Déclaration de sécurité

Synthèse

La présente déclaration résume nos mesures de sécurité. La page Sécurité et confiance les décrit plus en détail, et nos engagements contractuels figurent dans l'Avenant relatif au traitement des données. Nous ne publions pas de détails sur nos fournisseurs d'infrastructure ni sur notre architecture, car cela aiderait les attaquants.

Infrastructure

• Le service est fourni depuis un réseau distribué et chiffré couvrant plus de 125 pays, ce qui rapproche les pages publiques des visiteurs et les maintient disponibles en cas de défaillance d'un site.
• Tout le trafic est chiffré en transit avec une version actuelle de TLS et HTTP Strict Transport Security ; les données sont chiffrées au repos, sauvegardes comprises.
• L'application envoie des en-têtes de sécurité stricts, dont une politique de sécurité du contenu.

Accès et isolement

• L'authentification multifacteur par codes d'une application d'authentification est obligatoire pour chaque compte client et chaque compte du personnel ; les codes de récupération à usage unique sont stockés uniquement sous forme de hachages.
• Chaque espace de travail client est isolé dans l'application et au niveau de la base de données, de sorte qu'un client ne peut pas lire les données d'un autre.
• Les autorisations du personnel reposent sur les rôles et le principe du moindre privilège ; les actions sensibles sont consignées dans des journaux d'audit en ajout seul.
• Nous ne demandons jamais les mots de passe des comptes publicitaires. Nous travaillons au moyen d'autorisations utilisateur ou partenaire des plateformes, que le client contrôle et peut retirer à tout moment.

Paiements

• Les paiements par carte sont traités par notre prestataire de paiement, certifié selon la norme Payment Card Industry Data Security Standard. Nous ne voyons ni ne stockons jamais les numéros de carte.
• Les dépenses média sont payées par les clients directement aux plateformes publicitaires, au moyen de leurs propres moyens de paiement.

Incidents

Nous disposons d'une procédure de réponse aux incidents avec une escalade définie. Si une violation de données personnelles touche les données d'un client, nous en informons le client dans les meilleurs délais et au plus tard sous 48 heures, et la signalons aux autorités de contrôle lorsque la loi l'exige.