Centre de confiance
La sécurité chez Privatus
La meilleure protection des données des visiteurs, c’est de ne pas les détenir. Nous minimisons d’abord, puis nous protégeons ce qui reste. Voici comment.
Architecture
Les IP et les user agents des visiteurs sont traités uniquement en mémoire et jamais stockés. Le pipeline d’ingestion, l’application et les bases de données fonctionnent dans une seule région américaine.
Chiffrement
TLS pour tout le trafic (TLS 1.3 de préférence), connexions chiffrées aux bases de données, et chiffrement des secrets tels que les clés d’authentification à deux facteurs et les identifiants d’intégration.
Contrôle d’accès
Des permissions par rôle dans chaque espace de travail, et un accès du support uniquement sur autorisation temporaire du client.
Résilience
Une réplique de base de données en lecture, et une ingestion par file d’attente pour que les événements acceptés soient tout de même traités après un incident.
Développement sécurisé
Audit des dépendances, analyse statique en CI, et secrets tenus hors du code source.
Sécurité des comptes
Authentification à deux facteurs (TOTP), clés d’accès, codes de récupération, SSO SAML/OIDC avec Business, jetons d’API à portée limitée avec listes d’IP autorisées, et journal d’audit.
Certifications
Nous ne détenons encore aucune certification, et nous n’en revendiquerons aucune avant l’existence du rapport. Besoin de notre documentation de sécurité pour une évaluation ? Contactez-nous.
Divulgation responsable
Si vous découvrez une vulnérabilité, merci de nous en informer d’abord en privé. Nous accuserons réception de votre signalement sous 2 jours ouvrés, vous tiendrons informé(e) et vous citerons si vous le souhaitez.
- Signalez-la via le formulaire de contact (sujet : Sécurité). Les coordonnées figurent aussi dans notre security.txt.
- Testez uniquement sur votre propre compte et vos propres données. N’accédez pas aux données d’autres clients, ne dégradez pas le service et n’employez pas d’ingénierie sociale.
- Laissez-nous un délai raisonnable pour corriger le problème avant divulgation.
Nous n’engagerons aucune action en justice contre des recherches menées de bonne foi dans le respect de ces règles.
Réponse aux incidents
Nous maintenons un plan de réponse aux incidents avec une astreinte tournante. Si une violation de données personnelles touche vos données, nous vous préviendrons dans les 48 heures suivant sa découverte, plus vite que les 72 heures dont disposent les responsables du traitement pour prévenir les autorités selon le RGPD.
L’état de santé du système en temps réel est sur notre page d’état.