**Contenu PROVISOIRE — à réviser par un conseiller juridique avant publication.** Les mentions entre crochets [À COMPLÉTER] doivent être renseignées par l'administrateur NORA.

Sécurité

_Version provisoire. Date d'entrée en vigueur et date de mise à jour sont gérées par l'administrateur NORA._

1. Approche

NORA applique des mesures techniques et organisationnelles raisonnables pour protéger les données de la plateforme. Cette page décrit les contrôles réellement en place. NORA ne revendique aucune certification (SOC 2, ISO 27001 ou autre) tant qu'elle n'a pas été attestée par un administrateur autorisé.

2. Gestion des accès et des comptes

• Authentification gérée par la plateforme, avec jetons de session et déconnexion automatique.
• Rôles et permissions granulaires (administrateur municipal, gestionnaire, personnel, analyste, communications, observateur).
• Principe du moindre privilège et révocation des accès en fin de mandat.

3. Isolation des données

NORA est multi-tenant : les données sont estampillées par municipalité et isolées par des règles de sécurité au niveau des lignes (row-level security). Un utilisateur ne peut accéder qu'aux données de sa propre municipalité, sauf rôles d'administration centrale NORA.

4. Chiffrement

• En transit : chiffrement TLS des communications entre les navigateurs et la plateforme.
• Au repos : données chiffrées sur l'infrastructure d'hébergement; fichiers privés accessibles par URL signée à durée limitée.

5. Hébergement et infrastructure

La plateforme est hébergée sur une infrastructure cloud gérée; les données sont stockées au Canada. Les mises à jour et correctifs de sécurité sont appliqués régulièrement.

6. Sauvegardes et continuité

Des sauvegardes sont effectuées selon la stratégie de l'infrastructure d'hébergement. Un plan de continuité vise le rétablissement du service en cas d'incident. [À COMPLÉTER — fréquence des sauvegardes et objectif de rétablissement.]

7. Surveillance et journalisation

• Journalisation des actions sensibles (création, modification, publication, suppression, accès aux fichiers privés).
• Conservation des journaux à des fins d'audit et d'investigation.
• Surveillance des activités anormales.

8. Réponse aux incidents

En cas d'incident de sécurité, NORA identifie, contient et corrige la situation, puis évalue l'obligation de notification des personnes concernées et de la municipalité, conformément à la loi applicable.

9. Divulgation responsable

Pour signaler une vulnérabilité de manière responsable : info@avecnora.com (à l'attention de la sécurité). NORA s'engage à examiner les signaux et à reconnaître les contributions de bonne foi.

10. Sécurité applicative et développement

• Revue du code et validation des entrées.
• Gestion des secrets par variable d'environnement, jamais exposée côté client.
• Principe de validation côté serveur pour les opérations sensibles (soumission de participation, approbation, envois de courriels).

11. Fournisseurs de service

NORA recourt à des fournisseurs d'hébergement, d'envoi de courriels et de modèles d'analyse assistée. La liste est gérée par l'administrateur NORA et peut être communiquée sur demande raisonnée. [À COMPLÉTER — liste détaillée.]

12. Certifications

Aucune certification n'est revendiquée tant qu'elle n'a pas été vérifiée et attestée. Cette page sera mise à jour le cas échéant.

13. Contact

Pour toute question de sécurité : info@avecnora.com.