Sécurité
Où sont vos données et qui peut les voir
Un outil de communication interne finit par contenir des bulletins de paie, des procédures et ce que l'effectif pense de son entreprise. Voici, concrètement, ce que nous faisons de ces données.
Où sont les données
- Des serveurs dans l'Union européenne, sans aucun transfert hors de l'EEE.
- Une base de données accessible depuis le serveur lui-même seulement, jamais exposée à internet.
- Des sauvegardes dans la même juridiction.
- Aucun tiers n'analyse le contenu de vos communications.
Qui peut voir quoi
- Chaque requête en base de données porte l'identifiant de l'entreprise : une donnée d'une autre organisation n'existe pas pour votre session.
- Six rôles avec des périmètres différents, et des garde-fous vérifiés sur le serveur, pas seulement à l'écran.
- Les fichiers ne sont pas publics : chaque téléchargement revérifie la session et l'appartenance.
- Un journal d'audit des arrivées, des départs, des changements de rôle et des validations.
Identifiants et sessions
- Les mots de passe ne sont pas stockés : nous stockons une dérivation scrypt avec un sel par utilisateur.
- L'identifiant de session est stocké chiffré ; une copie de la table ne permet d'usurper personne.
- Blocage temporaire après plusieurs tentatives échouées.
- Changer de mot de passe ferme les sessions ouvertes sur les autres appareils.
L'anonymat des sondages
- Quand un sondage est marqué comme anonyme, la réponse est enregistrée sans lien avec la personne.
- Ni un administrateur ni nous ne pouvons reconstituer qui a répondu quoi.
- En contrepartie, la répartition par service est perdue, et c'est annoncé à l'écran même.
- C'est la seule façon qu'un sondage de climat social serve vraiment à quelque chose.
Infrastructure et sous-traitants ultérieurs
Les serveurs de Blastack sont hébergés par des tiers, et chacun de ces tiers détient ses propres certifications. Voici qui est qui et le rôle de chacun, avec le nom du titulaire devant chaque certificat pour qu'il puisse être vérifié par son numéro d'enregistrement.
Fournisseur de l'infrastructure
Hostinger International Limited
- Hostinger International Limited est la société avec laquelle est signé le contrat de sous-traitance, et le titulaire du système autonome auquel appartient le serveur.
- Hostinger International Limited est certifiée ISO/IEC 27001:2022. L'audit est signé par TÜV Thüringen.
- Le périmètre de cette certification est celui de Hostinger International Limited : son infrastructure et ses processus.
Cela se vérifie sans passer par nous, dans son centre de confiance : trust.hostinger.com.
Exploitant du centre de données
Digital Realty
- Le bâtiment qui abrite les serveurs est un centre de données Digital Realty situé à Paris (France, Union européenne).
- Digital Realty détient pour ce centre les certifications ISO 27001, ISO 14001 et ISO 50001.
- Il exploite le bâtiment et ses installations. Il n'est pas le fournisseur du serveur et n'intervient pas dans le service.
Chaque certification de cette section est détenue par l'entreprise nommée juste au-dessus, et couvre sa propre infrastructure. Le titulaire est placé devant à dessein : un certificat sans titulaire ne peut pas être vérifié, et dans un appel d'offres cela vaut autant que de ne pas en apporter.
Ce que nous n'avons pas encore
Nous préférons le dire ici plutôt que vous le découvriez en réunion. Aujourd'hui, nous n'avons ni certification ISO 27001 ni rapport SOC 2 Type II ; nous n'avons pas d'authentification à deux facteurs en propre, même si les personnes qui se connectent avec le compte de leur entreprise passent par l'accès conditionnel de leur fournisseur ; et nous ne parlons pas SAML 2.0 — l'authentification unique passe par OpenID Connect, qui couvre Microsoft Entra ID, Google Workspace et Okta, mais si votre cahier des charges exige SAML par écrit, nous ne l'avons pas. Ces trois points sont à la feuille de route, sans date engagée.
Si l'une de ces trois est indispensable pour vous, écrivez-nous et nous vous dirons où cela en est.
La liste complète de ce que nous ne faisons pas aujourd'hui, avec le détail de chaque point, se trouve dans les questions fréquentes.
Des questions précises de votre service informatique ?
Nous répondons aux questionnaires de sécurité sans problème. Écrivez-nous et nous vous répondons par écrit.