M20 — I18n & Scale Infrastructure

User Stories

📋 14 User Stories — M20

US20.1 Must En tant qu'utilisateur, je peux utiliser NOMIIQ en FR, EN, ES, PT, DE, AR et JA avec une qualité de traduction native (non machine seule).

US20.2 Must En tant que système, la langue est détectée automatiquement (navigateur / locale OS) et stockée dans le profil utilisateur.

US20.3 Must En tant que système, les traductions sont gérées avec un outil pro (Crowdin) et les nouveaux strings sont traduits en < 72h.

US20.4 Must En tant que système, les pages web (lieux, itinéraires) sont disponibles dans toutes les langues avec URL canonique (/en/place/tokyo, /fr/lieu/tokyo).

US20.5 Must En tant que PM, l'infrastructure supporte 100k utilisateurs actifs simultanés sans dégradation de performance mesurable.

US20.6 Must En tant que PM, la cible est 99.9% d'uptime mensuel (< 44 min downtime/mois). Un SLO dashboard est disponible en temps réel.

US20.7 Should En tant que système, les assets médias (images, vidéos) sont servis depuis le nœud Cloudflare le plus proche de l'utilisateur (< 50ms TTFB).

US20.8 Should En tant que PM, un load test (k6) valide la plateforme à 100k requêtes/minute sans dégradation P99 > 500ms.

US20.9 Should En tant que système, un audit de sécurité externe (pentest) est réalisé avant le GA. Les vulnérabilités critiques sont corrigées en < 48h.

US20.10 Should En tant que système, un programme bug bounty (HackerOne) est actif pour la détection continue de vulnérabilités.

US20.11 Should En tant que PM, les métriques infrastructure (CPU, mémoire, latence P95/P99, error rate) sont visualisables dans Grafana en temps réel.

US20.12 Could En tant que système, la conformité SOC2 Type I est préparée (contrôles documentés, audit trail complet).

US20.13 Could En tant que système, les DPA (Data Processing Agreements) sont signés avec tous les sous-traitants principaux (AWS, Supabase, OpenAI).

US20.14 Could En tant qu'utilisateur Arab-ophone ou Japonais, l'interface supporte RTL (arabe) et les caractères CJK (japonais/chinois) correctement.

Internationalisation

🌏 Stratégie I18n — 7 Langues

Langue	Code	Direction	Users cibles	Traduction	Priorité
Français 🇫🇷	`fr-FR`	LTR	Marché principal NOMIIQ	Native (équipe)	P1 MVP
Anglais 🇬🇧	`en-US`	LTR	Marché international	Native (équipe)	P1 MVP
Espagnol 🇪🇸	`es-ES`	LTR	Europe + Amérique Latine	Crowdin Pro	P2
Portugais 🇧🇷	`pt-BR`	LTR	Brésil + Portugal	Crowdin Pro	P2
Allemand 🇩🇪	`de-DE`	LTR	Europe centrale	Crowdin Pro	P3
Arabe 🇸🇦	`ar-SA`	RTL	Moyen-Orient + Afrique du Nord	Crowdin Pro + RTL	P3
Japonais 🇯🇵	`ja-JP`	LTR (vertical opt.)	Asie (voyageurs premium)	Crowdin Pro + CJK	P3

Infrastructure

⚙️ Architecture Scale — Multi-région

☁️ Compute & API

▸

AWS ECS Fargate — Auto-scaling containers (0 → 200 tasks en < 60s)

▸

AWS Application LB — Terminaison TLS, sticky sessions, health checks

▸

AWS Auto Scaling — CPU > 70% → scale out | CPU < 30% 10min → scale in

▸

Région primaire — eu-west-1 (Irlande) — conformité RGPD

▸

Région DR — us-east-1 (Virginie) — failover < 5 min RTO

🗄️ Bases de Données

▸

AWS Aurora PG — Cluster multi-AZ, 1 writer + 3 read replicas auto

▸

Failover Aurora — < 30s basculement automatique writer → replica

▸

Redis Cluster — Upstash multi-région (EU + US) — réplication asynchrone

▸

pgvector — Extension installée sur Aurora pour IA embeddings

▸

Backups — Snapshot journalier + PITR 7 jours (Aurora)

⚡ CDN & Edge

▸

Cloudflare R2 — Assets binaires (images optimisées, vidéos thumbnails)

▸

Cloudflare Images — Resize + WebP on-the-fly, 100+ PoP globaux

▸

Cloudflare Stream — HLS streaming Reels/Stories depuis l'edge

▸

Cloudflare Workers — Cache API responses au niveau edge (< 5ms)

▸

Cache Hit Rate cible — > 85% pour assets statiques

📊 Observabilité

▸

Grafana + Prometheus — Métriques infra + applicatives, alerting PagerDuty

▸

AWS CloudWatch — Logs centralisés, retention 30j, métriques custom

▸

Sentry — Error tracking frontend (RN) + backend (NestJS)

▸

Uptime Robot — Monitoring externe 1min — alerting SMS/Slack

▸

SLO Dashboard — Disponibilité, latence P95/P99, error rate — public

Sécurité Phase 3

🔒 Sécurité Avancée & Conformité

🔍

Pentest Externe

Audit de sécurité par cabinet spécialisé avant GA. Rapport complet, CVSS scoring, roadmap remédiation. Renouvellement annuel.

🐛

Bug Bounty

Programme HackerOne actif. Récompenses : 200€ (low) → 5 000€ (critique). Disclosure coordonnée. Hall of Fame NOMIIQ.

🛡️

LLM Guard

Couche de protection autour des appels LLM : prompt injection detection, output filtering, PII redaction avant stockage.

📋

SOC2 Type I

Contrôles documentés (accès, change management, monitoring). Audit trail 1 an. Préparation pour Type II en Phase 4+.

🇪🇺

RGPD Avancé

DPA avec tous sous-traitants. SCCs pour transferts hors EU. Registre traitements à jour. DPO désigné. Cookie banner conforme.

♿

Accessibilité

WCAG 2.1 AA sur web + mobile. Audit Lighthouse Accessibility ≥ 90. VoiceOver/TalkBack testés. Contraste palette validé.

Performance

⚡ Plan de Load Testing — k6

Scénarios de charge

Scénario	VUs	Durée	SLO cible
Smoke test	10	5 min	P99 < 200ms
Load test	1 000	30 min	P95 < 500ms
Stress test	5 000	1h	P99 < 1s
Soak test	500	8h	0 memory leak
Spike test	0→10k en 30s	15 min	Error rate < 1%

SLOs Production cibles

Disponibilité API 99.9% / mois (< 44 min downtime)

Latence P50 /feed < 120ms

Latence P95 /feed < 500ms

Latence P99 global < 1 000ms

Error rate global < 0.1%

TTI mobile (web) < 1.5s (4G simulée)

Cold start IA copilote < 3s première réponse

📊 Budget Phase 3 — Synthèse

~380k€

Budget estimé Phase 3

12-15

Personnes équipe

18 sem.

Durée (9 sprints)

€500k

MRR cible fin P3

🎯 Phase 3 = Maturité Produit. Avec 500k MAU, €500k MRR, 1 000+ créateurs actifs et une API publique intégrée par 10+ partenaires, NOMIIQ devient la référence mondiale du voyage social intelligent. Break-even estimé : M36-M42 après lancement MVP.

🌍 I18n & Scale Infrastructure