L'architecture de sécurité Brimmo
Quatre couches indépendantes qui se renforcent mutuellement. Si une couche tombe, les autres protègent toujours vos données.
Chiffrement AES-256 au repos
Toutes les données sensibles (transactions, jetons d'agrégateur, identifiants d'établissement) sont chiffrées en base avec AES-256-CBC via la clé applicative Laravel. Même un accès direct à la base ne révèle rien d'exploitable.
Lecture seule, toujours
Brimmo ne peut jamais initier un virement, un prélèvement, ou modifier votre compte. L'agrégateur DSP2 ne demande que la permission account-info, jamais payment-initiation.
Hébergement européen
Infrastructure hébergée en Union Européenne (France ou Allemagne selon le datacenter). Aucun transfert de données vers les États-Unis. Conformité RGPD native, pas de Cloud Act applicable.
Agrégateur agréé ACPR
Powens (ex-Budget Insight) est agréé par l'Autorité de Contrôle Prudentiel et de Résolution comme prestataire de services d'information sur les comptes (PSIC). Soumis aux mêmes obligations que les banques.
Comprendre la DSP2 en 2 minutes
La Directive sur les Services de Paiement 2 (DSP2) est une réglementation européenne entrée en vigueur en 2018. Elle impose aux banques d'ouvrir leurs API à des tiers agréés, sous le strict contrôle du client.
Concrètement, voici comment Brimmo interagit avec votre banque :
- 1 Vous initiez la connexion depuis Brimmo en choisissant votre banque. Vous êtes redirigé vers l'écran officiel de votre banque.
- 2 Vous vous authentifiez chez votre banque avec votre méthode habituelle (SCA : mot de passe + code SMS / app). Brimmo ne voit jamais vos identifiants.
- 3 Votre banque délivre un jeton à l'agrégateur, valide 90 jours, scope « lecture seule sur comptes courants ». Renouvelable par SCA.
- 4 Brimmo lit vos transactions, détecte les abonnements, calcule le provisionnement. Vous pouvez révoquer l'accès à tout moment depuis Brimmo ou depuis votre banque.
Conformité RGPD : vos droits, sans friction
Accès & portabilité
Exportez toutes vos données au format JSON depuis votre profil. Sans support, sans délai.
Effacement
Suppression du compte en un clic, irréversible et complète. Effacement physique sous 7 jours (purge des sauvegardes).
Minimisation
Nous ne stockons que ce qui est strictement nécessaire à la détection. Aucun ciblage publicitaire, aucune revente.
Ce que Brimmo ne fait jamais
- Stocker votre carte bancaire — aucun champ CB n'existe dans notre code.
- Initier un paiement — scope DSP2 strictement limité à la lecture.
- Partager vos données — aucun tiers publicitaire, aucun analytics tiers sur les pages authentifiées.
- Conserver vos identifiants bancaires — ils transitent uniquement entre vous et votre banque.
- Utiliser vos transactions pour entraîner un modèle — vos données ne quittent pas votre compte.
Une question sur notre sécurité ?
Écrivez-nous à security@brimmo.app pour toute demande technique, audit, ou divulgation responsable.
Voir la FAQ complète →