La sécurité n'est pas une fonctionnalité que nous avons ajoutée après coup, ni une case à cocher avant un audit. Elle détermine la façon dont nous concevons, construisons et exploitons la plateforme. Nos clients nous confient leurs données, et les protéger fait partie intégrante du notre produit.
Nos principes de sécurité
Intégrée dès le premier jour. Chaque nouvelle fonctionnalité commence par une revue de conception et une analyse de risques, avant même qu'une ligne de code ne soit écrite.
Défense en profondeur. Nous partons du principe qu’une seule faiblesse ne se transforme jamais immédiatement en violation de sécurité.. Les contrôles organisationnels, l'accès zero-trust, le chiffrement et la surveillance sont superposés, afin qu’une seule faiblesse ne se transforme jamais immédiatement en violation de sécurité.
Moindre privilège par défaut. Les personnes et les systèmes reçoivent uniquement l'accès strictement nécessaire, pour la durée la plus courte possible. Les accès sont revus selon un cycle fixe et révoqués dès qu'une personne change de rôle ou quitte l'entreprise.
Vos données restent les vôtres. Nous ne collectons que ce dont la plateforme a besoin, ne les conservons que le temps nécessaire pour vous ou exigé par la loi, et les chiffrons en transit et au repos.
Vérifier, ne jamais présumer. Des analyses automatisées du code et des dépendances s'exécutent à chaque modification, et des tiers indépendants testent nos contrôles via des tests d'intrusion et des audits externes.
Transparence. Si un incident affecte vos données, vous en êtes informé rapidement et avec des détails précis.
Certification ISO/IEC 27001:2022
L'ISO/IEC 27001 définit les exigences d'un système de management de la sécurité de l'information (SMSI) et constitue la norme la plus reconnue de la famille ISO/IEC 27000.
Zero Friction exploite un SMSI certifié. Notre certification ISO/IEC 27001:2022 a été délivrée par Brand Compliance et est maintenue depuis décembre 2022.
Pour demander notre certificat et notre Déclaration d'applicabilité (Statement of Applicability), envoyez un e-mail à [email protected]. Nous examinons chaque demande et répondons rapidement.
Infrastructure et architecture
Hébergement. Nous n'exploitons pas nos propres centres de données. Tous nos fournisseurs d'infrastructure principaux sont certifiés ISO/IEC 27001 ou disposent d'un rapport SOC 2 Type II couvrant leur sécurité physique, leur résilience et leur disponibilité.
Disponibilité. La plateforme bénéficie d'une disponibilité garantie d'au moins 99,5 %. Les conditions complètes figurent dans notre Contrat de niveau de service (Service Level Agreement).
Séparation des environnements. Le développement, la préproduction (staging) et la production s'exécutent dans des environnements distincts avec des identifiants distincts, et les services sont isolés au niveau réseau. Les données de production ne sont jamais copiées vers un environnement inférieur sans le consentement du client.
Chiffrement. Les données des clients sont chiffrées en transit comme au repos.
Confidentialité et gouvernance des données
Où vos données sont hébergées. Les données principales de la plateforme sont stockées dans l'Espace économique européen ou aux États-Unis. Certaines intégrations optionnelles peuvent impliquer d'autres régions ; chacune d'elles est répertoriée dans notre aperçu des sous-traitants.
Durée de conservation. Les durées de conservation varient selon le type de donnée, et les données sont supprimées dès que leur durée expire. Le calendrier complet figure dans notre politique de conservation des données.
Sécurité du produit et des applications
Développement sécurisé. Les exigences de sécurité font partie de la planification des projets et de l'analyse de risques dès le départ. Les architectures sont conçues selon les principes du zero-trust et du privacy-by-design. En pratique, cela signifie : des normes de codage sécurisé, une formation régulière des développeurs, un code source protégé, des bibliothèques tierces gérées, un traitement chiffré et authentifié des données sur les réseaux publics, ainsi que des tests de sécurité et de recette avant toute mise en production. Toute donnée personnelle ou sensible utilisée à des fins de test est anonymisée.
Tests et assurance. Nous commandons un test d'intrusion annuel de notre environnement et faisons l'objet chaque année d'audits ISO/IEC 27001 internes et externes.
Réponse aux incidents et continuité
Notification. Si un incident de sécurité affecte vos données, chaque client concerné reçoit une première notification dans les 24 heures et une déclaration détaillée dans les 72 heures.
Reprise après sinistre. Nos objectifs documentés sont un Recovery Point Objective (RPO) de 15 minutes et un Recovery Time Objective (RTO) de 8 heures. Nous pouvons restaurer les données à partir de n'importe quel moment des 30 derniers jours, et nous testons les restaurations sur de véritables sauvegardes chaque année.
Signaler un problème de sécurité
Quelque chose à signaler ? Envoyez un e-mail à [email protected].