Notre approche de la sécurité
Sytance applique des mesures techniques et organisationnelles à son service hébergé, à son cycle de développement logiciel et à ses opérations de support. Ces mesures sont choisies et réexaminées en fonction des informations traitées, de l’architecture du service, des menaces crédibles et de leurs effets potentiels sur les clients.
Cette page donne une vue d’ensemble destinée au public ; elle ne constitue ni un rapport d’audit, ni une certification, ni un résultat de test d’intrusion, ni une annexe de sécurité contractuelle. Les exigences propres à un client en matière de sécurité, d’assurance, de localisation des données ou de notification doivent être convenues dans le cadre commercial applicable.
Identité et accès
- L’accès repose sur des comptes utilisateurs individuels et des autorisations attribuées selon les rôles.
- Les administrateurs du client gèrent les membres et l’attribution des rôles au sein de leur organisation et de leurs espaces de travail.
- Les demandes d’accès au contenu client sont contrôlées au regard des règles d’accès propres au client, à l’espace de travail et à l’objet concerné.
- Les sessions d’authentification utilisent des cookies HTTP-only définis par le serveur ainsi que des protections contre les requêtes intersites en production.
- L’accès d’assistance administrative autorisé est limité à l’environnement du client concerné et fait l’objet d’un enregistrement.
Séparation des clients et protection des données
- Les contrôles applicatifs et ceux de la base de données contribuent à séparer les enregistrements des différents clients.
- En production, le trafic du navigateur vers l’API est protégé en transit par HTTPS à la frontière du service public.
- Les fichiers et médias des clients sont servis par des routes authentifiées, et non par des liens publics sans restriction.
- Certains aperçus et téléchargements utilisent des liens d’accès à durée limitée.
- Les champs connus pour contenir des identifiants, jetons, cookies ou secrets sont exclus des journaux applicatifs ordinaires ou y sont masqués.
- L’accès aux données est limité aux fonctions du service, aux instructions du client, aux besoins de support ou aux responsabilités opérationnelles qui le justifient.
Développement sécurisé et gestion des changements
- Nous prenons en compte les exigences et l’architecture de sécurité lors de la conception et de la revue des fonctionnalités concernées.
- La revue du code et les contrôles automatisés contribuent à repérer les défauts avant le déploiement.
- Les changements sont livrés selon des pratiques maîtrisées de compilation et de déploiement, qui séparent les activités de développement de l’exploitation en production.
- Les dépendances et les vulnérabilités signalées sont évaluées selon leur pertinence, leur exploitabilité, leur exposition et leur impact potentiel sur le service.
Surveillance et réponse aux incidents
Lorsque cela est pertinent, les événements liés à l’authentification, aux autorisations, à l’administration, à l’application et à l’infrastructure sont enregistrés ou surveillés afin de faciliter la détection, l’enquête et la traçabilité.
L’authentification et certains points d’accès publics utilisent une limitation du débit et des mesures de prévention des abus. Les incidents présumés sont évalués selon un processus couvrant le triage, le confinement, l’enquête, la correction, le rétablissement et le retour d’expérience.
Si un incident impose d’informer un client ou une autorité de contrôle, nous le faisons conformément au droit applicable et à l’accord client concerné.
En cas de compromission présumée d’un compte, contactez support@sytance.com ; pour une vulnérabilité ou une exposition de données présumée, écrivez à security@sytance.com. Indiquez le compte ou l’actif concerné, le moment et le comportement observé, mais n’envoyez pas de mots de passe, jetons de session ni fichiers client superflus. Nous pourrons proposer un canal sécurisé pour transmettre des éléments complémentaires.
Lorsque nous traitons les données personnelles concernées pour le compte d’un client, les notifications d’incident et la coopération suivent l’appendice A des Conditions d’utilisation. La notification initiale n’attend pas que tous les faits soient établis ; des informations complémentaires sont communiquées au fur et à mesure de l’enquête.
Traitements assistés par l’IA
Les actions assistées par l’IA sont exécutées dans des flux de travail authentifiés du produit. Le service transmet les instructions et le contexte de l’espace de travail pertinents pour la fonction demandée ; le client reste chargé d’examiner les résultats.
Gestion des vulnérabilités
Les vulnérabilités potentielles peuvent être détectées lors des contrôles de développement, par la surveillance opérationnelle, les informations sur les dépendances, les signalements de clients ou de chercheurs et les évaluations de sécurité ciblées. Les constats sont validés et priorisés selon leur gravité, leur exploitabilité, leur exposition, les données et utilisateurs concernés, les signes d’exploitation active et les mesures d’atténuation disponibles.
Les chercheurs externes peuvent signaler une vulnérabilité présumée dans le cadre de notre processus de divulgation coordonnée. La politique précise les recherches autorisées, les exigences de signalement, les objectifs de délai de réponse, les protections prévues pour les recherches de bonne foi et la coordination de la divulgation.
Questions de sécurité et demandes d’assurance
Les clients et prospects peuvent poser des questions de sécurité ou demander des informations justificatives à hello@sytance.com ou à leur interlocuteur habituel. Les demandes devraient être proportionnées à leurs besoins. En cas de compromission présumée d’un compte ou de problème de sécurité touchant le service, les clients devraient écrire à support@sytance.com.
Pour signaler une vulnérabilité présumée de manière confidentielle, écrivez à security@sytance.com conformément à la politique de divulgation des vulnérabilités.
Les informations de sécurité peuvent être communiquées dans le cadre de mesures de confidentialité et d’accès proportionnées afin de ne pas exposer d’autres clients ni des détails techniques exploitables. Une demande d’assurance n’autorise pas les tests d’intrusion. Les droits contractuels d’audit et les pouvoirs légaux des autorités de contrôle restent régis par l’accord applicable et le droit en vigueur.
