboration : trajets, messages texte entre personnes mises en relation, évaluations et signalements.
• La mise en relation au-delà des frontières de l’entreprise est un réglage de chaque personne (par défaut : activé). Votre entreprise ne peut pas le lire.
• Ce que voit votre entreprise : rien sur des personnes précises. Il n’y a pas de vue employeur. Les analyses que nous faisons nous-mêmes (trajets, horaires) ne portent que sur des groupes d’au moins cinq personnes. En tant qu’exploitant, nous voyons des indicateurs, des signalements de sécurité, des restrictions et les inscriptions à la bêta. Si l’entreprise le souhaite, nous lui envoyons un récapitulatif mensuel ne contenant que des totaux (à partir de 5 personnes) ; chaque consultation et chaque export sont journalisés.
• Comment le vérifier : avec un compte de test, « Télécharger mes données » dans l’application montre tout ce qui est stocké sur une personne. La politique de confidentialité décrit les mêmes catégories.

• Chaque personne peut supprimer son compte dans l’application. Les trajets ouverts sont annulés ; profil, routine, messages, blocages, partenaires, groupes, appareils, notifications et connexions sont supprimés. Les trajets passés et les évaluations restent sans nom.
• Départ de l’entreprise : l’appartenance à votre entreprise est revérifiée tous les 30 jours via la connexion Microsoft ; la personne doit alors se reconnecter. Quiconque a quitté l’entreprise ne peut plus se connecter. Les comptes dont le compte professionnel n’a pu être confirmé pendant 12 mois sont supprimés automatiquement par Comrido (exécution quotidienne).
• Sont aussi supprimés automatiquement : les sessions terminées avec l’adresse e-mail (chaque jour), les demandes de notification après 12 mois, les signalements de sécurité, restrictions, notifications et preuves d’acceptation des conditions 2 ans après la suppression du compte. Les demandes de trajet expirent après 48 heures. Les traces des alertes de nouvelle correspondance (qui a été signalé à qui) : après 12 mois. Les demandes « Demander à mon entreprise » : après 12 mois. Les sessions prennent fin après 30 jours sans utilisation, au plus tard après 90 jours ; chaque personne peut se déconnecter partout.
• Comment le vérifier : créez un compte de test, téléchargez ses données puis supprimez-le dans l’application. Les durées figurent dans la politique de confidentialité, section sur la conservation.

• Hébergement : un serveur chez dogado GmbH à Leipzig. La base de données n’est pas accessible de l’extérieur. Toutes les adresses utilisent HTTPS avec HSTS (un an).
• Sous-traitants et ce qu’ils reçoivent : dogado GmbH, Leipzig (hébergement). INWX GmbH (domaine). Brevo, Sendinblue SAS, France (e-mails de l’application : adresse du destinataire et contenu ; avec contrat de sous-traitance). Microsoft Ireland (connexion uniquement). TomTom International B.V., Pays-Bas (recherche de lieux et temps de trajet : texte saisi, départ et destination, position arrondie à environ 1 km ; ni adresse IP ni nom). OpenStreetMap Foundation, Royaume-Uni (images de carte ; voit l’adresse IP de l’appareil). Open-Meteo, Suisse (météo pour une zone arrondie à environ 10 km). Services push de Google, Apple et Mozilla (seulement si la personne active le push).
• Des statistiques n’existent que sur la page d’accueil comrido.com, avec notre propre Umami, sans cookies et sans lire l’appareil. L’application elle-même n’a pas de statistiques.
• Il n’existe pas encore de modèle de contrat de sous-traitance (AVV/DPA) entre votre entreprise et Comrido. Si votre service de protection des données en souhaite un, écrivez-nous ; nous le créerons.
• Comment le vérifier : n’importe quel test TLS (par exemple SSL Labs) et un coup d’œil aux en-têtes de réponse de app.comrido.com montrent le chiffrement et les en-têtes de protection. Les sous-traitants figurent aussi dans la politique de confidentialité.

• Sessions : le cookie de session est HttpOnly et Secure ; sa valeur est une valeur aléatoire de 256 bits et seule son empreinte est stockée dans la base. Chaque requête vérifie la session et l’appartenance actuelle à l’entreprise.
• Protection contre les abus : limitation du débit pour toute l’API (300 requêtes par minute par session ou adresse IP), plus stricte pour la connexion et les formulaires. Les saisies sont validées côté serveur selon un schéma ; la base limite les longueurs.
• Protection du navigateur : Content-Security-Policy, intégration de l’application uniquement par Teams et Microsoft 365 (frame-ancestors), X-Content-Type-Options, Referrer-Policy et Permissions-Policy. L’API ne sert que du JSON et interdit l’intégration.
• Console d’exploitation : adresse propre, protection par mot de passe devant et lien à usage unique envoyé uniquement à une adresse d’exploitant fixe (15 minutes, usage unique, session de 12 heures). Rôles et droits sont séparés ; les actions sont consignées dans un journal d’audit, les actions sensibles exigent un motif.
• Journaux : sans contenu des requêtes, cookies ni données personnelles ; 30 Mo au plus par service, puis écrasés.
• Assurance qualité : des tests automatisés (environ 70 fichiers de test et des tests de navigateur) sont exécutés pendant le développement.
• Comment le vérifier : les outils de développement du navigateur montrent les attributs du cookie et les en-têtes. Un test de sécurité de votre choix contre app.comrido.com est bienvenu si vous nous écrivez d’abord.

• Aucune certification : ni ISO 27001, ni SOC 2, ni TISAX.
• Il n’y a pas encore eu de test d’intrusion indépendant.
• Les messages du chat sont stockés en clair dans la base (pas de chiffrement de bout en bout). Le chiffrement des disques chez l’hébergeur n’est pas documenté.
• La console d’exploitation utilise un mot de passe et un lien à usage unique, pas une véritable authentification multifacteur.
• Les messages et trajets passés des comptes actifs ne sont pas encore supprimés automatiquement (prévu : messages après 90 jours, trajets après 12 mois).
• Sauvegarde : le serveur est sauvegardé la nuit. Durée de conservation, chiffrement et tests de restauration de la sauvegarde ne sont pas documentés ; les données supprimées peuvent y rester jusque-là.
• Un départ de l’entreprise n’est remarqué qu’au prochain contrôle (jusqu’à environ 30 jours), pas en temps réel.
• Il n’y a ni modèle de contrat de sous-traitance, ni page d’état, ni processus d’incident fixe, ni disponibilité garantie.

Merci de signaler les failles de manière confidentielle à info@comrido.com. Les coordonnées figurent aussi dans security.txt.