Sécurité

Un mot de passe doit compter au moins 12 caractères, et les mots de passe courants ou compromis sont refusés. Nous ne conservons qu’une empreinte irréversible, jamais le mot de passe lui-même, et nous ne l’écrivons jamais dans un journal. Changer un mot de passe demande le mot de passe actuel.

Vous pouvez vous connecter avec une clé d’accès au lieu d’un mot de passe. Votre téléphone ou votre ordinateur détient la clé et demande votre empreinte digitale, votre visage ou le NIP de l’appareil chaque fois. Une clé d’accès ne fonctionne que sur EvenHearth, de sorte qu’un site qui l’imite ne peut pas l’utiliser. Nous vous écrivons par courriel quand une clé est ajoutée.

La connexion avec une clé d’accès est complète en elle-même : l’empreinte digitale, le visage ou le NIP constitue la deuxième étape. Une fois que vous avez une clé d’accès, la connexion avec votre mot de passe, Google, Facebook ou Apple exige aussi une deuxième étape : la clé d’accès, un code de votre application d’authentification si vous en avez une, ou une approbation depuis un autre appareil.

Les clés d’accès fonctionnent dans les navigateurs qui les prennent en charge et dans l’application Android. L’application iOS ne les prend pas encore en charge.

Vous pouvez ajouter une deuxième étape, un code d’une application d’authentification, après votre mot de passe, Google, Facebook ou Apple. L’activer vous donne dix codes de récupération, affichés une seule fois. Chacun ne fonctionne qu’une fois, et nous ne conservons qu’une empreinte irréversible de chacun. Paramètres indique combien il en reste, et en générer un nouvel ensemble remplace l’ancien.

Un téléphone ou un ordinateur sur lequel vous êtes déjà connecté peut approuver une connexion. L’écran de connexion affiche un nombre et l’autre appareil en propose trois. Seul le bon vous laisse entrer.

Si vous perdez votre application d’authentification, vos codes de récupération et vos clés d’accès, l’écran de connexion peut vous envoyer par courriel une réinitialisation. Elle attend 72 heures et avertit tous les appareils connectés, et se connecter autrement pendant ce temps l’annule.

Certains changements exigent que vous vous soyez connecté dans les 15 dernières minutes : définir ou changer votre mot de passe, changer votre adresse courriel, activer ou désactiver la validation en deux étapes, générer de nouveaux codes de récupération, ajouter, renommer ou retirer une clé d’accès, lier ou dissocier Google, Facebook ou Apple, déconnecter un autre appareil ou tous les appareils, supprimer votre compte, confier un foyer à quelqu’un d’autre, supprimer un foyer et rouvrir un mois clôturé.

Si cela fait plus longtemps, on vous demande ce que demanderait la connexion : une clé d’accès seule, ou votre mot de passe, Google, Facebook ou Apple. Lorsqu’une application d’authentification est activée, ceux-ci exigent aussi un code de cette application ou un code de récupération, et un code de récupération est alors épuisé. Si une clé d’accès est votre seule deuxième étape, seule la clé d’accès convient. L’extension de navigateur et le site de chasse aux bogues ne peuvent pas faire ces changements.

Nous vous écrivons par courriel quand une façon de vous connecter change : un mot de passe défini, changé ou réinitialisé, une clé d’accès, Google, Facebook ou Apple ajouté ou retiré, la validation en deux étapes activée ou désactivée, de nouveaux codes de récupération et une nouvelle adresse courriel. Si ce n’était pas vous, le courriel indique quoi faire.

Une nouvelle adresse courriel doit être confirmée avec un code envoyé à cette adresse. L’ancienne adresse reçoit un lien qui annule le changement pendant sept jours et déconnecte tous les appareils.

Vos données sont chiffrées pendant leur transit vers nous et là où elles sont stockées, et les parties les plus personnelles, comme les noms, les notes, les commentaires, et les images de reçus et leur texte, sont chiffrées de nouveau avec une clé propre à votre foyer ou à votre compte seulement. Lorsque vous effacez votre compte ou un foyer, ces parties deviennent illisibles dans nos sauvegardes dans les 14 jours, et les sauvegardes elles-mêmes sont supprimées dans les 100 jours.

Chaque requête est vérifiée sur nos serveurs en fonction de ce que vous avez le droit de voir. Un lien de réinitialisation de mot de passe ne fonctionne qu’une fois et expire après une heure.

EvenHearth ne déplace jamais d’argent, alors il ne demande jamais de numéros de carte, d’identifiants bancaires ni de jetons de paiement.

Si vous découvrez un problème de sécurité, écrivez à support@maliko.ca avec assez de détails pour le reproduire. Veuillez ne pas accéder aux données d’autres personnes pour le démontrer.

Si vous testez de bonne foi, respectez la section 7.1 des Conditions d’utilisation et nous laissez une chance raisonnable de corriger le problème avant d’en parler à quiconque, nous ne vous poursuivrons pas pour cela.