Sécurité

La sécurité est une exigence de conception pour chaque service. Nous appliquons le moindre privilège, la défense en profondeur et le principe selon lequel les données des clients ne sont utilisées que pour fournir le service demandé par le client.

Les données sont chiffrées en transit avec TLS 1.2 ou supérieur et au repos avec un chiffrement robuste. Les secrets et identifiants sont stockés dans des coffres-forts gérés, jamais dans le code source. Les intégrations utilisent des accès délimités et révocables, en lecture seule dès que le service le permet.

L'accès du personnel aux systèmes de production est limité aux personnes qui en ont besoin, exige une authentification multifacteur, est journalisé et fait l'objet de revues régulières. Les clients de la formule Scale peuvent utiliser l'authentification unique et les journaux d'audit.

Nous opérons sur une infrastructure cloud réputée, avec isolation réseau, configurations durcies et correctifs automatiques. Les environnements des clients sont logiquement séparés. Des options de résidence des données sont disponibles, y compris l'hébergement dans l'UE.

Nous revoyons les modifications du code, analysons les dépendances à la recherche de vulnérabilités connues, testons avant chaque mise en production et corrigeons en priorité les problèmes critiques. À mesure que l'entreprise gagne en maturité, nous commandons des tests d'intrusion indépendants au moins une fois par an.

Les données sont sauvegardées régulièrement et les restaurations sont testées. Nous surveillons la disponibilité et les performances et maintenons un plan de réponse aux incidents comportant des rôles définis, une procédure d'escalade et la communication avec les clients.

Si nous confirmons une violation de données à caractère personnel affectant des données de clients, nous en informons les clients concernés dans les meilleurs délais et, lorsque cela est requis, dans les 72 heures suivant la prise de connaissance, avec les informations nécessaires pour qu'ils puissent satisfaire à leurs propres obligations.

Notre traitement est aligné sur le RGPD. Un programme SOC 2 est en cours ; nous ne revendiquons aucune certification tant qu'un audit indépendant n'a pas été réalisé. Nous n'utilisons pas les données des clients pour entraîner des modèles partagés avec d'autres clients.

Le personnel signe des accords de confidentialité et reçoit une formation à la sécurité. Les sous-traitants ultérieurs sont évalués avant leur recrutement et liés par des clauses de protection des données. Une liste à jour est disponible sur demande.

Si vous pensez avoir découvert une faille de sécurité, écrivez à info@totoflow.us en fournissant les détails. Merci de nous laisser un délai raisonnable pour la corriger avant toute divulgation et de ne pas accéder à des données qui ne vous appartiennent pas. Nous accuserons réception des signalements rapidement et n'engagerons aucune action contre les recherches menées de bonne foi.