Cette page décrit les mesures qui existent aujourd’hui dans le produit. Nous ne revendiquons aucune conformité aux référentiels FDA, GxP, ISO ou similaires – savoir s’ils concernent votre laboratoire relève de vos propres processus qualité.
Séparation des données par organisation
Chaque laboratoire est une organisation. Chaque donnée – stocks, échantillons, équipements, procédures, projets – appartient à une organisation, et chaque requête de l’application est limitée à l’organisation active. Un membre d’un laboratoire ne peut ni lire ni modifier les données d’un autre, et les données ne comportent aucune référence entre organisations.
Authentification
Les comptes utilisent l’authentification standard de Django, avec des mots de passe hachés. Les nouveaux comptes exigent une vérification de l’e-mail avant activation. Les sessions sont des cookies HTTPOnly avec une politique SameSite, et les déploiements de production fonctionnent derrière HTTPS avec HSTS. L’inscription comporte des protections contre l’énumération des comptes.
Autorisations par rôle
Au sein d’une organisation, les rôles vont de propriétaire et administrateur à lecteur, en passant par responsable de laboratoire, scientifique et technicien. Les autorisations sont appliquées côté serveur sur chaque point de modification – création, modification et suppression sont vérifiées par domaine, de sorte qu’un client qui ne respecte pas les règles ne peut pas les outrepasser. Les lecteurs ont un accès en lecture seule.
Piste d’audit
Les modifications des données sont consignées dans une piste d’audit, avec l’auteur, l’organisation, l’horodatage et ce qui a changé. Les événements de l’organisation touchant à la sécurité – changements de membres ou de rôles – sont également enregistrés, et le journal d’audit est consultable dans l’application.
Envoi de fichiers
Les fichiers envoyés (par exemple les certificats d’étalonnage) sont contrôlés en type et en taille, servis avec Content-Disposition: attachment afin que les documents soient téléchargés plutôt qu’exécutés dans votre navigateur, et ne sont accessibles qu’aux utilisateurs connectés.
Intégrité des données et sauvegardes
Le déploiement comprend des sauvegardes planifiées de la base de données, avec purge selon la durée de conservation, et un exercice de restauration documenté. La configuration de production impose les en-têtes liés à TLS (HSTS, content-type nosniff, interdiction des cadres) et une Content-Security-Policy stricte. Les sauvegardes sont documentées dans le guide de déploiement fourni avec le produit.
Vos données vous appartiennent
Vos données sont exportables : l’inventaire s’exporte en CSV, et l’API REST donne un accès programmatique à vos données. La suppression de votre organisation supprime ses données.
Signaler un problème
Si vous découvrez un problème de sécurité, écrivez à contact@scientivolab.com : nous le traiterons avec sérieux et répondrons au plus vite.