Sécurité

1. Principes directeurs

La sécurité est intégrée dès la conception de nos produits (« secure by design »). Nous appliquons le principe du moindre privilège, la défense en profondeur, et un cycle de développement sécurisé. Nos pratiques s'alignent sur les cadres ISO/IEC 27001, SOC 2 Type II (en préparation), les exigences de la LPRPDE (PIPEDA) et de la Loi 25 du Québec.

2. Hébergement et juridiction

• Tous les serveurs de production sont hébergés au Canada, principalement à Beauharnois (Québec) chez OVH Canada et sur notre infrastructure privée au Québec.
• Les sauvegardes sont stockées dans deux régions canadiennes distinctes.
• Certains sous-traitants (fournisseurs d'IA via Router) peuvent traiter des données hors Canada — avec Guard activé et ententes de zéro rétention. Voir le DPA pour la liste complète.

3. Chiffrement

3.1 En transit

Toutes les communications avec nos services utilisent TLS 1.3 avec des suites de chiffrement modernes (ECDHE + AEAD). Les certificats sont gérés via Let's Encrypt avec renouvellement automatique et HSTS activé pour forcer HTTPS.

3.2 Au repos

Les données sensibles (identifiants, secrets, jetons, contenus cryptés au niveau applicatif) sont chiffrées avec AES-256-GCM via la bibliothèque Cloak. Les bases de données PostgreSQL sont chiffrées au niveau du disque. Les sauvegardes sont chiffrées avec des clés gérées séparément.

3.3 Mots de passe

Les mots de passe utilisateurs sont hachés avec Argon2id (paramètres conformes aux recommandations OWASP 2025). Nous n'avons jamais accès à vos mots de passe en clair.

4. Contrôle d'accès

• Architecture multi-tenant avec isolation stricte par organization_id au niveau de la base de données.
• Authentification à deux facteurs (2FA) disponible sur tous les comptes, obligatoire pour les administrateurs.
• Rôles granulaires (membre, administrateur, super-admin) avec permissions configurables par organisation.
• Accès du personnel SignalOrange limité au strict nécessaire, audit log complet, 2FA obligatoire.
• Sessions expirent après 30 jours d'inactivité (configurable par organisation).

5. Développement sécurisé

• Revue de code obligatoire avant toute fusion en production.
• Analyse statique automatisée (mix sobelow, linting) sur chaque pull request.
• Audit des dépendances (mix deps.audit, Dependabot) avec mises à jour prioritaires pour les CVE de gravité haute ou critique.
• Tests automatisés (unitaires, intégration, bout-en-bout) avec couverture minimale.
• Environnements séparés pour le développement, la pré-production et la production.

6. Surveillance et journalisation

• Surveillance applicative 24/7 via Prometheus et OpenTelemetry.
• Agrégation des logs dans un système centralisé hébergé au Canada, avec rétention de 90 jours.
• Alertes automatiques sur les anomalies (taux d'erreur, latence, tentatives d'authentification suspectes).
• Journalisation complète des accès administratifs et des actions sensibles (audit trail).

7. Sauvegardes et continuité

• Sauvegardes automatiques quotidiennes de toutes les bases de données de production.
• Rétention : 30 jours en chaud, jusqu'à 90 jours en stockage froid.
• Sauvegardes chiffrées au repos (AES-256) avec clés distinctes de la production.
• Tests de restauration effectués trimestriellement.
• RPO cible : 24 heures. RTO cible : 4 heures pour les services critiques.

8. Router Guard : anti-exfiltration IA

Notre API Router applique automatiquement Guard — un filtre qui retire les renseignements personnels identifiables (PII), les secrets, les clés API, les variables .env et les jetons d'authentification avant l'envoi aux modèles IA tiers.

Nous avons négocié des ententes de zéro rétention avec Anthropic et OpenAI : les données transmises ne sont ni conservées, ni utilisées pour l'entraînement de leurs modèles. Les logs d'utilisation de Router restent hébergés à Montréal.

9. Réponse aux incidents

Nous disposons d'un plan de réponse aux incidents documenté, avec des rôles définis et un registre des incidents. En cas d'incident de confidentialité présentant un risque de préjudice sérieux, nous aviserons les personnes concernées sans délai et notifierons la Commission d'accès à l'information du Québec, conformément à la Loi 25 et à la LPRPDE.

• Détection et confirmation de l'incident.
• Confinement (isolation du système affecté, révocation de credentials).
• Éradication et restauration (à partir de sauvegardes propres si nécessaire).
• Notification aux autorités et aux personnes concernées si requis.
• Post-mortem et mise en œuvre des correctifs.

10. Divulgation responsable (bug bounty)

Si vous découvrez une vulnérabilité, nous vous remercions de nous la signaler de manière responsable à [email protected]. Nous nous engageons à :

• Accuser réception dans les 48 heures.
• Fournir un diagnostic initial dans les 7 jours.
• Ne pas entamer de poursuites contre les chercheurs de sécurité agissant de bonne foi.
• Créditer publiquement les auteurs des signalements valides (avec leur consentement).

Merci de ne pas exploiter la vulnérabilité au-delà de ce qui est nécessaire à la démonstration, et de ne pas divulguer publiquement avant notre correctif.

11. Conformité réglementaire

• LPRPDE (PIPEDA) — Loi fédérale canadienne sur la protection des renseignements personnels.
• Loi 25 — Loi québécoise modernisée sur la protection des renseignements personnels (en vigueur depuis 2023-2024).
• Loi 14 (ex-101) — Respect de la Charte de la langue française.
• PCI DSS — Les paiements sont traités par Stripe, certifié niveau 1. SignalOrange ne stocke jamais les données de carte.
• SOC 2 Type II — Certification en préparation pour 2027.

12. Sous-traitants et chaîne d'approvisionnement

Nous effectuons une diligence raisonnable avant d'intégrer un nouveau sous-traitant : certifications, politiques de sécurité, juridiction de traitement, ententes contractuelles. La liste complète de nos sous-traitants avec les juridictions correspondantes est disponible dans notre Accord de traitement des données (DPA).

13. Nous joindre

Pour tout incident de sécurité, vulnérabilité ou question sur nos pratiques : [email protected].