Confiance et sécurité

Où se trouvent vos données, et qui peut y accéder

Chaque affirmation de cette page est vérifiée directement par rapport à l'infrastructure en service et à la documentation de confidentialité du produit, et non tirée d'un texte idéalisé : chacune renvoie (dans une citation masquée) à sa source dans le code. Si un élément n'est pas mentionné ici, considérez-le comme non encore vérifié, et non comme « probablement correct ».

Résidence des données

L'infrastructure de production (la base de données, les documents téléversés et le trafic de l'application) fonctionne dans la région ca-central-1 (Canada-Centre) d'AWS. La base de données et le compartiment de documents de l'ancienne région américaine ont tous deux été entièrement mis hors service; aucune donnée ne reste à l'extérieur du Canada dans l'un ou l'autre.

Chiffrement

Au repos : le chiffrement du stockage est activé sur la base de données de production (RDS). Les documents téléversés dans S3 sont chiffrés par défaut au niveau du compartiment, et l'application applique aussi explicitement le chiffrement côté serveur à chaque téléversement.
En transit : l'équilibreur de charge de l'application n'accepte que TLS 1.2 et 1.3 (la politique `ELBSecurityPolicy-TLS13-1-2-2021-06` d'AWS); aucun trafic HTTP en clair vers l'application.

Contrôles d'accès

L'authentification à deux facteurs facultative (applications d'authentification TOTP) est offerte sur chaque compte, en plus d'un mot de passe haché avec bcrypt ou de la connexion avec Google.
L'application est protégée par AWS WAF, qui applique l'ensemble de règles de base géré par AWS, un ensemble de règles contre les entrées malveillantes connues et une limite de débit par adresse IP, en amont de la propre limite de débit de l'application pour la connexion et la double authentification.
AWS GuardDuty (détection des menaces) et CloudTrail (journalisation d'audit au niveau du compte) sont activés sur le compte AWS qui exploite l'infrastructure de production.

Sous-traitants

La liste à jour des sous-traitants, ce que chacun reçoit et où il traite les données se trouve à la section 5 de notre Politique de confidentialité (« Avec qui nous partageons des renseignements »). Elle est tenue à un seul endroit pour que cette page ne puisse jamais la contredire. Aucun d'eux ne reçoit de données brutes de carte de paiement, et aucun ne peut utiliser vos données pour entraîner ses propres modèles à usage général sans autorisation.

Isolation des données entre les clients

Chaque projet, document et exigence appartient à un seul compte, et la base de données elle-même l'impose : la sécurité au niveau des lignes est forcée sur chaque table contenant des données de clients, de sorte qu'une requête qui n'est pas limitée au compte connecté ne renvoie rien. Chaque route d'API vérifie aussi la propriété dans le code de l'application. Des tests automatisés s'exécutent à chaque modification et tentent d'accéder aux données d'un client en se faisant passer pour un autre, par chaque route et directement dans la base de données.

Signalement de vulnérabilités

Si vous croyez avoir trouvé un problème de sécurité, écrivez à privacy@fjordiq.ai en donnant les détails. Veuillez ne pas faire d'essais sur les données d'autres clients. Nos coordonnées sont aussi publiées dans security.txt.

Il n'y a pas de programme de primes aux bogues pour le moment.

Politiques et ententes

Politique de confidentialité, y compris la liste des sous-traitants, la conservation et vos droits.
Conditions d'utilisation.
Entente sur le traitement des données : offerte sur demande à support@fjordiq.ai.

Questions

Pour toute question non abordée ici, écrivez à support@fjordiq.ai.