Mesures de sécurité
Mesures de sécurité de ProcessMind
Date d’entrée en vigueur : 15 avril 2026
Ce document décrit les mesures techniques et organisationnelles (« TOM ») que ProcessMind B.V. maintient pour protéger la confidentialité, l’intégrité et la disponibilité des données client. Ces mesures complètent l’Avenant relatif au traitement des données , la Politique de confidentialité et la Politique d’hébergement SaaS . ProcessMind révise et met à jour ces mesures au moins une fois par an.
Les données client ne sont jamais vendues à des tiers, partagées avec eux ou utilisées par ces derniers à leurs propres fins.
1. Sécurité de l’infrastructure
1.1 Plateforme Cloud. ProcessMind est hébergé exclusivement sur Amazon Web Services (AWS) au sein de l’UE (Francfort, Allemagne, eu-central-1). AWS maintient les certifications ISO 27001, ISO 27017, ISO 27018, SOC 1/2/3 et PCI DSS. Consultez les programmes de conformité AWS pour obtenir la liste complète.
1.2 Architecture sans serveur (serverless). Toute la logique applicative s’exécute sur AWS Lambda (serverless). L’absence de serveurs permanents élimine le besoin de correctifs ou de renforcement (hardening), supprimant ainsi toute une catégorie de risques liés aux infrastructures, tels que les systèmes d’exploitation non mis à jour, les compromissions persistantes et les erreurs de configuration des serveurs.
1.3 Isolation réseau. Toutes les ressources de calcul et de base de données fonctionnent au sein d’un Virtual Private Cloud (VPC) utilisant des sous-réseaux privés sans accès direct à Internet. Les instances de base de données ne sont pas accessibles publiquement ; elles ne peuvent être jointes que via l’API AWS RDS Data à partir de fonctions Lambda autorisées.
1.4 Diffusion du contenu. Les ressources statiques sont diffusées via Amazon CloudFront avec des en-têtes de réponse CSP (Content Security Policy) stricts, incluant des restrictions frame-ancestors pour prévenir le clickjacking.
1.5 Ségrégation des environnements. Les environnements de production et de développement utilisent des comptes AWS distincts, des bases de données séparées et des piles d’infrastructure indépendantes, gérées via AWS Control Tower selon les meilleures pratiques de ségrégation des comptes. Des garde-fous préventifs et de détection imposent des standards de sécurité sur tous les comptes. Les identifiants des développeurs ne permettent pas d’accéder aux données client de production.
2. Chiffrement des données
2.1 Chiffrement en transit. Toutes les données transmises entre les clients et les services ProcessMind sont chiffrées à l’aide de TLS 1.2 ou supérieur. Le protocole HTTPS est imposé pour tous les points de terminaison d’API, les téléchargements vers S3 et l’application web. Les communications internes entre services au sein du VPC utilisent également des canaux chiffrés.
2.2 Chiffrement au repos. Toutes les bases de données (Amazon Aurora PostgreSQL) sont chiffrées au repos selon la norme AES-256 via AWS Key Management Service (KMS), avec une clé gérée par le client et une rotation annuelle automatique activée. Tous les stockages (Amazon S3) sont chiffrés au repos en AES-256 via un chiffrement côté serveur avec des clés gérées par Amazon S3 (SSE-S3).
2.3 Gestion des clés. Les clés de chiffrement des bases de données sont gérées de manière centralisée via AWS KMS. L’accès aux clés est régi par des politiques IAM suivant le principe du moindre privilège. Les clés de chiffrement S3 sont gérées automatiquement par AWS. Les clés ne sont jamais stockées dans le code de l’application ou dans les fichiers de configuration.
3. Isolation et résidence des données
3.1 Isolation des locataires. Chaque organisation cliente dispose d’une instance de base de données dédiée et isolée. Les données client ne sont jamais mélangées avec celles d’autres clients au niveau de la base de données. Les métadonnées partagées (ex. : dossiers de compte, facturation) sont stockées dans une base de données multi-locataire séparée avec des contrôles d’accès stricts.
3.2 Résidence des données. Toutes les données client, y compris les bases de données, les fichiers téléchargés, les sauvegardes et les résultats de requêtes, sont stockées exclusivement dans l’UE (Francfort, Allemagne). ProcessMind ne transfère ni ne réplique les données client en dehors de l’Espace économique européen.
3.3 Rétention et suppression des données. Pour les abonnements payants, les données client sont automatiquement supprimées quatre-vingt-dix (90) jours après la fin de la période d’abonnement. Pour les comptes d’essai, les données sont supprimées automatiquement treize (13) mois après la création du compte. Les clients peuvent supprimer leurs données à tout moment via l’application ou en contactant ProcessMind. Les données contenues dans les sauvegardes automatiques expirent dans un délai supplémentaire de quatre-vingt-dix (90) jours. Tous les détails figurent à la section 6 de l’ Avenant relatif au traitement des données .
4. Gestion des identités et des accès
4.1 Authentification. ProcessMind prend en charge l’authentification unique (SSO) via Microsoft Entra ID (Azure AD), Google OAuth 2.0/OIDC et LinkedIn OAuth 2.0/OIDC. ProcessMind agit en tant que partie de confiance et ne stocke pas les mots de passe des utilisateurs. L’authentification multifacteur (MFA) est prise en charge via le fournisseur d’identité du client.
4.2 Gestion des sessions. Toutes les sessions utilisent des jetons JSON Web Tokens (JWT) signés, transmis via des cookies sécurisés HttpOnly avec les drapeaux SameSite et Secure. Les signatures des jetons sont validées à chaque requête API.
4.3 Autorisation. Tous les points de terminaison d’API imposent une autorisation basée sur les JWT au niveau de la couche applicative. L’accès aux données client est limité au locataire authentifié, empêchant tout accès aux données entre locataires.
4.4 Moindre privilège. Les systèmes internes suivent le principe du moindre privilège. Les rôles IAM pour les composants de l’infrastructure sont limités aux autorisations minimales requises. L’accès des employés aux systèmes de production est restreint au personnel désigné ayant un besoin métier documenté.
4.5 Contrôles d’accès des employés. L’accès des employés aux systèmes internes est géré via Active Directory avec SSO et MFA obligatoire. Le contrôle d’accès basé sur les rôles (RBAC) garantit que l’accès aux données client est limité au personnel autorisé selon le principe du besoin d’en connaître. Les droits d’accès sont révisés périodiquement.
5. Journalisation, surveillance et audit
5.1 Journalisation centralisée. Tous les événements applicatifs, les événements d’authentification et les activités du système sont journalisés de manière centralisée via Amazon CloudWatch en utilisant un format JSON structuré. Des groupes de journaux distincts sont maintenus pour les logs applicatifs, les événements d’audit et les données de télémétrie. Les journaux d’audit et de télémétrie sont conservés indéfiniment et protégés contre la suppression.
5.2 Journalisation des accès. La journalisation des accès à l’API WebSocket est activée. La journalisation au niveau applicatif capture les événements d’authentification et les détails des requêtes API pour l’analyse forensique.
5.3 Surveillance et alertes. Les alarmes et tableaux de bord CloudWatch assurent une surveillance en temps réel de la santé du système, des taux d’erreur et des événements liés à la sécurité. Les anomalies déclenchent des alertes automatisées transmises à l’équipe d’ingénierie.
5.4 Protection des journaux. Les journaux sont stockés dans des groupes de journaux CloudWatch dédiés et dont l’accès est contrôlé. Les données des journaux sont chiffrées au repos. Les journaux de production ne sont pas accessibles depuis les environnements de développement.
6. Gestion des vulnérabilités
6.1 Analyse de conformité automatisée. L’infrastructure-as-code est analysée à chaque déploiement à l’aide de cdk-nag, qui valide les configurations par rapport à plusieurs cadres de conformité, notamment les meilleures pratiques AWS Solutions, HIPAA Security, NIST 800-53 Rev 4 et Rev 5, et PCI DSS 3.2.1. Des rapports de conformité sont générés pour chaque pile et examinés dans le cadre du processus de déploiement. Les résultats sont suivis, triés et soit corrigés, soit documentés avec justification.
6.2 Gestion des dépendances. Les dépendances logicielles font l’objet d’une surveillance continue pour détecter les vulnérabilités connues. Les vulnérabilités critiques et de haute sévérité sont corrigées sans délai. Les dépendances sont mises à jour selon un cycle régulier.
6.3 Cycle de vie de développement logiciel sécurisé (SDLC). Toutes les modifications de code font l’objet d’une revue par les pairs avant d’être intégrées en production. Des suites de tests automatisés (unitaires, intégration et de bout en bout) sont exécutées à chaque modification. Les considérations de sécurité font partie de la liste de vérification des revues.
7. Sauvegarde et reprise après sinistre
7.1 Sauvegardes automatisées. Amazon Aurora effectue des sauvegardes automatiques et continues avec une période de rétention de sept (7) jours. Les sauvegardes sont chiffrées à l’aide des mêmes clés KMS gérées par le client que les bases de données sources.
7.2 Restauration à un point précis dans le temps. Aurora permet une restauration à la seconde près au sein de la fenêtre de rétention des sauvegardes, autorisant une récupération rapide en cas de corruption de données ou de suppression accidentelle.
7.3 Durabilité des données S3. Les fichiers téléchargés et les artefacts du data warehouse sont stockés dans Amazon S3, qui offre une durabilité de 99,999999999 % (11 neufs). Le versionnage S3 est activé, conservant les versions précédentes des objets à des fins de récupération.
7.4 Continuité de l’activité. Les procédures de reprise après sinistre sont documentées et testées périodiquement. L’architecture serverless offre intrinsèquement une haute disponibilité à travers plusieurs zones de disponibilité au sein de la région eu-central-1.
8. Réponse aux incidents
8.1 Notification d’incident. En cas d’incident de sécurité (tel que défini dans le DPA), ProcessMind informera les clients concernés sans retard injustifié et, si possible, dans les soixante-douze (72) heures suivant la prise de connaissance de l’incident.
8.2 Gestion des incidents. ProcessMind maintient des procédures documentées de réponse aux incidents couvrant l’identification, le confinement, l’éradication, la récupération et l’examen post-incident. Les enseignements tirés des incidents sont intégrés aux contrôles et processus de sécurité.
8.3 Communication. Les notifications d’incident incluent la nature et l’étendue de l’incident, les catégories de données concernées, les mesures prises pour contenir l’incident et les actions recommandées au client.
9. Mesures organisationnelles
9.1 Gestion de la sécurité de l’information. ProcessMind maintient un système de gestion de la sécurité de l’information aligné sur la norme ISO 27001. ProcessMind s’efforce d’obtenir et de maintenir des certifications conformément aux exigences des clients et de la réglementation.
9.2 Sensibilisation à la sécurité. Tout le personnel ayant accès aux données client reçoit une formation de sensibilisation à la sécurité. Les meilleures pratiques de sécurité sont intégrées dans le processus d’intégration, les flux de développement et les procédures opérationnelles.
9.3 Gestion des fournisseurs et sous-traitants ultérieurs. Les sous-traitants ultérieurs sont liés contractuellement à des normes de protection des données équivalentes à celles décrites dans ce document. ProcessMind tient à jour une liste publique des sous-traitants ultérieurs et donne un préavis d’au moins trente (30) jours avant de faire appel à un nouveau sous-traitant. Les sous-traitants sont audités annuellement pour vérifier leur conformité.
9.4 Confidentialité. Tout le personnel autorisé à traiter les données client est lié par des obligations de confidentialité écrites.
10. Conformité et certifications
| Référentiel / Norme | Statut |
|---|---|
| RGPD (Règlement Général sur la Protection des Données) | Conforme |
| Résidence des données dans l’UE (Francfort, Allemagne) | Appliquée |
| Certifications d’infrastructure AWS (ISO 27001, SOC 2, PCI DSS) | Héritées via AWS |
| Clauses contractuelles types (CCT) pour les transferts internationaux | Mises en œuvre (voir DPA ) |
| Avenant relatif au traitement des données (DPA) | Disponible sur demande |
Pour toute question concernant la sécurité, la conformité, ou pour demander une documentation telle que des rapports d’audit ou des questionnaires de sécurité complétés, contactez security@processmind.com.