Sécurité et conformité : comment SignFlow protège vos documents

# Sécurité et conformité : comment SignFlow protège vos documents

Chez SignFlow, la sécurité n'est pas une réflexion après coup : elle est intégrée à chaque aspect de notre plateforme. Ce guide explique comment nous protégeons vos documents et maintenons la conformité aux normes du secteur.

Nos principes de sécurité

Nous suivons trois principes fondamentaux :

1. 1La sécurité dès la conception : la sécurité est intégrée dès le départ
2. 2La défense en profondeur : plusieurs couches de protection
3. 3L'amélioration continue : des audits et des mises à jour réguliers

Chiffrement des données

Chiffrement au repos

Tous les documents sont chiffrés lorsqu'ils sont stockés :

• Algorithme : chiffrement AES-256
• Gestion des clés : AWS KMS avec rotation automatique
• Stockage : buckets S3 chiffrés avec gestion des versions

`typescript // Exemple : chiffrement de document const encryptedDocument = await encrypt(document, { algorithm: 'AES-256-GCM', keyId: process.env.KMS_KEY_ID }); `

Chiffrement en transit

Toute transmission de données utilise :

• TLS 1.3 : la dernière norme de sécurité du transport
• Confidentialité persistante (Perfect Forward Secrecy) : des clés de session uniques
• HSTS : des connexions HTTPS imposées

Nous obtenons une note A+ sur SSL Labs.

Authentification et autorisation

Authentification à plusieurs facteurs

Nous prenons en charge plusieurs méthodes de 2FA :

• Applications d'authentification TOTP
• Codes par SMS (méthode de secours)
• Clés de sécurité matérielles (FIDO2/WebAuthn)

Gestion des sessions

• Cookies sécurisés HTTP-only
• Expiration de session après 30 jours
• Déconnexion automatique en cas d'inactivité
• Suivi et gestion des appareils

Contrôle d'accès

Des autorisations fines :

• Au niveau du document : contrôlez qui peut consulter/modifier chaque document
• Selon le rôle : attribuez des rôles avec des autorisations précises
• Au niveau de l'équipe : gérez l'accès entre les équipes
• Au niveau de l'API : limitez les clés d'API à des actions précises

Sécurité de l'infrastructure

Infrastructure cloud

• Fournisseur : AWS (certifié SOC 2 Type II)
• Régions : États-Unis, UE, Asie-Pacifique
• Redondance : déploiement multi-AZ
• Sauvegardes : sauvegardes automatiques quotidiennes avec conservation de 30 jours

Sécurité réseau

• Pare-feu : AWS WAF avec des règles personnalisées
• Protection anti-DDoS : AWS Shield Standard
• Limitation de débit : régulation des requêtes API et web
• Liste d'autorisation d'adresses IP : fonctionnalité Enterprise pour un accès restreint

Sécurité applicative

• Analyse des dépendances : vérifications automatiques des vulnérabilités
• Analyse du code : analyse statique à chaque commit
• Tests d'intrusion : audits annuels par un tiers
• Bug Bounty : programme de divulgation responsable

Certifications de conformité

SOC 2 Type II

Nous maintenons la conformité SOC 2 Type II :

• Critères des services de confiance : sécurité, disponibilité, confidentialité
• Audit annuel : évaluation indépendante par un tiers
• Rapport disponible : contactez le service commercial pour le rapport SOC 2

Conformité au RGPD

Pour les clients européens :

• Accord de traitement des données : disponible sur demande
• Droit d'accès : exportez vos données à tout moment
• Droit à l'effacement : supprimez votre compte et vos données
• Portabilité des données : téléchargement dans des formats standard
• Protection de la vie privée dès la conception : collecte de données minimale

Conformité HIPAA

Les clients du secteur de la santé peuvent utiliser SignFlow :

• Accord de sous-traitance (Business Associate Agreement) : disponible pour les organismes de santé
• Protection des RPS (PHI) : stockage et transmission chiffrés
• Journaux d'audit : suivi complet de l'activité
• Contrôles d'accès : autorisations selon le rôle

Conformité eIDAS

Pour les signatures électroniques de l'UE :

• Signatures électroniques avancées : prise en charge de la signature qualifiée
• Piste d'audit : enregistrements de signature à détection de falsification
• Vérification d'identité : plusieurs méthodes de vérification

Piste d'audit

Chaque action sur un document est consignée :

Événements suivis

• Document créé, envoyé, consulté
• Signatures ajoutées
• Document finalisé, annulé
• Tentatives d'accès (réussies et échouées)
• Changements de paramètres

Détails du journal d'audit

Chaque entrée de journal comprend :

`json { "timestamp": "2024-01-20T10:30:00Z", "actor": "john@example.com", "action": "document.signed", "documentId": "doc_123", "ipAddress": "192.0.2.1", "userAgent": "Mozilla/5.0...", "geolocation": "San Francisco, CA, US" } `

Journaux infalsifiables

• Hachage cryptographique : chaque entrée est hachée
• Chaîne de traçabilité : les entrées sont liées entre elles
• Immuables : les journaux ne peuvent être ni modifiés ni supprimés

Confidentialité des données

Collecte des données

Nous ne collectons que le strict nécessaire :

• Données de compte : e-mail, nom, entreprise
• Données de document : fichiers, signatures, métadonnées
• Données d'usage : utilisation des fonctionnalités, indicateurs de performance

Nous ne faisons jamais :

• Vendre vos données
• Utiliser vos documents pour entraîner une IA
• Partager vos données avec des tiers (sauf les prestataires de services)

Conservation des données

• Documents actifs : conservés tant que le compte est actif
• Documents finalisés : conservés selon vos paramètres (par défaut : 7 ans)
• Documents supprimés : définitivement supprimés après 30 jours
• Sauvegardes : purgées après 30 jours

Localisation des données

Choisissez où vos données sont stockées :

• États-Unis : AWS us-east-1
• Union européenne : AWS eu-west-1 (Francfort)
• Asie-Pacifique : AWS ap-southeast-1 (Singapour)

Les données ne quittent jamais la région que vous avez choisie.

Réponse aux incidents

Surveillance de la sécurité

Une surveillance 24h/24 et 7j/7 pour :

• Les tentatives d'accès non autorisées
• Les schémas d'activité inhabituels
• Les anomalies système
• Les divulgations de vulnérabilités

Plan de réponse aux incidents

En cas d'incident de sécurité :

1. 1Détection : alertes et surveillance automatisées
2. 2Confinement : action immédiate pour limiter l'impact
3. 3Enquête : analyse de la cause racine
4. 4Notification : les clients concernés sont informés sous 72 heures
5. 5Remédiation : correction des vulnérabilités et renforcement des défenses

Contacter l'équipe de sécurité

Signalez les problèmes de sécurité :

• E-mail : security@signflow.com
• Clé PGP : disponible sur signflow.com/security
• Bug Bounty : hackerone.com/signflow

Bonnes pratiques pour les utilisateurs

Mots de passe forts

• Utilisez un gestionnaire de mots de passe
• Activez la 2FA sur votre compte
• Utilisez un mot de passe unique pour chaque service
• Changez vos mots de passe en cas de compromission

Sécurité des documents

• Ne partagez pas publiquement les liens de signature
• Vérifiez attentivement les adresses e-mail des signataires
• Activez les dates d'expiration sur les documents
• Annulez les documents envoyés par erreur

Sécurité de l'équipe

• Révisez régulièrement les accès des membres de l'équipe
• Retirez immédiatement l'accès des anciens employés
• Utilisez des autorisations selon le rôle
• Activez la 2FA pour tous les membres de l'équipe

Sécurité de l'API

• Effectuez régulièrement une rotation des clés d'API
• Utilisez des clés limitées, avec un minimum d'autorisations
• Stockez les clés de façon sécurisée (jamais dans le code)
• Surveillez l'usage de l'API pour détecter les anomalies

Transparence

Nous croyons en la transparence :

• Page de sécurité : signflow.com/security
• Page d'état : status.signflow.com
• Politique de confidentialité : signflow.com/privacy
• Conditions d'utilisation : signflow.com/terms

Des questions ?

Vous avez des questions de sécurité ?

• E-mail : security@signflow.com
• Documentation : docs.signflow.com/security
• Service commercial : sales@signflow.com (pour les rapports de conformité)

Nous nous engageons à gagner et à conserver votre confiance grâce à des pratiques de sécurité robustes et à une communication transparente.

Dernière mise à jour : 20 janvier 2024