La sécurité chez Replug

Replug met en œuvre des mesures organisationnelles et techniques complètes, désignées comme les « Pratiques de sécurité », afin de protéger les informations que vous fournissez, appelées « Informations Client » (notamment, sans s'y limiter, les URL d'origine, les liens raccourcis, les données de suivi, les statistiques, les identifiants de compte, ainsi que toutes les métadonnées ou tous les contenus associés, comme les CTA). Ces mesures visent à empêcher la perte, l'utilisation abusive, l'accès non autorisé ou la divulgation de vos données. L'efficacité de ces mesures de sécurité est évaluée en continu, en tenant compte de la sensibilité des données que nous collectons, traitons et stockons, de l'évolution de l'état de la technique, des coûts de mise en œuvre, ainsi que de la nature, de la portée, du contexte et des finalités spécifiques des activités de traitement de données menées par Replug.

Dans ce contexte, les « Services Replug » englobent l'ensemble des services proposés par Replug, tels que décrits dans les conditions du contrat qui régit votre utilisation des Services Replug. Les termes commençant par une majuscule qui ne sont pas définis dans le présent document relatif aux Pratiques de sécurité ont le sens qui leur est donné dans le contrat.

Les Pratiques de sécurité de Replug sont conçues pour respecter les lois applicables en matière de protection des données et de la vie privée, notamment le Règlement général sur la protection des données de l'UE (RGPD), le California Consumer Privacy Act (CCPA/CPRA) et d'autres cadres internationaux.

Replug a désigné un responsable de la sécurité et/ou une équipe dédiée à la sécurité. Cette fonction est chargée de l'élaboration, de la mise en œuvre et de la maintenance continue des Pratiques de sécurité de Replug.

Tous les employés et le personnel sous contrat de Replug sont tenus de respecter strictement les politiques internes relatives au traitement confidentiel des Informations Client.

• Ils suivent, lors de leur intégration, une formation à la sécurité et à la confidentialité adaptée à leur rôle, puis des formations de remise à niveau à intervalles réguliers (par exemple, chaque année).
• L'ensemble du personnel doit prendre connaissance et accepter les politiques de sécurité de l'information, qui mettent l'accent sur la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes et services utilisés pour fournir les Services Replug.
• Replug applique des contrôles stricts pour limiter l'accès du personnel aux Informations Client, en veillant à ce que cet accès ne soit accordé qu'en fonction du besoin d'en connaître, à des personnes autorisées et à des fins opérationnelles légitimes.
• Lorsque la loi le permet et que la sensibilité du poste le justifie, Replug procède à des vérifications préalables à l'embauche.

Replug maintient des politiques de contrôle d'accès solides couvrant l'intégration, le départ et les changements de rôle.

• Ces politiques prévoient des revues d'accès régulières, la limitation et le contrôle des privilèges administratifs, ainsi que des mécanismes visant à atténuer les risques liés aux sessions inactives.
• La séparation des tâches est mise en place lorsque cela est approprié, afin de réduire les conflits et les risques de sécurité.
• Un inventaire des systèmes critiques et des comptes utilisateurs disposant d'accès privilégiés est tenu à jour.
• Les principes du « moindre privilège » et du « besoin d'en connaître » sont appliqués.
• Des contrôles peuvent être mis en place pour limiter les sessions de connexion simultanées ou les tentatives de connexion excessives.
• Des politiques de mots de passe complètes sont appliquées : complexité minimale, changement obligatoire lors de la première connexion ou d'une réinitialisation, et renouvellement périodique avec des restrictions sur la réutilisation.

L'accès aux systèmes internes critiques utilisés par le personnel de Replug est sécurisé par une authentification multifacteur. Replug met également la MFA à la disposition de ses clients pour renforcer la sécurité de leurs comptes.

Replug utilise en interne une technologie d'authentification unique lorsque cela est approprié, afin de simplifier et de sécuriser les accès.

• En transit : Replug prend en charge des suites de chiffrement et des protocoles sécurisés actuels (par exemple, TLS 1.2 et TLS 1.3) pour chiffrer toutes les Informations Client transmises vers et depuis les Services Replug.
• Au repos : les Informations Client sensibles (telles que les identifiants de compte, les clés API et, le cas échéant, certaines données de configuration) sont chiffrées au repos lorsque cela est approprié, compte tenu de la nature des données et des risques associés. Replug surveille en permanence l'évolution du paysage cryptographique afin de s'adapter aux nouvelles faiblesses tout en préservant la compatibilité nécessaire.

Replug évalue en continu les normes cryptographiques et abandonne les algorithmes de chiffrement obsolètes, conformément aux bonnes pratiques du secteur (par exemple, les recommandations du NIST).

Les systèmes de Replug (y compris les serveurs, les pare-feu et les applications critiques) sont configurés pour consigner les événements pertinents dans des systèmes centralisés et sécurisés, afin de faciliter la surveillance, l'analyse et les revues de sécurité.

• Cet environnement de journalisation recueille des données relatives à la sécurité, aux accès, à la disponibilité et aux performances. Les journaux sont analysés à l'aide d'outils de surveillance pour détecter les événements liés à la sécurité, puis examinés par l'équipe de sécurité.
• Replug utilise des systèmes de détection d'intrusion (au niveau du réseau et/ou des hôtes) ainsi que des pare-feu applicatifs web (WAF) pour surveiller de manière proactive les intrusions non autorisées et s'en protéger.

Replug utilise des mesures de sécurité réseau, notamment des pare-feu et des groupes de sécurité. Les ports réseau qui ne sont pas indispensables à la fourniture des Services Replug sont bloqués au niveau de l'infrastructure.

Replug effectue régulièrement des analyses de vulnérabilités sur son infrastructure de production et déploie des efforts commercialement raisonnables pour corriger les vulnérabilités identifiées présentant un risque important. Les terminaux fournis par l'entreprise (comme les ordinateurs portables) sont gérés avec des mesures de sécurité telles que le verrouillage de l'écran et le chiffrement intégral du disque.

L'infrastructure qui prend en charge les Services Replug est conçue pour la tolérance aux pannes et la haute disponibilité, conformément à nos engagements de niveau de service (SLA), afin de garantir une gestion et une redirection des liens fiables.

Replug maintient un plan de continuité d'activité (PCA) documenté, testé périodiquement pour garantir la disponibilité du service, même en cas de perturbations importantes.

Les Informations Client sont stockées de manière redondante dans plusieurs emplacements physiques au sein des centres de données de l'hébergeur de Replug, afin d'assurer la résilience.

• Replug met en œuvre des procédures de sauvegarde et de restauration solides, conçues pour permettre la reprise après des perturbations importantes.
• Les équipes opérationnelles sont alertées en cas de défaillance des systèmes. Des sauvegardes sont effectuées régulièrement et les procédures de restauration sont testées périodiquement (par exemple, chaque trimestre) afin d'en vérifier l'efficacité.
• En cas de sinistre, les objectifs de reprise de Replug sont conçus pour atteindre ou dépasser les normes du secteur en matière de durée maximale d'interruption admissible (RTO) et de perte de données maximale admissible (RPO).

Replug fait appel à des fournisseurs d'infrastructure cloud de premier plan pour héberger les Services Replug. Ces fournisseurs appliquent des mesures de sécurité physique et environnementale de pointe dans leurs centres de données et détiennent généralement des certifications telles que ISO 27001, SOC 1/2/3 et PCI DSS.

Replug maintient des politiques et procédures de sécurité internes, éventuellement alignées sur des cadres reconnus. Celles-ci encadrent les opérations et garantissent le traitement sécurisé des identifiants (par exemple, le hachage salé des mots de passe), la tenue des journaux d'accès et l'absence de journalisation de données sensibles, comme les mots de passe en clair.

Replug suit un cycle de développement sécurisé (SDLC), qui garantit que les questions de sécurité sont intégrées de la conception jusqu'au déploiement. Toutes les versions majeures font l'objet d'une revue par les pairs, de tests automatisés et d'une validation de sécurité.

Les nouvelles fonctionnalités et les modifications importantes de la plateforme Replug font l'objet d'un processus de revue de sécurité. Le code est testé et revu par les pairs avant tout déploiement. Les questions de sécurité sont intégrées au cycle de développement des produits.

Replug maintient un programme de divulgation des vulnérabilités afin d'encourager le signalement responsable des problèmes de sécurité par les clients, les partenaires ou les chercheurs en sécurité.

En cas de violation de données personnelles ou de divulgation non autorisée d'Informations Client placées sous le contrôle de Replug, Replug informera les clients concernés dans les meilleurs délais et dans les délais imposés par la loi applicable, notamment le RGPD (articles 33 et 34) et le CCPA/CPRA.

Replug ne conserve les Informations Client que pendant la durée nécessaire à la fourniture des Services Replug ou exigée par la loi applicable. Lorsque les données ne sont plus nécessaires, elles sont supprimées de manière sécurisée ou anonymisées. Les clients peuvent demander la suppression de leurs données conformément à notre Politique de confidentialité.