Sécurité et protection des données chez SideCare

L'application SideCare, ses bases de données et les documents que vous y déposez (contrats, justificatifs, attestations) sont hébergés dans l'Union européenne, sur l'infrastructure d'Amazon Web Services (AWS), via la plateforme Heroku (Salesforce).

Ces hébergeurs publient leurs certifications de sécurité, notamment ISO 27001 et SOC 2. La documentation de conformité de Heroku est disponible sur compliance.salesforce.com.

Oui. Tous les échanges avec SideCare passent par HTTPS (TLS). Les connexions non chiffrées sont redirigées automatiquement, et la politique HSTS demande aux navigateurs de n'utiliser que des connexions chiffrées.

Oui. Les bases de données et l'espace de stockage des documents sont chiffrés au repos par nos hébergeurs, selon le standard AES-256.

Les mots de passe ne sont jamais conservés en clair : seule une empreinte calculée avec l'algorithme bcrypt est enregistrée. Certains secrets techniques font en plus l'objet d'un chiffrement au niveau de l'application.

Oui. La base de données de production est sauvegardée automatiquement chaque jour. Une protection continue permet en complément de la restaurer à un instant antérieur.

Chaque compte est protégé par un mot de passe qui doit respecter les règles suivantes :

• au moins 8 caractères, avec une majuscule, une minuscule, un chiffre et un caractère spécial ;
• renouvellement obligatoire tous les 6 mois ;
• un ancien mot de passe ne peut pas être réutilisé.

Oui. La double authentification ajoute à votre mot de passe un code à usage unique, demandé à la connexion.

Elle est activée par défaut pour les équipes de SideCare qui accèdent à l'outil de gestion interne. Vous pouvez l'activer sur votre compte depuis votre espace.

• Un compte est verrouillé automatiquement après plusieurs échecs de connexion. Son titulaire le débloque par e-mail.
• Le nombre de tentatives de connexion est limité, et les sources de trafic abusives sont bloquées automatiquement.
• La procédure de mot de passe oublié ne révèle pas si une adresse e-mail correspond à un compte.

Chaque utilisateur accède uniquement aux données de son périmètre : son entreprise, ses contrats, ses salariés ou son propre dossier.

L'outil de gestion interne de SideCare repose sur des rôles et des permissions. Chaque collaborateur dispose des seuls droits nécessaires à sa mission (principe du moindre privilège).

Oui. Les modifications des données clés sont historisées, avec leur date et leur auteur. Cet historique est consultable par les équipes habilitées de SideCare.

Des outils automatiques analysent notre code et nos dépendances :

• une analyse statique de sécurité du code, exécutée plusieurs fois par jour ;
• un audit des dépendances, qui signale les librairies touchées par une faille connue ;
• des règles de sécurité vérifiées automatiquement sur chaque modification proposée.

Chaque modification du code passe par une demande de fusion (pull request). Elle doit être relue et approuvée par un autre développeur, et réussir les tests automatisés, avant d'être intégrée.

La plateforme s'appuie sur les protections du framework Ruby on Rails, notamment contre la falsification de requêtes (CSRF). Les cookies de session ne sont transmis que sur une connexion chiffrée.

Oui. La production, la recette et le développement sont des environnements distincts.

Le trafic vers la plateforme transite par le réseau de Cloudflare, qui atténue les attaques par déni de service (DDoS) et filtre les requêtes malveillantes.

En complément, l'application limite elle-même le débit des requêtes et bloque automatiquement les comportements abusifs.

Les erreurs applicatives et les comportements suspects sont remontés en temps réel à notre équipe technique, qui est alertée automatiquement.

Si vous pensez avoir découvert une faille de sécurité sur SideCare, écrivez à [email protected] en décrivant les étapes qui permettent de la reproduire.

Merci de ne pas la rendre publique avant que nous ayons pu la corriger.

SideCare applique les obligations du RGPD :

• notification à la CNIL dans les 72 heures lorsque la violation présente un risque pour les droits et libertés des personnes (article 33) ;
• information des personnes concernées lorsque ce risque est élevé (article 34).

Vous disposez d'un droit d'accès, de rectification, d'opposition, d'effacement et de portabilité de vos données. Pour l'exercer, écrivez à [email protected].

Le traitement de vos données personnelles est décrit dans nos CGU et notre politique RGPD. L'identité de notre hébergeur figure dans nos mentions légales.

La liste de nos sous-traitants est communiquée sur demande à [email protected].