Sécurité
Vos données bancaires, traitées comme le ferait une banque.
Un logiciel de trésorerie voit tous vos comptes. Nous avons conçu Tessaly pour qu'il se contente de voir, sauf si vous l'autorisez explicitement à faire plus, et pour que chaque action laisse une trace que vos auditeurs peuvent suivre.
Certifications et audits
SOC 2 Type II
Audit annuel par un cabinet indépendant portant sur la sécurité, la disponibilité et la confidentialité. Le dernier rapport est disponible sous accord de confidentialité.
ISO/IEC 27001:2022
Notre système de management de la sécurité de l'information est certifié pour l'ensemble de la plateforme Tessaly et les équipes qui l'exploitent.
RGPD
Nous agissons en tant que sous-traitant dans le cadre d'un accord de traitement des données incluant les clauses contractuelles types de l'UE.
Comment la plateforme est construite
Lecture seule par défaut
Les connexions bancaires ne reçoivent que les droits de consultation des soldes et relevés. Les droits de paiement font l'objet d'une connexion distincte, optionnelle, qui exige un administrateur et un second validateur.
Chiffrement
Les données sont chiffrées en transit avec TLS 1.2 ou supérieur et au repos avec AES-256. Les identifiants et jetons bancaires sont conservés dans un service de gestion de clés dédié et ne sont jamais visibles par nos équipes.
Hébergement des données
Les clients américains sont hébergés sur AWS us-east-2 (Ohio). Les clients européens peuvent choisir AWS eu-central-1 (Francfort), sauvegardes comprises dans la même région.
Contrôle d'accès
SSO SAML, provisionnement SCIM, MFA obligatoire et droits par rôle jusqu'au niveau de l'entité et du compte.
Validations
Les paiements et virements au-delà du plafond que vous fixez exigent deux validateurs. Personne ne peut valider sa propre demande.
Piste d'audit
Chaque connexion, modification de règle, ajustement de prévision et paiement est journalisé (qui, quoi, quand), conservé sept ans et exportable en CSV.
Tests et gestion des incidents
Un cabinet externe réalise chaque année un test d'intrusion complet de l'application et de l'infrastructure, complété par des analyses automatisées en continu. Les incidents sont traités selon un plan de réponse documenté, et les clients concernés sont prévenus sous 72 heures.
Vous avez trouvé une vulnérabilité ? Écrivez à security@tessalyfi.com. Nous accusons réception sous un jour ouvré.