Sécurité

Infrastructure sécurisée

Nos services sont hébergés sur l’infrastructure d’Amazon Web Services (AWS). Nous n’hébergeons ni ne gérons nos propres routeurs, équilibreurs de charge, serveurs DNS ou serveurs physiques. Les centres de données d’Amazon bénéficient d’une sécurité assurée 24 heures sur 24 par du personnel, d’un contrôle d’accès biométrique, d’une vidéosurveillance et de verrous physiques. Tous les systèmes, appareils connectés au réseau et circuits font l’objet d’une surveillance constante. Les installations d’AWS sont certifiées ISO 27001, SOC 1 et SOC 2/SSAE 16/ISAE 3402 (anciennement SAS 70 Type II), PCI Niveau 1, FISMA Moderate et Sarbanes-Oxley (SOX). En savoir plus sur la sécurité AWS.

Hébergé aux États-Unis ou dans l’Union européenne : à vous de choisir

États-Unis – desservis par des centres de données et des sous-traitants situés aux États-Unis, nos principaux services étant hébergés en Virginie du Nord ; et l’Union européenne – desservie par des centres de données situés dans l’UE, nos principaux services étant hébergés à Francfort, en Allemagne. Certains sous-traitants, tels que ceux chargés de l’envoi d’e-mails, des paiements, de la journalisation des erreurs, de la surveillance des applications ainsi que de la génération facultative de contenu et d’images par IA, traitent les données en dehors de l’UE. Notre page consacrée aux sous-traitants répertorie chacun d’entre eux et indique où ils traitent les données.

Toujours chiffré

Chiffrement en transit – Toutes les données envoyées vers ou depuis notre infrastructure sont chiffrées en transit conformément aux meilleures pratiques du secteur, à l’aide du protocole TLS (TLS 1.2 ou 1.3). Notre configuration SSL bénéficie d’une note de sécurité « A+ » attribuée par Qualys SSL Labs.

Chiffrement au repos – Toutes les données de nos utilisateurs sont chiffrées dans nos bases de données à l’aide de l’algorithme de chiffrement AES256, qui a fait ses preuves.

Paiements sécurisés

Nous ne traitons ni ne stockons de numéros de carte bancaire : les informations relatives à votre carte sont directement saisies et stockées en toute sécurité par Braintree (une société du groupe PayPal), notre prestataire de services de paiement. Braintree est certifié conforme à la norme PCI de niveau 1 et figure sur la liste des prestataires conformes à Visa® Global et MasterCard® (SDP). Nous effectuons chaque année une auto-évaluation PCI DSS avec Braintree. En savoir plus sur la sécurité et la conformité de Braintree.

Surveillance de la sécurité des applications

• Nous utilisons une solution de surveillance de la sécurité afin d’assurer la visibilité sur la sécurité de nos applications, d’identifier les attaques et de réagir rapidement en cas de violation de données.
• Nous utilisons des technologies pour surveiller les exceptions et les journaux, et pour détecter les anomalies dans nos applications.
• Nous collectons et conservons des journaux détaillés afin de disposer d’une piste d’audit de l’activité de nos applications. Nos journaux alimentent des alertes automatisées, sur lesquelles notre équipe mène des investigations.
• Les incidents de sécurité sont consignés et des notifications sont envoyées en cas d’attaques critiques afin de permettre une correction rapide.

Sécurité des applications

• Nous utilisons Amazon Web Application Firewall pour protéger nos utilisateurs contre un large éventail de vulnérabilités. AWS WAF intègre des protections contre les catégories d’attaques les plus critiques, telles que les injections SQL et les attaques de type « cross-site scripting ». Il bloque les attaques en temps réel et nous alerte lorsque des attaquants commencent à mettre nos applications à rude épreuve.
• Les formulaires de notre site web utilisent Cloudflare Turnstile pour bloquer les robots.
• Nous utilisons des en-têtes de sécurité pour protéger nos utilisateurs contre les attaques. Nos services ont obtenu la note A+ de la part de SecurityHeaders.io.

Gestion des incidents

Les incidents de sécurité présumés, y compris toute violation de la sécurité logique et physique, font l’objet d’un ticket, sont suivis et résolus conformément à notre politique et à nos procédures de gestion des incidents. Lorsque la législation applicable l’exige, notamment la loi européenne sur la cyber-résilience, nous signalons aux autorités compétentes (telles que l’ENISA) les incidents de sécurité significatifs dans les délais prescrits. Si une violation de données à caractère personnel affecte vos données, nous en informerons les clients concernés sans retard injustifié, et dans les 48 heures suivant la confirmation de celle-ci. Nous informons les autorités de régulation et les personnes concernées conformément à la loi. Si vous avez des questions ou si vous soupçonnez qu’un incident a pu se produire, veuillez contacter security@groupmap.com.

Rapports sur les temps d’arrêt

Nous publions les incidents affectant la disponibilité sur notre page d’état dès que nous les confirmons. En cas d’incident « Élevé » ou « Critique » (selon la classification de notre politique de gestion des incidents), nous envoyons également un e-mail aux contacts désignés par nos clients professionnels. Notre plateforme d’hébergement permet généralement d’éviter toute interruption de service lorsque nous apportons des modifications à nos services. Nous programmons des opérations de maintenance planifiées afin de limiter au maximum les perturbations et les publions sur notre page d’état.

Votre vie privée est protégée

Vous restez propriétaire de vos données ; celles-ci ne sont accessibles qu’aux personnes avec lesquelles vous choisissez de les partager. TeamRetro (et l’équipe de GroupMap Technology) ne peut accéder à vos données que dans des circonstances limitées, par exemple lorsque la loi l’exige ou pour vous fournir une assistance technique. Vous trouverez tous les détails dans la Politique de confidentialité de TeamRetro.

Conservation et suppression des données

Nous conservons les données de nos utilisateurs pendant une période de 365 jours après la fin de leur période d’essai ou de leur abonnement. Toutes les données sont ensuite intégralement supprimées de l’application. Les utilisateurs peuvent demander la suppression de leurs données à tout moment en supprimant leur compte ou en contactant le service d’assistance de TeamRetro. Pour en savoir plus sur nos paramètres de confidentialité, veuillez consulter notre Politique de confidentialité.

Continuité d’activité et reprise après sinistre

Nous effectuons des sauvegardes de tous nos actifs critiques et testons régulièrement la restauration de ces sauvegardes afin de garantir une reprise rapide en cas de sinistre. Nous effectuons une sauvegarde complète des données de nos clients toutes les 24 heures. Les sauvegardes sont cryptées de manière sécurisée et conservées pendant 30 jours, après quoi elles sont détruites en toute sécurité. Nous avons mis en place des plans de continuité d’activité et de reprise après sinistre, que nous révisons chaque année.

Codage sécurisé

Nos développeurs sont tenus de respecter notre politique de sécurité des applications, formellement documentée, ainsi que les meilleures pratiques et les référentiels en matière de sécurité (OWASP Top 10, SANS Top 25). Nous appliquons les meilleures pratiques suivantes afin de garantir le plus haut niveau de sécurité dans nos logiciels :

• Les développeurs participent régulièrement à des formations sur la sécurité afin de se familiariser avec les vulnérabilités et les menaces courantes
• Chaque modification fait l’objet d’une révision par les pairs, y compris en ce qui concerne les failles de sécurité : avant sa fusion, dans la mesure du possible, et sinon après, lors d’un examen mensuel de toutes les modifications fusionnées sans autorisation. Les versions de production doivent également être approuvées avant leur déploiement.
• Nous mettons régulièrement à jour nos dépendances et veillons à ce qu’aucune d’entre elles ne présente de vulnérabilités connues
• Nous utilisons les tests statiques de sécurité des applications (SAST) pour détecter les failles de sécurité élémentaires dans notre base de code
• Nous utilisons les tests dynamiques de sécurité des applications (DAST) pour analyser nos applications
• Grâce à Datadog, nous pouvons corriger plus efficacement les vulnérabilités mises en évidence par des tests de sécurité, des audits ou le programme de divulgation des vulnérabilités. Chaque version de production est analysée afin de détecter les composants présentant des vulnérabilités connues, et Dependabot propose chaque semaine des mises à jour des dépendances.

Analyse des vulnérabilités

TeamRetro fait l’objet d’analyses mensuelles, ainsi qu’après chaque mise à jour majeure, par intruder.io afin d’identifier les vulnérabilités potentielles au niveau de l’infrastructure, de la plateforme et des applications. Toute vulnérabilité identifiée est évaluée et corrigée conformément à nos politiques de sécurité des applications.

Tests d’intrusion

Nous faisons régulièrement réaliser des tests d’intrusion indépendants afin de vérifier la sécurité de la plateforme TeamRetro. Nous corrigeons tous les problèmes critiques dans un délai de 48 heures et les problèmes de gravité élevée dans un délai de 7 jours.

Évaluations des risques

Une évaluation annuelle des risques est réalisée afin d’identifier les menaces et les vulnérabilités des systèmes TeamRetro. Des stratégies d’atténuation sont élaborées sur la base des résultats de cette évaluation des risques.

Renforcement de la sécurité du système

CONTAINERISATION DES SERVEURS – TeamRetro utilise la containerisation du système d’exploitation via AWS Fargate afin de garantir que l’accès aux données et au code de TeamRetro soit correctement restreint. Tous les services TeamRetro s’exécutent sur des ressources de calcul dédiées, isolées au sein de leur propre réseau virtuel.

SYSTÈMES DE FICHIERS ÉPHÉMÈRES DES SERVEURS – Les serveurs TeamRetro fonctionnent sur un système de fichiers éphémère, qui est restauré à partir d’une copie à jour du code le plus récemment déployé au moins une fois par jour, ou à chaque fois qu’une nouvelle version est déployée.

MISE À JOUR DU SYSTÈME – La mise à jour au niveau de la plateforme (système d’exploitation, bibliothèques système et services) des serveurs d’applications et de bases de données TeamRetro est effectuée de manière continue.

MISE À JOUR DES APPLICATIONS – La mise à jour des applications (bibliothèques d’applications, etc.) est assurée en continu par TeamRetro.

ORDINATEURS – Tous les équipements de l’équipe (tels que les ordinateurs portables et de bureau destinés au développement) sont équipés d’un système de stockage chiffré et protégés par un logiciel antivirus à jour.

Enregistrement complet

Nous conservons des journaux complets de toutes les transactions effectuées sur le système, avec un enregistrement spécifique des tentatives de connexion. Notre équipe utilise ces journaux, ainsi que les alertes automatisées qu’ils génèrent, pour enquêter sur les tentatives d’accès non autorisées.

L’accès de notre équipe

• Notre équipe ne peut accéder aux données des utilisateurs qu’avec l’accord de notre équipe de sécurité, et uniquement lorsque la loi l’exige ou pour fournir une assistance technique. Vous trouverez tous les détails dans notre Politique de confidentialité.
• Nos collaborateurs et nos prestataires signent un accord de non-divulgation et de confidentialité afin de protéger les informations sensibles de nos clients.
• Nos collaborateurs et nos prestataires font l’objet d’une vérification de leurs antécédents par un service spécialisé de premier plan.
• Le niveau d’accès de chacun de nos collaborateurs est déterminé en fonction des besoins, réexaminé périodiquement et révoqué s’il n’est plus nécessaire. Nous appliquons une authentification multifactorielle pour tous les systèmes critiques de TeamRetro.
• L’authentification à deux facteurs est obligatoire pour accéder à l’administration.

Divulgation responsable

Nous encourageons toutes les personnes qui pratiquent la divulgation responsable et respectent nos politiques et nos conditions d’utilisation à participer à notre programme de signalement des vulnérabilités. Veuillez éviter les tests automatisés et n’effectuer des tests de sécurité qu’avec vos propres données. Veuillez ne divulguer aucune information concernant les vulnérabilités tant que nous ne les avons pas corrigées. Nous pouvons, à notre entière discrétion, accorder une reconnaissance aux rapports de grande qualité et ayant un impact significatif. Découvrez-en davantage sur le programme de divulgation responsable de TeamRetro.