Politique de Sécurité

Introduction

Chez Warranlytics, la sécurité n'est pas seulement une fonctionnalité - elle est fondamentale à tout ce que nous faisons. Nous comprenons que vous nous confiez des données de garantie précieuses et des informations commerciales, et nous prenons cette responsabilité au sérieux.

Cette politique de sécurité décrit les mesures techniques et organisationnelles que nous appliquons aujourd'hui pour protéger vos informations.

Nous ne décrivons que les contrôles effectivement en place. Warranlytics ne détient pas de certification SOC 2, ISO 27001 ou PCI DSS.

1. Protection des Données

Nous protégeons vos données avec plusieurs niveaux de contrôle : HTTPS pour tout le trafic, vérification des autorisations à chaque requête et journaux d'audit des modifications de vos enregistrements.

Les mots de passe et les jetons de session ne sont jamais stockés en clair, et les adresses e-mail et numéros de téléphone sont masqués dans nos journaux applicatifs.

• HTTPS pour tout le trafic via Cloudflare, avec HTTP Strict Transport Security (HSTS)
• Mots de passe hachés avec bcrypt
• Jetons de rafraîchissement stockés uniquement sous forme de hachage SHA-256
• Jetons de session conservés dans des cookies httpOnly, Secure et SameSite
• Adresses e-mail et numéros de téléphone masqués dans les journaux
• Export et suppression des données sur demande

2. Contrôle d'Accès

Nous implémentons des contrôles d'accès stricts basés sur le principe du moindre privilège. Les utilisateurs ne reçoivent accès qu'aux données et fonctions nécessaires à leurs rôles spécifiques.

La connexion est protégée par une limitation du débit et des jetons d'accès de courte durée avec rotation des jetons de rafraîchissement. L'authentification à deux facteurs n'est pas encore disponible.

• Contrôle d'accès basé sur les rôles (RBAC)
• Jetons d'accès de courte durée avec rotation des jetons de rafraîchissement
• Journaux d'audit des modifications des garanties, réclamations, factures et autres enregistrements
• Chaque requête limitée aux données de votre propre organisation
• Limitation du débit sur la connexion, la réinitialisation du mot de passe et les codes à usage unique

3. Sécurité Réseau

Tout le trafic de production passe par Cloudflare, y compris son pare-feu applicatif web, avant d'atteindre nos serveurs, et les ports de notre base de données ne sont jamais exposés à Internet.

Chaque requête est authentifiée et vérifiée par rapport à des permissions basées sur les rôles avant de pouvoir accéder à vos données.

• Pare-feu applicatif web (WAF) Cloudflare
• En-têtes de sécurité sur chaque réponse, dont HSTS et une Content Security Policy
• Réseaux de conteneurs isolés pour chaque environnement
• Ports de base de données jamais exposés en production
• Atténuation des attaques DDoS via Cloudflare
• Requêtes cross-origin limitées à nos propres applications

4. Sécurité d'Infrastructure

La plateforme fonctionne dans des conteneurs sur une infrastructure cloud gérée, derrière Cloudflare. Les conteneurs s'exécutent avec un utilisateur non root et chaque environnement est isolé des autres.

Nous maintenons à jour les dépendances et les images de base, et appliquons les correctifs de sécurité dès leur publication.

• Hébergement cloud géré derrière Cloudflare
• Conteneurs exécutés avec un utilisateur non root
• Dépendances et images de base tenues à jour
• Déploiements définis dans une configuration versionnée
• Journalisation applicative et surveillance de la disponibilité
• Secrets fournis par l'environnement, jamais versionnés dans le code

5. Sécurité des Applications

Nos applications suivent des pratiques de développement sécurisé, avec des contrôles de sécurité à plusieurs niveaux de l'application.

Chaque requête est validée et assainie à l'entrée de l'API, les dépendances sont tenues à jour et les vulnérabilités signalées sont corrigées rapidement.

• Revue de code et analyse automatique (linting) à chaque modification
• Protection CSRF sur chaque requête modifiant des données
• Champs inconnus rejetés par une validation stricte des entrées
• Validation sécurisée des entrées et assainissement
• Gestion sécurisée des erreurs et journalisation
• Sécurité API et limitation de débit

6. Prévention de la Fraude

Les contrôles antifraude sont des règles déterministes appliquées à chaque réclamation : nous détectons les enregistrements et réclamations en double, confirmons la validité du numéro de série et vérifions que la réclamation se situe dans la période de couverture de la garantie.

Les réclamations qui échouent à un contrôle sont signalées à votre équipe pour examen. Aucun apprentissage automatique ni profilage automatisé n'est utilisé.

• Détection des enregistrements et réclamations en double
• Validation du numéro de série
• Vérification de la période de couverture et d'expiration
• Codes QR et liens de vérification signés sur les certificats de garantie
• Piste d'audit pour chaque garantie et réclamation
• Réclamations signalées mises en attente d'examen manuel

7. Réponse aux Incidents

Nous disposons d'un processus documenté de gestion des incidents de sécurité : établir ce qui s'est passé, limiter l'impact et corriger la cause.

Nous réagissons aux incidents de sécurité dès que nous en avons connaissance, en suivant des procédures documentées pour en limiter l'impact et en informant les clients concernés.

• Procédures documentées de réponse aux incidents
• Limitation du débit et règles de pare-feu pour contenir les abus
• Journaux serveur et pistes d'audit pour établir ce qui s'est passé
• Communication et notification d'incidents
• Analyse de cause racine post-incident
• Amélioration continue des processus

8. Conformité et Protection des Données

Nous appliquons des pratiques de sécurité éprouvées et concevons la plateforme autour des obligations de protection des données qui s'appliquent à nos clients.

Nous conservons des registres internes et des journaux d'audit suffisants pour justifier nos obligations RGPD, et nous pouvons les fournir sur demande.

• Conformité RGPD pour la protection des données
• Chiffrement en transit et au repos
• Contrôle d'accès basé sur les rôles sur chaque enregistrement
• Journalisation d'audit côté serveur des accès aux données
• Processus documenté de réponse aux incidents
• Revues d'accès au moindre privilège

9. Formation Sécurité des Employés

Chaque membre de notre petite équipe ayant accès aux systèmes de production est formé à nos pratiques de sécurité à son arrivée.

L'accès aux systèmes de production est limité aux personnes qui en ont besoin pour faire fonctionner le service.

• Formation à la sécurité pour toute personne ayant accès à la production
• Accès à la production limité à ceux qui en ont besoin
• Secrets tenus hors du code source
• Consignes de traitement des données clients
• Procédures de réponse aux incidents
• Accès retirés rapidement lorsqu'une personne quitte l'équipe

10. Sécurité des Tiers

Nous limitons volontairement le nombre de sous-traitants et nous appuyons sur des fournisseurs établis pour l'hébergement, l'envoi d'e-mails et le stockage de fichiers.

Chaque fournisseur n'accède qu'aux données nécessaires à sa fonction, et nous pouvons fournir la liste à jour de nos sous-traitants sur demande.

• Un nombre volontairement restreint de sous-traitants
• Accords contractuels de sécurité
• Chaque fournisseur limité aux données strictement nécessaires
• Liste des sous-traitants à jour fournie sur demande
• Exigences de manipulation des données
• Notification d'incidents et procédures de réponse

11. Rapports de Sécurité

Nous encourageons la divulgation responsable des vulnérabilités de sécurité et maintenons des canaux clairs pour que les chercheurs en sécurité et les utilisateurs rapportent les problèmes.

Tous les signalements de sécurité sont pris au sérieux et examinés rapidement.

• Divulgation responsable par e-mail à contact@warranlytics.com
• Signalements accusés et examinés rapidement
• Processus d'escalade des incidents
• Correctifs priorisés selon la gravité
• Communication transparente de résolution
• Améliorations de sécurité basées sur les retours

12. Informations de Contact

Pour des questions sur la sécurité, pour signaler une vulnérabilité de sécurité ou pour demander des informations supplémentaires sur nos pratiques de sécurité, veuillez nous contacter :

E-mail : contact@warranlytics.com

Pour les questions de sécurité urgentes, écrivez-nous avec l'objet 'URGENT - Sécurité' ou appelez le +880 1811 955 677 pendant les heures ouvrées.